D'où vient le mandat : Québec et France, deux pressions opposées

Deux pays, deux pressions

Une équipe GRC cyber à Montréal et une équipe GRC cyber à Lyon font, sur le papier, le même métier. Elles ne reçoivent pas le même mandat, et elles ne le reçoivent pas de la même personne. Cette différence explique davantage de leurs pratiques respectives que n'importe quel choix de référentiel.

En France, le mandat est donné par la loi. La directive NIS 2 fait passer le nombre d'entités régulées d'environ cinq cents à environ quinze mille, réparties en dix-huit secteurs. Les sanctions prévues atteignent 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, 7 millions ou 1,4 % pour les entités importantes, avec une responsabilité personnelle des dirigeants pouvant aller jusqu'à une interdiction temporaire d'exercer. DORA s'applique au secteur financier depuis janvier 2025. Le RGPD est en vigueur depuis 2018. Une entreprise française de taille moyenne dans un secteur visé n'a pas à se demander si elle a besoin d'une fonction GRC : la question est réglée à sa place.

Au Québec, le mandat doit être construit. La Loi 25 impose des obligations réelles en matière de renseignements personnels, avec des sanctions administratives pouvant atteindre 25 millions de dollars canadiens ou 4 % du chiffre d'affaires mondial. Mais elle porte sur la vie privée, pas sur la cybersécurité au sens large. Pour le reste, il n'existe pas encore d'équivalent transversal. La Loi sur la protection des cybersystèmes essentiels, issue du projet de loi C-26, a été sanctionnée le 15 juin 2026 : au moment où ces lignes sont écrites, en septembre 2026, elle n'est pas encore en vigueur, et elle ne visera de toute façon que les exploitants désignés de secteurs sous réglementation fédérale. En dehors de ces secteurs et du périmètre de la Loi 25, une entreprise québécoise n'a, légalement, presque rien à faire en matière de cybersécurité.

Ce n'est pas un jugement de valeur sur l'un ou l'autre pays. C'est un fait de contexte, et il déforme tout ce qui vient ensuite.

Ce que dit le droit, de part et d'autre

Ce que la pression fait au mandat

Une fonction GRC dont le mandat est donné et une fonction GRC dont le mandat est conquis ne se ressemblent pas au bout de deux ans.

Quand le régulateur donne le mandat, la légitimité est immédiate : personne ne discute l'existence de l'équipe, le budget est plus facile à obtenir, la direction écoute. En contrepartie, l'ordre du jour est écrit ailleurs. Le calendrier des décrets devient le calendrier de l'équipe. Les analyses de risque se font parce qu'un texte les exige, et elles ont alors tendance à se transformer en pièces justificatives : on ne cherche plus ce qui peut arriver, on documente que l'on a cherché. Le risque professionnel, ici, est la dérive vers la conformité, où la fonction devient très bonne à produire des preuves et perd sa capacité à dire ce qu'il faudrait protéger en premier.

Quand le mandat doit être conquis, l'équipe est fragile : elle doit justifier son existence chaque année, elle est souvent sous-dimensionnée, et elle disparaît au premier plan d'économies. Mais elle est libre. Rien ne l'oblige à consacrer son année à un référentiel. Quand elle mène une analyse de risque, c'est parce que quelqu'un attend une décision, et cette pression-là produit souvent de meilleures analyses. Le risque professionnel, ici, est l'inconstance : sans obligation extérieure, la pratique dépend entièrement de la conviction d'une ou deux personnes, et s'effondre quand elles partent.