Le projet de loi fédéral C-8 sur la cybersécurité a reçu la sanction royale le 15 juin 2026 et est maintenant officiellement devenu une loi.
Désormais appelée la Loi C-8 sur la cybersécurité, elle établit un nouveau cadre canadien visant à mieux protéger les infrastructures essentielles contre les cybermenaces.
La Loi comporte deux volets
Le premier modifie la Loi sur les télécommunications et donne au gouvernement fédéral des pouvoirs étendus pour intervenir directement lorsqu’une menace cyber touche les réseaux de télécommunications. (En vigueur dès maintenant).
Le second volet crée la Loi sur la protection des cybersystèmes essentiels (LPCE). Cette portion vise les organisations considérées comme critiques pour la sécurité nationale ou l’économie canadienne, notamment dans les secteurs :
- des télécommunications;
- de l’énergie;
- du transport;
- du bancaire;
- des systèmes de compensation et de règlement.
Toutefois, plusieurs obligations entreront officiellement en vigueur seulement après l’adoption des règlements d’application et la désignation officielle des entreprises visées.
Quelles sont les principales obligations?
La LPCE impose cinq grandes obligations aux organisations désignées afin de
- Mettre en place un programme formel de cybersécurité.
Les entreprises devront identifier leurs cyberrisques, protéger leurs systèmes critiques, détecter les incidents et réduire leurs impacts. Ce programme devra être implanté dans les 90 jours suivant la désignation officielle. - Gérer les risques liés aux fournisseurs
Les entreprises devront évaluer et atténuer les risques provenant de leurs fournisseurs, sous-traitants et services technologiques tiers. Cela risque d’avoir un impact direct sur les PME qui fournissent des services à de grandes organisations réglementées. - Déclarer les incidents de cybersécurité
Tout incident pouvant affecter un système critique devra être signalé au Centre canadien pour la cybersécurité dans un délai maximal de 72 heures. - Respecter les directives gouvernementales
Le gouvernement pourra ordonner certaines mesures de protection ou interdire l’utilisation de produits, technologies ou fournisseurs jugés à risque. - Conserver une documentation complète
Les organisations devront conserver au Canada des preuves documentées démontrant leur conformité, leurs mesures de sécurité et leurs interventions en cas d’incident.
Des sanctions importantes sont prévues en cas de non-conformité. Les pénalités administratives peuvent atteindre jusqu’à 15 millions de dollars pour les organisations, et les dirigeants pourraient aussi engager leur responsabilité personnelle dans certains cas.
Pour les dirigeants d’entreprise, le message est clair : la cybersécurité n’est plus uniquement un enjeu technologique. Elle devient une obligation de gouvernance et de conformité réglementaire.
Même les entreprises non directement visées pourraient subir une pression contractuelle importante de la part de leurs clients réglementés.
Les entreprises qui commenceront dès maintenant à structurer leur gouvernance cyber, leurs politiques fournisseurs et leurs mécanismes de réponse aux incidents seront nettement mieux positionnées lorsque les règlements entreront pleinement en vigueur.
Des questions sur les cyberrisques ou sur votre couverture d’assurance?
Écrivez à nos experts : cyber@lussier.co
Sébastien Lafond
Directeur de comptes principal et chef de pratique Risques technologiques • Assurance des entreprises
