Quelle est la différence concrète entre CMMC et CPCSC ?
What's the practical difference between CMMC and CPCSC?
Les deux programmes s'appuient sur les 110 contrôles de NIST SP 800-171. CMMC est piloté par le DoD américain et certifie via les C3PAO. CPCSC est piloté par le gouvernement du Canada (SPAC pour la contractualisation, CCC / ISDE pour les aspects techniques et réglementaires) avec son propre référentiel ITSP.10.171 et son réseau d'OEC. Pour les fournisseurs canadiens qui servent les deux marchés, la base technique est essentiellement la même.
Both programs build on the 110 controls in NIST SP 800-171. CMMC is led by the U.S. DoD and certified through C3PAOs. CPCSC is led by the Canadian government (PSPC for contracting, CCCS / ISED for technical and regulatory aspects) with its own ITSP.10.171 framework and a network of CABs. For Canadian suppliers serving both markets, the underlying technical baseline is essentially the same.
Combien de temps faut-il pour devenir conforme ?
How long does compliance take?
Pour une PME partant d'un score SPRS faible, comptez généralement 6 à 12 mois entre le diagnostic et la préparation à l'évaluation. Les organisations déjà alignées sur ISO 27001 ou avec un MSP mature avancent plus vite.
For an SME starting with a low SPRS score, the typical path from gap assessment to assessment-ready is 6 to 12 months. Organizations already aligned with ISO 27001 or working with a mature MSP move faster.
Devons-nous migrer vers Microsoft 365 GCC High ?
Do we need to migrate to Microsoft 365 GCC High?
Si vous manipulez du CUI dans un contexte CMMC niveau 2, oui (ou un équivalent FedRAMP Moderate avec contrôles supplémentaires). Pour CPCSC, les exigences de localisation des données canadiennes peuvent imposer d'autres choix. Nous évaluons l'option la moins coûteuse pour votre contexte.
If you handle CUI under CMMC Level 2, generally yes (or an equivalent FedRAMP Moderate environment with added controls). CPCSC has Canadian data-residency considerations that may push other choices. We help you pick the lowest-cost option that fits.
Notre MSP peut-il s'en charger seul ?
Can our MSP handle this alone?
Un MSP peut couvrir une partie des contrôles techniques (correctifs, journalisation, sauvegarde, EDR), mais la conformité CMMC/CPCSC exige aussi de la gouvernance, des politiques, un SSP/POA&M et la coordination avec un évaluateur. C'est typiquement notre rôle de vCISO.
An MSP can cover many of the technical controls (patching, logging, backup, EDR), but CMMC/CPCSC compliance also requires governance, policies, an SSP/POA&M and coordination with an assessor. This is typically our vCISO role.
Que se passe-t-il si nous ne faisons rien ?
What happens if we do nothing?
À mesure que les clauses CMMC et CPCSC entrent dans les contrats, l'éligibilité aux appels d'offres disparaît. Vous risquez aussi d'être déréférencé de vos primes (Lockheed, Boeing, GD, etc.) et de perdre l'accès au marché des sous-traitants.
As CMMC and CPCSC clauses appear in contracts, you become ineligible to bid. You also risk being delisted by primes (Lockheed, Boeing, GD, etc.) and losing access to the subcontractor market.
Et NIST SP 800-171 Rev. 3 ?
What about NIST SP 800-171 Rev. 3?
Rev. 3 a été publiée en mai 2024 (97 exigences consolidées, nouvelle structure, paramètres définis par l'organisation). Mais elle n'est pas encore adoptée par le DoD ni par CMMC. Le CMMC Final Rule (16 décembre 2024) et la clause DFARS 252.204-7012 référencent toujours Rev. 2. Tous les évaluateurs C3PAO certifient sur Rev. 2 aujourd'hui, et le scoring SPRS reste calculé sur les 110 exigences Rev. 2. La transition vers Rev. 3 par le DoD est anticipée pour 2027-2028, possiblement avec une période de double-évaluation. Notre conseil : bâtissez votre programme sur Rev. 2 aujourd'hui. La majorité des contrôles se retrouvent dans Rev. 3, donc votre travail sera capitalisé. Au Canada, ITSP.10.171 (CPCSC) suit la même logique et reste aligné Rev. 2.
Rev. 3 was published in May 2024 (97 consolidated requirements, new structure, organization-defined parameters). However, it has not been adopted by the DoD or CMMC yet. The CMMC Final Rule (December 16, 2024) and DFARS 252.204-7012 still reference Rev. 2. All C3PAOs certify against Rev. 2 today, and SPRS scoring is computed on the 110 Rev. 2 requirements. The DoD transition to Rev. 3 is anticipated for 2027-2028, possibly with a dual-assessment period. Our advice: build your program on Rev. 2 today. Most controls carry over to Rev. 3, so your work will be capitalized. In Canada, ITSP.10.171 (CPCSC) follows the same logic and remains aligned with Rev. 2.
Combien ça coûte ?
How much does it cost?
Nos trois forfaits s'adaptent à votre maturité et à votre périmètre, du diagnostic ponctuel à l'accompagnement complet vCISO + préparation C3PAO.
Voir les forfaits →Our three packages adapt to your maturity and scope, from a one-time gap assessment to a full vCISO + C3PAO readiness program.
See the packages →