Votre organisation est-elle prête pour le projet de loi C-26?
Le projet de loi C-26 est devenu la loi C-8, qui édicte la Loi sur la protection des cybersystèmes essentiels (la LPCE). Elle n'est pas en vigueur. Au 2026-08-27, aucune catégorie d'exploitants n'a encore été désignée par règlement, donc aucune organisation ne porte les obligations de la LPCE aujourd'hui, qu'elle vous atteigne directement ou par le contrat d'un exploitant désigné dans l'un des six secteurs que nomme l'annexe 1. Deux minutes situent votre préparation.
- 6 questions
- Environ 2 minutes
- Rapport par courriel
Évaluation de préparation Projet de loi C-26 (maintenant la loi C-8)
Un peu de contexte
Qu'est-ce que le projet de loi C-26?
C'était le projet de loi fédéral canadien en cybersécurité. Mort au feuilleton à la prorogation de janvier 2025, il a été redéposé sous le numéro C-8, qui a reçu la sanction royale le 15 juin 2026 (Lois du Canada 2026, chapitre 9). La loi C-8 modifie la Loi sur les télécommunications et édicte la LPCE pour les infrastructures essentielles.
À qui s'applique la LPCE?
La Loi sur la protection des cybersystèmes essentiels vise les exploitants désignés de cybersystèmes essentiels dans six secteurs sous réglementation fédérale, soit les télécommunications, les pipelines et lignes électriques interprovinciaux ou internationaux, l'énergie nucléaire, le transport de compétence fédérale, les systèmes bancaires ainsi que les compensations et règlements. Le règlement fixe les catégories visées. Au 2026-08-27 il ne l'a pas fait. L'annexe 2 reste vide, donc aucune organisation ne porte encore les obligations de la LPCE. Les fournisseurs ne sont pas liés directement, mais il faut compter avec les obligations que les contrats des exploitants désignés leur transmettent.
Quelles sont les obligations prévues par la LPCE?
L'exploitant désigné doit établir un programme de cybersécurité documenté dans les 90 jours suivant sa désignation. Il doit aussi déclarer les incidents au Centre de la sécurité des télécommunications dans un délai d'au plus 72 heures, gérer le risque lié aux tiers et à la chaîne d'approvisionnement, se conformer aux directives de cybersécurité et tenir des registres. Les sanctions sont lourdes, autrement dit le manquement coûte cher.
Qui comble les écarts relevés ici?
Nous. Cette évaluation situe votre position par rapport au cadre, sans aller plus loin. L'étape suivante, c'est le mandat derrière ce résultat : ce que nous vérifions, ce que nous bâtissons et qui s'en charge. Commencez par là si vous préférez combler les écarts plutôt que les répertorier.
