Loi sur la protection des cybersystèmes essentiels (L.C. 2026, ch. 9, art. 11)

Note marginale :Titre abrégé

1 Loi sur la protection des cybersystèmes essentiels.

Note marginale :Définitions

2 Les définitions qui suivent s’appliquent à la présente loi.

Banque

Banque La Banque du Canada, instituée en vertu du paragraphe 3(1) de la Loi sur la Banque du Canada. (Bank)

Commission

Commission La Commission visée au paragraphe 26(1) de la Loi sur la Régie canadienne de l’énergie. (Commission)

Commission canadienne de sûreté nucléaire

Commission canadienne de sûreté nucléaire La Commission canadienne de sûreté nucléaire, constituée en vertu du paragraphe 8(1) de la Loi sur la sûreté et la réglementation nucléaires. (Canadian Nuclear Safety Commission)

cybersystème

cybersystème Système de technologies, d’actifs, d’installations ou de services numériques interdépendants qui forment l’infrastructure servant à la réception, à la transmission, au traitement ou au stockage de données. (cyber system)

cybersystème essentiel

cybersystème essentiel Tout cybersystème dont la compromission, en ce qui touche la confidentialité, l’intégrité ou la disponibilité, pourrait menacer la continuité ou la sécurité d’un service critique ou d’un système critique. (critical cyber system)

exploitant désigné

exploitant désigné Toute personne, société de personnes ou organisation non dotée de la personnalité morale qui appartient à une catégorie d’exploitants figurant à l’annexe 2. (designated operator)

gouverneur

gouverneur S’entend au sens de l’article 2 de la Loi sur la Banque du Canada. (Governor)

incident de cybersécurité

incident de cybersécurité Relativement à un cybersystème essentiel, incident, notamment acte, omission ou situation, qui nuit ou peut nuire :

• La disposition suivante n'est pas en vigueur.

  a) soit à la continuité ou à la sécurité d’un service critique ou d’un système critique;

• La disposition suivante n'est pas en vigueur.

  b) soit à la confidentialité, à l’intégrité ou à la disponibilité du cybersystème essentiel. (cyber security incident)

ministre

ministre Le ministre fédéral désigné en vertu de l’article 4 ou, à défaut de désignation, le ministre de la Sécurité publique et de la Protection civile. (Minister)

ministre compétent

ministre compétent Le ministre responsable d’une loi habituellement administrée par l’organisme réglementaire compétent pour une catégorie d’exploitants figurant à l’annexe 2. (responsible minister)

organisme réglementaire

organisme réglementaire L’une ou l’autre des personnes ou entités suivantes :

• La disposition suivante n'est pas en vigueur.

  a) le ministre de l’Industrie;

• La disposition suivante n'est pas en vigueur.

  b) le ministre des Transports;

• La disposition suivante n'est pas en vigueur.

  c) le surintendant;

• La disposition suivante n'est pas en vigueur.

  d) la Banque;

• La disposition suivante n'est pas en vigueur.

  e) la Régie canadienne de l’énergie;

• La disposition suivante n'est pas en vigueur.

  f) la Commission canadienne de sûreté nucléaire. (regulator)

organisme réglementaire compétent

organisme réglementaire compétent S’entend, relativement à un exploitant désigné, de l’organisme réglementaire figurant à la colonne 2 de l’annexe 2 en regard de la catégorie d’exploitants à laquelle l’exploitant désigné appartient. (appropriate regulator)

président-directeur général

président-directeur général S’entend au sens de l’article 2 de la Loi sur la Régie canadienne de l’énergie. (Chief Executive Officer)

Régie canadienne de l’énergie

Régie canadienne de l’énergie La Régie canadienne de l’énergie, constituée en vertu du paragraphe 10(1) de la Loi sur la Régie canadienne de l’énergie. (Canadian Energy Regulator)

renseignements confidentiels

renseignements confidentiels S’entend des renseignements qui sont obtenus sous le régime de la présente loi relativement à un cybersystème essentiel et, selon le cas :

• La disposition suivante n'est pas en vigueur.

  a) qui portent sur la vulnérabilité des cybersystèmes essentiels de l’exploitant désigné ou sur les méthodes employées pour leur protection et qui sont traités comme étant confidentiels de façon constante par l’exploitant désigné;

• La disposition suivante n'est pas en vigueur.

  b) dont la divulgation risquerait vraisemblablement de causer des pertes ou profits financiers appréciables à un exploitant désigné ou de nuire à sa compétitivité;

• La disposition suivante n'est pas en vigueur.

  c) dont la divulgation risquerait vraisemblablement d’entraver des négociations, notamment contractuelles, menées par un exploitant désigné. (confidential information)

renseignements personnels

renseignements personnels S’entend au sens de l’article 3 de la Loi sur la protection des renseignements personnels. (personal information)

service critique

service critique Tout service figurant à l’annexe 1. (vital service)

surintendant

surintendant Le surintendant des institutions financières, nommé en vertu du paragraphe 5(1) de la Loi sur le Bureau du surintendant des institutions financières. (Superintendent)

système critique

système critique Tout système figurant à l’annexe 1. (vital system)

Tribunal

Tribunal Le Tribunal d’appel des transports du Canada, constitué en vertu du paragraphe 2(1) de la Loi sur le Tribunal d’appel des transports du Canada. (Tribunal)

vérification interne

vérification interne Examen indépendant et objectif qui procure une assurance et des conseils effectué conformément à des directives reconnues à l’échelle internationale sur les pratiques professionnelles en matière de vérification interne et précisées dans des politiques du Conseil du Trésor, telles que le Cadre de référence international des pratiques professionnelles de l’Institut des auditeurs internes. (internal audit)

Note marginale :Obligation de Sa Majesté

3 La présente loi lie Sa Majesté du chef du Canada.

Note marginale :Désignation du ministre

4 Le gouverneur en conseil peut, par décret, désigner le ministre fédéral visé par le terme « ministre » figurant dans la présente loi.

Note marginale :Objet

5 La présente loi a pour objet d’aider à protéger les cybersystèmes essentiels afin d’assurer la continuité et la sécurité des services critiques et des systèmes critiques, en permettant notamment :

• La disposition suivante n'est pas en vigueur.

  a) d’identifier et de gérer les risques à l’égard de la cybersécurité des cybersystèmes essentiels, notamment les risques associés aux chaînes d’approvisionnement et à l’utilisation de produits et services de tiers;

• La disposition suivante n'est pas en vigueur.

  b) de protéger les cybersystèmes essentiels contre toute compromission;

• La disposition suivante n'est pas en vigueur.

  c) de détecter les incidents de cybersécurité qui touchent ou pourraient toucher les cybersystèmes essentiels;

• La disposition suivante n'est pas en vigueur.

  d) de réduire au minimum les conséquences des incidents de cybersécurité qui touchent les cybersystèmes essentiels.

Note marginale :Ajout à l’annexe 1

• La disposition suivante n'est pas en vigueur.

  6 (1) Le gouverneur en conseil peut, par décret, ajouter à l’annexe 1 un service ou un système respectivement assuré ou exploité dans le cadre d’une installation, d’un ouvrage ou d’une entreprise relevant de la compétence législative du Parlement s’il est convaincu que le service ou le système est critique pour la sécurité nationale ou la sécurité publique.

• La disposition suivante n'est pas en vigueur.

  Note marginale :Modification de l’annexe 1

  (2) Le gouverneur en conseil peut, par décret, modifier l’annexe 1 afin de modifier ou de supprimer la mention de tout service ou système.

Note marginale :Catégorie d’exploitants et organisme réglementaire correspondant

7 Le gouverneur en conseil peut, par décret, modifier l’annexe 2 :

• La disposition suivante n'est pas en vigueur.

  a) par adjonction :

  • (i) d’une catégorie d’exploitants — composée des personnes, sociétés de personnes ou organisations non dotées de la personnalité morale qui exploitent des installations, ouvrages ou entreprises relevant de la compétence législative du Parlement — à l’égard d’un service critique ou d’un système critique,

  • (ii) de l’organisme réglementaire pour cette catégorie;

• La disposition suivante n'est pas en vigueur.

  b) par modification ou suppression d’une catégorie d’exploitants ou de l’organisme réglementaire pour cette catégorie.

Note marginale :Cybersystème essentiel : obligation d’un exploitant désigné

8 L’exploitant désigné qui contrôle ou exploite un cybersystème essentiel ou en est propriétaire est tenu de se conformer aux dispositions de la présente loi et de ses règlements concernant ce cybersystème.

Note marginale :Établissement d’un programme de cybersécurité

• La disposition suivante n'est pas en vigueur.

  9 (1) Après la publication dans la Partie II de la Gazette du Canada d’un décret visé à l’article 7, l’exploitant désigné appartenant à une catégorie d’exploitants figurant à l’annexe 2 est tenu d’établir, dans les quatre-vingt-dix jours suivant la date à laquelle il devient membre de la catégorie, un programme de cybersécurité relativement à ses cybersystèmes essentiels et d’y inclure des mesures en vue, conformément à tout règlement :

  • La disposition suivante n'est pas en vigueur.

    a) d’identifier et de gérer les risques organisationnels pour la cybersécurité des cybersystèmes essentiels, notamment les risques associés à la chaîne d’approvisionnement de l’exploitant désigné et à l’utilisation par celui-ci de produits et services de tiers;

  • La disposition suivante n'est pas en vigueur.

    b) de protéger ses cybersystèmes essentiels contre toute compromission;

  • La disposition suivante n'est pas en vigueur.

    c) de détecter les incidents de cybersécurité qui touchent ou pourraient toucher ses cybersystèmes essentiels;

  • La disposition suivante n'est pas en vigueur.

    d) de réduire au minimum les conséquences des incidents de cybersécurité qui touchent les cybersystèmes essentiels;

  • La disposition suivante n'est pas en vigueur.

    e) de prendre toute mesure prévue par règlement.

• La disposition suivante n'est pas en vigueur.

  Note marginale :Avis

  (2) Dès que le programme est établi, l’exploitant désigné en avise par écrit l’organisme réglementaire compétent.

Note marginale :Fourniture du programme

10 L’exploitant désigné est tenu, dans les quatre-vingt-dix jours suivant la date à laquelle il devient membre d’une catégorie d’exploitants figurant à l’annexe 2, de fournir le programme de cybersécurité à l’organisme réglementaire compétent, ou de le mettre à sa disposition, de la manière prévue par règlement ou, à défaut, que l’organisme estime indiquée.

Note marginale :Délai supplémentaire

11 À la demande écrite de l’exploitant désigné, l’organisme réglementaire compétent peut lui accorder un délai supplémentaire pour se conformer au paragraphe 9(1) ou à l’article 10, ou aux deux. Ce délai peut être prorogé plusieurs fois à la discrétion de l’organisme réglementaire compétent.

Note marginale :Mise en oeuvre et mise à jour

12 Après avoir établi le programme de cybersécurité, l’exploitant désigné le met en oeuvre en prenant les mesures qui y sont prévues en application de l’article 9 et en assure la mise à jour.

Note marginale :Examen du programme : début

• La disposition suivante n'est pas en vigueur.

  13 (1) L’exploitant désigné doit entreprendre un examen du programme de cybersécurité à la date prévue par règlement ou, à défaut, à chaque anniversaire de l’établissement du programme en application de l’article 9.

• La disposition suivante n'est pas en vigueur.

  Note marginale :Fin de l’examen

  (2) L’examen doit être terminé dans les soixante jours à compter du début de l’examen, à moins qu’un autre délai ne soit prévu par règlement. Au besoin, le programme est modifié en conséquence.

• La disposition suivante n'est pas en vigueur.

  Note marginale :Avis : changement au programme

  (3) Dans les trente jours à compter de la fin de l’examen, à moins qu’un autre délai ne soit prévu par règlement, l’exploitant désigné avise l’organisme réglementaire compétent si des changements ont été apportés ou non au programme après l’examen précédent.

Note marginale :Avis : autres changements

• La disposition suivante n'est pas en vigueur.

  14 (1) L’exploitant désigné avise, dans les délais prévus par règlement, l’organisme réglementaire compétent de l’existence des circonstances et faits suivants :

  • La disposition suivante n'est pas en vigueur.

    a) un changement important est survenu dans la propriété ou le contrôle de l’exploitant désigné;

  • La disposition suivante n'est pas en vigueur.

    b) un changement important a été apporté à la chaîne d’approvisionnement de l’exploitant désigné ou à l’utilisation par celui-ci de produits et services de tiers;

  • La disposition suivante n'est pas en vigueur.

    c) toutes circonstances prévues par règlement.

• La disposition suivante n'est pas en vigueur.

  Note marginale :Avis supplémentaire : changements

  (2) Dans les quatre-vingt-dix jours suivant la date à laquelle l’avis visé au paragraphe (1) est donné, l’exploitant désigné avise l’organisme réglementaire compétent de tout changement apporté au programme ou de l’absence de changement qui découle des alinéas (1)a), b) ou c).

• La disposition suivante n'est pas en vigueur.

  Note marginale :Délai supplémentaire

  (3) À la demande écrite de l’exploitant désigné, l’organisme réglementaire compétent peut lui accorder un délai supplémentaire pour se conformer au paragraphe (2). Ce délai peut être prorogé plusieurs fois à la discrétion de l’organisme réglementaire compétent.