Cybersécurité

La réglementation en matière de cybersécurité devient un enjeu de risque pour les entreprises

Le cadre fédéral canadien en matière de cybersécurité et de protection de la vie privée est en pleine évolution, et les organisations doivent composer à la fois avec des lois récemment adoptées et des projets de réforme.

Le projet de loi C-8 a reçu la sanction royale le 15 juin 2026. Certaines modifications apportées à la Loi sur les télécommunications sont entrées en vigueur immédiatement, tandis que la Loi sur la protection des cybersystèmes essentiels sera mise en œuvre de façon progressive. Le nouveau cadre imposera des obligations en matière de cybersécurité aux exploitants désignés dans les secteurs sous réglementation fédérale, notamment des exigences relatives aux programmes de cybersécurité, aux risques liés à la chaîne d’approvisionnement et aux tiers, ainsi qu’au signalement des incidents.³⁴

La réforme en matière de protection de la vie privée suit son cours séparément. Le projet de loi C-36, déposé le 15 juin, en est toujours au stade de proposition législative. S’il est adopté, la Loi sur la protection de la vie privée et des données des consommateurs moderniserait le cadre fédéral canadien en matière de protection de la vie privée dans le secteur privé et instaurerait des exigences plus strictes en matière de protection de la vie privée, de gouvernance et d’application de la loi.

Les délais de mise en œuvre variables offrent aux organisations l’occasion d’évaluer leur état de préparation pendant que le cadre réglementaire continue d’évoluer.

Déterminez si l’organisation peut être visée par le champ d’application, directement ou par l’entremise d’exigences contractuelles imposées par des clients ou des partenaires assujettis à la réglementation.
Harmoniser les processus d’intervention en cas d’incident et de déclaration avec les nouvelles exigences réglementaires et les obligations applicables en matière de déclaration aux assureurs.
Examiner les ententes d’assurance contre les risques cybernétiques et d’assurance responsabilité civile des dirigeants afin d’évaluer les risques réglementaires et individuels pertinents.
Gouvernance et surveillance des documents, y compris la manière dont les risques cybernétiques sont cernés, signalés aux échelons supérieurs et examinés par la direction.

L’IA transforme la menace que représentent la fraude et l’usurpation d’identité

Les Canadiens ont déclaré plus de 188 millions de dollars de pertes liées à la fraude au Centre canadien de lutte contre la fraude au cours des trois premiers mois de 2026, un rythme qui dépasserait les 704 millions de dollars déclarés pour l’ensemble de l’année 2025.³⁵ Le chiffre réel est bien plus élevé, puisque seulement 5 % à 10 % des cas de fraude sont signalés.³⁶

Pour de nombreuses organisations, la préoccupation réside dans le fait que l’IA rend les attaques par fraude et usurpation d’identité beaucoup plus convaincantes. Dans un sondage mené auprès de 251 entreprises canadiennes plus tôt cette année, 81 % de celles qui avaient été victimes de fraude ont déclaré que l’IA générative avait été utilisée dans le cadre de l’attaque, et près d’un quart d’entre elles avaient reçu des appels utilisant la technologie de clonage vocal pour usurper l’identité d’un dirigeant.³⁷

Les entreprises devraient bien comprendre comment leurs polices d’assurance contre la criminalité et la cybercriminalité couvrent les pertes liées à l’ingénierie sociale et à l’usurpation d’identité, y compris les limites, sous-limites, exclusions et conditions applicables.

La couverture peut également dépendre du respect des contrôles et des procédures de vérification requis. Les organisations doivent s’assurer que les processus d’approbation des paiements et les exigences en matière d’assurance sont bien compris et systématiquement respectés.

POINTS CLÉS

Les incidents cybernétiques ont de plus en plus souvent des répercussions à la fois sur le plan réglementaire, opérationnel et de la gouvernance. Les organisations devraient se préparer à ces incidents en les considérant comme des risques à l’échelle de l’entreprise plutôt que comme des défaillances technologiques isolées.

Les principaux éléments à prendre en considération sont les suivants :

Se préparer aux nouvelles obligations en matière de cybersécurité et de protection des renseignements personnels. Les organisations devraient profiter de la période de mise en œuvre précédant l’entrée en vigueur des nouvelles exigences pour renforcer leurs processus de rapport, leurs cadres de gouvernance et la surveillance exercée par leur conseil d’administration.

Harmoniser les contrôles avec la couverture. Les procédures de vérification des paiements, les processus d’approbation et les plans d’intervention en cas d’incident devraient tenir compte à la fois des réalités opérationnelles et des exigences en matière d’assurance.

Comprendre les risques liés au leadership. Les conseils d’administration devraient comprendre comment les incidents liés à la cybersécurité, à la protection des renseignements personnels et à la fraude peuvent affecter les administrateurs et les dirigeants, et s’assurer que les processus de gouvernance et les ententes d’assurance tiennent compte de ces risques.

34 MNP, 2026. https://mnpdigital.ca/insights/bill-c8-a-new-era-for-cyber-security-and-compliance-in-canadas-vital-sectors/

35Canadian Anti-Fraud Centre, June 2026. https://antifraudcentre.ca/news-nouvelles/2026/2026-06-04-eng.htm

36 Bureau de la concurrence du Canada, mars 2026. https://www.canada.ca/en/competition-bureau/news/2026/03/fraud-prevention-month-to-bring-hidden-crime-into-the-spotlight.html

37 KPMG Canada, mars 2026. https://kpmg.com/ca/en/media/2026/03/ai-fraud-hits-canadian-companies-bottom-lines.html