Projet de loi C-8 : la nouvelle loi canadienne en cybersécurité expliquée

Le projet de loi C-8 a reçu la sanction royale le 16 juin 2026, transformant en régime juridique bien réel, après trois ans de débats à travers deux Parlements distincts, un dossier de cybersécurité pour les infrastructures essentielles du Canada.

Il donne à Ottawa de nouveaux pouvoirs pour exiger des actions des fournisseurs de télécommunications, et crée des obligations obligatoires en cybersécurité, avec des pénalités pouvant atteindre 15 millions de dollars par jour pour les exploitants des secteurs bancaire, énergétique, du transport et des télécommunications, partout au pays.

Dans cet article, nous expliquons ce que fait vraiment cette nouvelle loi, à qui elle s’applique, ce qu’elle exige, les conséquences réelles de la non-conformité à cette toute nouvelle loi fédérale, et comment votre organisation peut se conformer à cette obligation avec l’aide de Mindsec, maintenant qu’elle est en vigueur et pleinement applicable.

Qu’est-ce que le projet de loi C-8?

Au fond, il s’agit avant tout d’une loi de sécurité nationale. Elle traite le cyberrisque envers les services essentiels un peu de la même façon dont le Canada traite depuis longtemps les menaces physiques envers les infrastructures essentielles et la sécurité publique du pays.

Le projet de loi C-8, intitulé officiellement Loi concernant la cybersécurité, modifiant la Loi sur les télécommunications et apportant des modifications corrélatives à d’autres lois, est la législation fédérale la plus importante à ce jour en matière de cybersécurité au Canada. Elle est construite autour de deux parties bien distinctes, conçues pour fonctionner ensemble de manière cohérente.

La partie 1 modifie la Loi sur les télécommunications. Elle ajoute la sécurité comme objectif de politique explicite, et donne au gouverneur en conseil et au ministre de l’Industrie le pouvoir d’ordonner aux fournisseurs de télécommunications de faire (ou de cesser de faire) des actions précises pour sécuriser le réseau.

La partie 2 édicte une toute nouvelle loi : la Loi sur la protection des cybersystèmes essentiels (LPCE). Elle impose des obligations obligatoires en cybersécurité aux exploitants désignés dans l’ensemble des infrastructures essentielles.

Les modifications à la Loi sur les télécommunications, prévues par le projet de loi C-8, sont entrées en vigueur dès la sanction royale. Les obligations de la Loi sur la protection des cybersystèmes essentiels (LPCE) entrent en vigueur graduellement, à des dates encore à fixer par décret du gouverneur en conseil.

Qui doit se conformer : la portée du projet de loi C-8 Canada

La LPCE s’applique aux « exploitants désignés » dans les secteurs sous réglementation fédérale :

• Télécommunications
• Secteur bancaire
• Énergie (y compris le nucléaire)
• Transport interprovincial
• Systèmes de compensation et de règlement

Le mot-clé est « désigné ». Toutes les entreprises de ces secteurs ne sont pas automatiquement couvertes de la même façon. Le régime dépend de catégories précises d’exploitants et de cybersystèmes essentiels nommés dans la loi et dans des règlements à venir.

Une fois qu’un exploitant est désigné, il dispose de 90 jours pour établir un programme de cybersécurité documenté couvrant les systèmes que le gouvernement a identifiés comme essentiels.

Les obligations principales de la LPCE

Les exploitants désignés font face à quatre obligations principales en vertu du projet de loi C-8. Elles transforment une simple sensibilisation à la cybersécurité en un programme juridique exécutoire, avec des délais.

• Établir et maintenir un programme de cybersécurité documenté couvrant l’identification des risques, la protection, la détection des incidents et la réduction des impacts. Cela inclut aussi les risques liés aux chaînes d’approvisionnement et aux tiers.
• Atténuer spécifiquement le risque lié aux chaînes d’approvisionnement et aux tiers. Pas seulement le risque lié aux systèmes gérés à l’interne, puisque la loi nomme explicitement ce risque comme faisant partie de sa portée.
• Déclarer les incidents de cybersécurité touchant un cybersystème essentiel au Centre de la sécurité des télécommunications, dans un délai réglementaire précis.
• Se conformer aux directives de cybersécurité émises par le gouvernement, et signaler tout changement matériel aux systèmes. Particulièrement ceux ayant des implications pour la sécurité nationale.

Ces obligations font écho à des régimes semblables chez les alliés du Canada. Dont le Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) américain, la directive NIS2 européenne, et les Network and Information Systems Regulations du Royaume-Uni.

Pénalités en cas de non-conformité

Les pénalités de la LPCE sont sévères selon les standards réglementaires canadiens, parmi les plus élevées de toute loi fédérale actuellement en vigueur pour les secteurs couverts par le projet de loi C-8.

Les organisations peuvent faire face à des sanctions administratives pouvant atteindre 15 millions de dollars par jour pour chaque violation, chaque jour de violation continue comptant séparément.

Les particuliers peuvent faire face à des pénalités pouvant atteindre 1 million de dollars par jour. Les administrateurs et dirigeants qui ont ordonné, autorisé, ou participé sciemment à une violation peuvent être tenus personnellement responsables, que l’organisation elle-même soit poursuivie ou non.

Une défense de diligence raisonnable est disponible pour la plupart des violations et infractions prévues par cette loi. Cela accorde une vraie prime aux efforts de conformité documentés et visibles au conseil d’administration, plutôt qu’à des justifications assemblées après coup.

La loi préserve aussi le secret professionnel de l’avocat. Elle permet le partage de renseignements entre organismes fédéraux, dont le CST, le Service canadien du renseignement de sécurité (SCRS), et le ministère de la Défense nationale, dans des circonstances définies qui encadrent l’usage que peuvent faire les destinataires de ces renseignements.

Échéancier du projet de loi C-8 : du projet de loi C-26 à la sanction royale

Cette loi est la digne succédane du projet de loi C-26, mort au Feuilleton lorsque le Parlement a été prorogé en janvier 2025.

Le budget de 2019 avait déjà consacré 144,9 millions de dollars à la construction d’un cadre pour les cybersystèmes essentiels. Le travail politique pour le projet de loi C-8 précédait donc de loin le projet de loi lui-même.

Il a été redéposé sous forme similaire dans le Parlement actuel. Il a ensuite franchi la troisième lecture à la Chambre des communes le 26 mars 2026, a traversé le Sénat, et a reçu la sanction royale le 16 juin 2026.

Trois amendements tardifs ont façonné le texte :

• Une interdiction explicite d’ordonner le déchiffrement de communications chiffrées;
• Un seuil plus élevé avant que le gouvernement puisse prendre une mesure ministérielle; et
• Un examen parlementaire obligatoire de toute la loi tous les cinq ans

Des groupes de défense de la vie privée, dont le Commissariat à la protection de la vie privée, ont dit au Sénat que le Parlement avait apporté des améliorations significatives durant l’étude en comité, dont un langage de proportionnalité et des exigences d’avis après coup.

Ce dossier législatif plus complet vaut la peine d’être connu si votre organisation doit un jour interpréter comment cette loi devrait s’appliquer dans un cas limite.

Comment Mindsec facilite une conformité rapide et simple au projet de loi C-8

Mindsec est une plateforme qui aide les organisations à documenter et surveiller les contrôles exigés par des lois comme celle-ci.

Nous prenons en charge ISO 27001, NIST CSF et SOC 2, avec une technologie de correspondance croisée pour simplifier la conformité à plusieurs cadres, avec les mêmes preuves.

Réservez une démonstration de 15 minutes pour voir comment Mindsec garde votre organisation prête à mesure que les règles canadiennes sur les infrastructures essentielles entrent en vigueur.

Foire aux questions

Quel est le statut actuel du projet de loi C-8?

Pour répondre directement au statut du projet de loi C-8 : il a déjà reçu la sanction royale et est maintenant en vigueur. Les modifications à la Loi sur les télécommunications sont déjà en vigueur, tandis que les obligations des exploitants prévues par la LPCE sont mises en œuvre graduellement, par le biais de règlements toujours en développement chez Sécurité publique Canada et ses partenaires fédéraux.

Sécurité publique Canada et le Centre de la sécurité des télécommunications devraient tous deux mener une consultation détaillée sur ces règlements. Ils définiront exactement quelles entreprises comptent comme exploitants désignés, quels systèmes comptent comme cybersystèmes essentiels dans chaque secteur couvert de l’économie, et combien de temps ce processus pourrait encore prendre.

Cette distinction compte. Le gouvernement dispose déjà de nouveaux pouvoirs sur les fournisseurs de télécommunications, mais les exploitants d’infrastructures essentielles désignés n’ont toujours pas de date fixe pour le début de leurs obligations précises.

Ils n’en auront pas tant que les règlements nécessaires n’auront pas été rédigés, consultés, finalisés et publiés dans la Gazette du Canada. Cet échéancier vaut la peine d’être suivi de près si votre organisation œuvre dans l’un des secteurs couverts.

Le projet de loi C-8 Canada a-t-il été adopté?

Oui, le projet de loi C-8 Canada adopté a franchi la troisième lecture à la Chambre des communes le 26 mars 2026, a ensuite traversé le Sénat, et a reçu la sanction royale le 16 juin 2026, complétant ainsi tout son processus législatif, de son dépôt jusqu’à son entrée en droit.

L’adoption ne signifie pas que toutes les obligations sont déjà actives, cependant. La plupart des exigences substantielles de la LPCE entreront en vigueur graduellement, à des dates que le gouverneur en conseil doit encore fixer par décret, secteur par secteur, probablement sur les un à deux prochaines années.

Pour la plupart des exploitants désignés, cela signifie qu’il reste encore une fenêtre, quoique de plus en plus étroite, pour bâtir un programme de cybersécurité documenté avant qu’une véritable date limite ne force les choses sous menace de pénalité.

Attendre les règlements finaux avant de commencer est une erreur courante mais coûteuse. La majeure partie du travail (cartographier les systèmes, documenter les processus, former le personnel) prend bien plus de temps que la fenêtre de 90 jours que la loi accorde une fois la désignation confirmée.

Si vous souhaitez un accompagnement professionnel sur ce que vous pouvez commencer à faire dès maintenant pour ne pas prendre de retard sur cette nouvelle loi, réservez une démonstration gratuite de 15 minutes pour découvrir comment fonctionne la plateforme Mindsec et comment nos experts peuvent vous guider dans l’adoption de cette nouvelle législation.

Le projet de loi C-8 est-il la même chose que le projet de loi C-9?

Non. Le projet de loi C-8 est la loi en cybersécurité dont il est question dans cet article. Le projet de loi C-9 est la Loi édictant des mesures contre la haine, une modification au Code criminel qui n’a rien à voir avec la cybersécurité.

Ce que vous devriez faire maintenant pour adopter le projet de loi C-8

• Déterminez si votre organisation exerce ses activités dans un secteur couvert : télécommunications, secteur bancaire, énergie, transport interprovincial, ou compensation et règlement.
• Surveillez votre désignation. Être dans un secteur couvert ne signifie pas automatiquement que vous êtes un exploitant désigné. Cela dépend des règlements à venir.
• Commencez dès maintenant à bâtir un programme de cybersécurité documenté, plutôt que d’attendre le début de votre compte à rebours de 90 jours. L’essentiel du travail est documentaire et procédural, pas technologique. Vous pouvez compter sur Mindsec pour cela.
• Cartographiez spécifiquement votre risque de chaîne d’approvisionnement et de fournisseurs, puisque la LPCE en fait une obligation à part entière. Vous pouvez le faire à l’aide de l’outil intégré de gestion du risque lié aux tiers de Mindsec.
• Préparez dès maintenant votre processus de signalement d’incidents. Un délai réglementaire n’est pas le moment d’improviser qui appelle qui.