Assurer la sécurité de la base industrielle de défense du Canada à mesure que les PME se développent

En septembre 2026, le Business Data Lab de la Chambre de commerce du Canada a publié « Deepening Our Defence », un rapport consacré au renforcement de la base industrielle de défense du Canada. Le magazine « Canadian Defence Review » a qualifié ce rapport d’avertissement selon lequel les obstacles aux marchés publics pourraient limiter le potentiel de 1 000 milliards de dollars du secteur de la défense au Canada. La Stratégie industrielle de défense (SID) 2026 du gouvernement fédéral s’engage à accélérer ces habilitations, s’attaquant ainsi à un obstacle majeur à la participation des PME aux programmes de défense. À mesure que de nouvelles organisations rejoignent les chaînes d’approvisionnement de la défense, la sécurité des communications devient un enjeu supplémentaire, au même titre que les habilitations du personnel et des installations. Chaque nouvelle relation avec un fournisseur introduit des voies de partage d’informations qui peuvent nécessiter des contrôles allant au-delà du processus d’habilitation.

Les maîtres d'œuvre entretiennent une relation directe avec le ministère de la Défense nationale en matière d'approvisionnement et se chargeront d'une grande partie des travaux initiaux, les PME s'intégrant à leurs chaînes d'approvisionnement. Cette structure fait des maîtres d'œuvre le point de référence naturel pour définir les exigences en matière de sécurité des communications auprès de l'ensemble des fournisseurs participants.

Les PME jouent un rôle important dans le développement de la base industrielle de défense du Canada

La base industrielle de défense du Canada est relativement petite et concentrée. Selon le rapport, les dépenses de défense de base devraient passer de 64 milliards de dollars en 2025 à environ 160 milliards de dollars d’ici 2035, avec des dépenses cumulées estimées à plus de 1 000 milliards de dollars au cours de la prochaine décennie. Pourtant, le secteur principal ne compte que 538 entreprises, et les 50 plus grandes d'entre elles représentent environ 80 % du chiffre d'affaires. Les PME constituent 92 % des entreprises, mais ne perçoivent qu'environ 30 % des recettes. Le plan DIS 2026 vise à porter à 70 % la part des recettes revenant aux entreprises canadiennes d'ici 2035.

Le rapport recense quatre obstacles structurels auxquels sont confrontées les PME :

1. Habilitations de sécurité. Les PME ne peuvent pas soumissionner ni exécuter la plupart des marchés de défense tant que l’organisation et son personnel n’ont pas obtenu d’habilitation dans le cadre du Programme de sécurité des marchés de Services publics et Approvisionnement Canada (SPAC). Le rapport indique que ce processus prend généralement plusieurs mois et nécessite des installations physiquement sécurisées. La directive DIS 2026 s’engage à accélérer l’octroi des habilitations pour le personnel du secteur de la défense, mais le rapport ne précise pas de délai cible pour l’octroi de ces habilitations.

2. Accès au capital. Les PME peuvent rencontrer des difficultés pour se procurer le fonds de roulement nécessaire pour faire face à des cycles d'approvisionnement s'étalant sur plusieurs années.

3. Complexité des marchés publics. Les PME peuvent disposer de moins de ressources dédiées aux achats que les grands maîtres d'œuvre, ce qui rend les processus d'achat complexes plus difficiles à gérer.

4. Visibilité sur les achats à venir. Une visibilité limitée sur la demande future des pouvoirs publics peut compliquer la prise de décisions en matière d'investissements et de capacités à long terme pour les PME.

Pour de nombreuses PME, ajoute le rapport, intégrer la chaîne d'approvisionnement d'un maître d'œuvre constituera la première étape la plus réaliste.

L'expansion du secteur de la défense permet de relier davantage d'organisations et de canaux de communication

À mesure que de nouvelles PME rejoindront le secteur de la défense, elles échangeront des informations sensibles avec des maîtres d'œuvre, des organismes publics et des exploitants d'infrastructures critiques. Le rapport recense des opportunités à court terme concernant les bases, les chantiers navals, les aérodromes, les ports, les champs de tir et la résilience énergétique, y compris des projets dans le Nord et l'Arctique. Ces projets mettront en relation de nouveaux fournisseurs du secteur de la défense avec des exploitants d'infrastructures critiques, élargissant ainsi le nombre d'organisations et de canaux de communication impliqués.

• Opérations. Un plus grand nombre de partenaires répartis dans davantage de régions implique une coordination accrue en cas d'incident. Si les réseaux mobiles publics sont indisponibles ou fonctionnent de manière défaillante, les organisations peuvent être confrontées à des difficultés de coordination susceptibles d'affecter leur réactivité opérationnelle.

• Sécurité. Les entreprises qui se lancent dans le secteur de la défense peuvent s'appuyer sur des outils de communication qui n'ont pas été conçus pour la défense, les infrastructures critiques ou les environnements opérationnels fortement réglementés. Selon leur conception et leur configuration, les plateformes de communication peuvent également divulguer des métadonnées, notamment l'identité des interlocuteurs, la date et l'heure de la communication, ainsi que la localisation des participants.

• Approvisionnement. Les organisations pourraient devoir évaluer les déclarations de sécurité émanant de fournisseurs qu'elles ne connaissent pas, alors que les délais d'approvisionnement et d'intégration s'accélèrent.

• Conformité. Les organisations peuvent avoir besoin de registres indiquant comment les informations ont été partagées et avec qui. Certaines plateformes de communication peuvent ne pas offrir les fonctionnalités de gouvernance, d'audit ou de contrôle requises dans les environnements réglementés.

L'élargissement du réseau de fournisseurs accroît les risques liés à la communication

Une base de fournisseurs plus large multiplie les voies par lesquelles les informations sensibles peuvent circuler. Si les mesures de sécurité varient considérablement d'un fournisseur à l'autre, les organisations peuvent être exposées à un risque accru lorsqu'elles partagent des informations sensibles au sein de chaînes d'approvisionnement étendues.

Les zones de sécurité protègent les personnes et les installations

Selon le rapport, l'habilitation s'applique aux organisations et au personnel et nécessite des installations sécurisées physiquement. Ces contrôles protègent les personnes et les lieux. Le rapport ne précise pas si le programme régit également les messages, appels et partages de fichiers quotidiens entre les maîtres d'œuvre et les sous-traitants. Cette distinction est importante car les pratiques et technologies de communication peuvent nécessiter une évaluation distincte des exigences en matière de sécurité du personnel et des installations.

Les risques liés à la communication persistent après l'autorisation

Les menaces liées à la cybersécurité peuvent exploiter les failles de la gestion des identités, les appareils compromis et les métadonnées exposées ; le chiffrement en transit n’est donc qu’un élément parmi d’autres à prendre en compte lors de l’évaluation de la sécurité des communications. Le rapport souligne l’importance pour le Canada de garder le contrôle sur la propriété intellectuelle, la production et d’autres capacités d’importance stratégique. Des considérations similaires peuvent guider la manière dont les organisations évaluent les systèmes de communication utilisés pour échanger des informations sensibles, notamment en déterminant qui contrôle les clés de chiffrement et comment l’accès est régi.

Cinq critères à prendre en compte lors de l'évaluation des communications sécurisées

Les organisations qui évaluent des solutions de communication sécurisées doivent prendre en compte cinq critères et vérifier les éléments justificatifs à l'aide de documents, de certifications et de tests.

1. Souveraineté. Sachez où l'infrastructure est hébergée et qui contrôle les clés de chiffrement, les identités, les appareils et l'accès aux informations sensibles.

2. Certification indépendante. Vérifiez que le produit a été validé par des organismes indépendants, tels que les Critères communs, les profils de protection NIAP, l'accréditation de sécurité de l'OTAN et le CSfC de la NSA. Demandez à consulter le certificat, son champ d'application et la version du produit qu'il couvre.

3. Vérification de l'identité. Chaque participant est vérifié avant de rejoindre une conversation.

4. Résilience hors bande. Le terme « hors bande » désigne l'utilisation d'une voie de communication qui ne dépend pas de votre réseau principal. Vérifiez que le service continue de fonctionner lorsque les réseaux publics subissent une dégradation et qu'il peut être déployé dans des environnements cloud, hybrides, sur site ou « air-gapped ». Les environnements « air-gapped » sont physiquement isolés des réseaux externes.

5. Registres de responsabilité. Les contrôles de gouvernance et les pistes d'audit vous permettent de reconstituer le déroulement des événements après un incident.

BlackBerry^® Secure Communications est conçu pour répondre à ce type d'exigences et détient les certifications NIAP et « NATO Restricted ». Les organisations doivent évaluer BlackBerry et les autres fournisseurs au regard de leurs propres exigences opérationnelles, réglementaires et de sécurité, en s'appuyant sur des preuves objectives et des tests.

Comment les entreprises peuvent renforcer la communication avec leurs fournisseurs ce trimestre

• Inventaire. Énumérez, par leur nom, tous les outils utilisés par vos fournisseurs principaux et vos fournisseurs spécialisés pour échanger des informations sur les programmes.

• Mettre en correspondance les exigences. Ajouter un contrôle de sécurité des communications lors de l'intégration des fournisseurs, en plus du statut d'habilitation.

• Rédigez cette clause. Dans votre prochain appel d'offres, veillez à inclure les éléments suivants : validation de l'identité, contrôle des clés, registres d'audit et preuves de certification.

• Posez cinq questions aux fournisseurs. Qui détient les clés de chiffrement ? Quelles certifications s'appliquent à quelle version du produit ? Le service fonctionne-t-il lorsque les réseaux mobiles publics sont perturbés ? Pouvons-nous exporter les journaux d'audit dans le cadre d'une enquête ? Où les métadonnées sont-elles stockées et qui peut y accéder ?

• Testez le plan de secours. Réalisez un exercice dans lequel les réseaux publics ne sont pas disponibles et observez comment les partenaires se coordonnent.

• Vérifiez vos obligations. Distinguez les exigences légales contraignantes des cadres recommandés et examinez le résultat avec vos conseillers juridiques et en matière de conformité.

À mesure que la base industrielle de défense du Canada se développe, les organisations auraient tout intérêt à prendre en compte la sécurité des communications au même titre que les exigences en matière de sécurité du personnel et des installations. Définir les attentes en matière de sécurité des communications, valider les capacités des fournisseurs et mettre en place une gouvernance appropriée peut contribuer à favoriser une collaboration sécurisée à mesure que les chaînes d'approvisionnement se développent.