Loi sur la protection des cybersystèmes essentiels (L.C. 2026, ch. 9, art. 11)

Note marginale :Atténuation des risques

15 Dès que les risques à l’égard de la cybersécurité qui sont associés à la chaîne d’approvisionnement de l’exploitant désigné ou à l’utilisation par celui-ci de produits et services de tiers ont été identifiés en application de l’alinéa 9(1)a), l’exploitant désigné est tenu d’atténuer ces risques.

Note marginale :Lignes directrices sur l'atténuation des risques

15.1 Le Centre de la sécurité des télécommunications, en consultation avec les intervenants concernés au sein de l’industrie, peut élaborer des lignes directrices sur l’atténuation des risques associés aux chaînes d’approvisionnement et à l’utilisation de produits et services de tiers, en tenant compte des cadres internationalement reconnus comme ceux de l’Organisation internationale de normalisation sur la cybersécurité dans les relations avec les fournisseurs.

Note marginale :Conseils du Centre de la sécurité des télécommunications

16 L’organisme réglementaire compétent peut fournir au Centre de la sécurité des télécommunications tous renseignements, y compris confidentiels, concernant le programme de cybersécurité d’un exploitant désigné ou toute mesure prise en application de l’article 15 afin que le Centre lui prodigue des avis, des conseils et des services conformément à son mandat concernant l’exercice des attributions qui lui sont conférées sous le régime de la présente loi.

Note marginale :Rapport des incidents de cybersécurité

17 Il incombe à tout exploitant désigné de déclarer, dans les délais réglementaires, lesquels ne doivent pas dépasser soixante-douze heures, tout incident de cybersécurité concernant l’un de ses cybersystèmes essentiels au Centre de la sécurité des télécommunications, conformément aux règlements, dans le but de permettre au Centre d’exercer ses attributions.

Note marginale :Avis

18 Sans délai après avoir déclaré un incident de cybersécurité, l’exploitant désigné :

• La disposition suivante n'est pas en vigueur.

  a) en avise, de la manière et selon la forme prévues par règlement, l’organisme réglementaire compétent;

• La disposition suivante n'est pas en vigueur.

  b) lui remet une copie du rapport d’incident.

Note marginale :Précision

18.1 Il est entendu que les articles 17 et 18 n’ont pas pour effet de porter atteinte aux dispositions de la Loi sur la protection des renseignements personnels et les documents électroniques.

Note marginale :Centre de la sécurité des télécommunications : fourniture du rapport d’incident

19 À la demande d’un organisme réglementaire, le Centre de la sécurité des télécommunications lui remet sans délai, aux fins de la vérification du respect ou de la prévention du non-respect de toute disposition de la présente loi ou de ses règlements, tout ou partie d’une copie du rapport d’incident visant un exploitant désigné qui relève de l’organisme réglementaire compétent.

Note marginale :Directive

• La disposition suivante n'est pas en vigueur.

  20 (1) Le gouverneur en conseil peut, par décret, donner des directives enjoignant à un exploitant désigné, individuellement ou au titre de son appartenance à une catégorie, de se conformer à toute mesure prévue dans la directive en vue de la protection d’un cybersystème essentiel. Toutefois, il ne le fait que s’il a des motifs raisonnables de croire que la directive est nécessaire.

• La disposition suivante n'est pas en vigueur.

  Note marginale :Communication privée

  (1.1) Le gouverneur en conseil ne peut cependant ordonner le décodage d’une communication privée, au sens de l’article 183 du Code criminel, qui est chiffrée.

• La disposition suivante n'est pas en vigueur.

  Note marginale :Modification ou révocation

  (2) Le gouverneur en conseil peut, par décret, modifier ou révoquer toute directive, en tout ou en partie.

• La disposition suivante n'est pas en vigueur.

  Note marginale :Facteurs

  (3) Avant de prendre tout décret en vertu du paragraphe (1), le gouverneur en conseil prend en considération les facteurs suivants :

  • La disposition suivante n'est pas en vigueur.

    a) les répercussions du décret sur les activités opérationnelles des exploitants désignés visés par celui-ci;

  • La disposition suivante n'est pas en vigueur.

    b) les répercussions du décret sur la sécurité publique des Canadiens;

  • La disposition suivante n'est pas en vigueur.

    b.1) les répercussions du décret sur la protection de la vie privée des Canadiens;

  • La disposition suivante n'est pas en vigueur.

    c) les répercussions financières du décret sur les exploitants désignés;

  • La disposition suivante n'est pas en vigueur.

    d) les répercussions du décret sur la fourniture des services critiques et des systèmes critiques aux consommateurs;

  • La disposition suivante n'est pas en vigueur.

    e) tout autre facteur que le gouverneur en conseil considère pertinent.

• La disposition suivante n'est pas en vigueur.

  Note marginale :Portée et teneur

  (3.1) La portée et la teneur des dispositions de la directive sont raisonnables eu égard à l’objectif de protéger un cybersystème essentiel.

• La disposition suivante n'est pas en vigueur.

  Note marginale :Observation

  (4) L’exploitant désigné visé par une directive est tenu de s’y conformer.

• La disposition suivante n'est pas en vigueur.

  Note marginale :Avis du ministre

  (5) Dans les quatre-vingt-dix jours suivant la prise d’un décret en vertu du paragraphe (1), le ministre en avise le Comité des parlementaires sur la sécurité nationale et le renseignement et l’Office de surveillance des activités en matière de sécurité nationale et de renseignement.

• La disposition suivante n'est pas en vigueur.

  Note marginale :Clarification

  (6) Il est entendu que, malgré le paragraphe (1), le gouverneur en conseil ne peut prendre un décret pour intercepter, au sens de ce terme à l’article 183 du Code criminel, une communication privée ou une communication radiotéléphonique, au sens de cet article.

Note marginale :Teneur de la directive

• La disposition suivante n'est pas en vigueur.

  21 (1) La directive donnée en vertu de l’article 20 indique :

  • La disposition suivante n'est pas en vigueur.

    a) le nom de l’exploitant désigné, ou de la catégorie d’exploitants, à qui elle s’applique;

  • La disposition suivante n'est pas en vigueur.

    b) les mesures à prendre par l’exploitant désigné et, le cas échéant, les modalités d’exécution;

  • La disposition suivante n'est pas en vigueur.

    c) les délais dans lesquels elles doivent être prises.

• La disposition suivante n'est pas en vigueur.

  Note marginale :Modalités

  (2) Outre les modalités visées à l’alinéa (1)b), la directive peut aussi comporter d’autres modalités.

Note marginale :Exemption : Loi sur les textes réglementaires

• La disposition suivante n'est pas en vigueur.

  22 (1) Est soustrait à l’application des articles 3, 5 et 11 de la Loi sur les textes réglementaires le décret pris en vertu de l’article 20.

• La disposition suivante n'est pas en vigueur.

  Note marginale :Conditions préalables

  (2) Un exploitant désigné ne peut être reconnu coupable d’avoir contrevenu à une directive donnée en vertu de l’article 20, sauf s’il est établi qu’à la date de la contravention alléguée la directive avait été portée à sa connaissance ou que des mesures raisonnables avaient été prises pour que l’exploitant désigné soit informé de sa teneur.

• La disposition suivante n'est pas en vigueur.

  Note marginale :Certificat

  (3) Le certificat apparemment signé par le ministre ou par le ministre compétent et faisant état de la communication à l’exploitant désigné d’un avis accompagné du texte du décret fait foi, sauf preuve contraire, de la communication de l’avis à l’exploitant désigné.

Note marginale :Échange de renseignements

• La disposition suivante n'est pas en vigueur.

  23 (1) Dans la mesure nécessaire à toute fin liée à l’établissement, à la modification ou à la révocation d’une directive de cybersécurité à l’égard d’un exploitant désigné, toute personne ou entité ci-après peut recueillir des renseignements, notamment confidentiels, auprès de l’une ou l’autre de ces personnes ou entités et lui en communiquer :

  • La disposition suivante n'est pas en vigueur.

    a) le ministre;

  • La disposition suivante n'est pas en vigueur.

    b) le ministre compétent;

  • La disposition suivante n'est pas en vigueur.

    c) l’organisme réglementaire compétent;

  • La disposition suivante n'est pas en vigueur.

    d) le ministre des Affaires étrangères;

  • La disposition suivante n'est pas en vigueur.

    e) le ministre de la Défense nationale;

  • La disposition suivante n'est pas en vigueur.

    f) le chef d’état-major de la défense;

  • La disposition suivante n'est pas en vigueur.

    g) le chef ou un employé du Centre de la sécurité des télécommunications;

  • La disposition suivante n'est pas en vigueur.

    h) le directeur ou un employé du Service canadien du renseignement de sécurité;

  • La disposition suivante n'est pas en vigueur.

    i) toute autre personne ou entité prévue par règlement.

• La disposition suivante n'est pas en vigueur.

  Note marginale :Renseignements confidentiels

  (2) Les renseignements confidentiels, au sens de la présente loi ou de toute autre loi fédérale qui relève d’une entité ou d’une personne ou y est applicable, recueillis ou communiqués en vertu du paragraphe (1) sont traités comme tels.

Note marginale :Interdiction de communication

24 Il est interdit à tout exploitant désigné visé par une directive de cybersécurité d’en communiquer l’existence ou le contenu ou de permettre qu’ils le soient, sauf en conformité avec l’article 25.

Note marginale :Cas où la communication est permise

• La disposition suivante n'est pas en vigueur.

  25 (1) L’exploitant désigné visé par une directive de cybersécurité ne peut en communiquer l’existence et le contenu que dans la mesure nécessaire pour s’y conformer.

• La disposition suivante n'est pas en vigueur.

  Note marginale :Interdiction : communication subséquente

  (2) Nul ne peut communiquer des renseignements obtenus au titre du paragraphe (1) ou permettre qu’ils le soient sans l’autorisation de l’exploitant désigné.

Note marginale :Interdiction

• La disposition suivante n'est pas en vigueur.

  26 (1) Sous réserve du paragraphe (2), nul ne peut, sciemment, communiquer des renseignements confidentiels à une autre personne, à une agence ou à un organisme, ni en autoriser la communication ou l’accès, sauf dans les cas suivants :

  • La disposition suivante n'est pas en vigueur.

    a) la communication est légalement exigée;

  • La disposition suivante n'est pas en vigueur.

    b) les renseignements sont accessibles au public;

  • La disposition suivante n'est pas en vigueur.

    c) l’exploitant désigné concerné y consent;

  • La disposition suivante n'est pas en vigueur.

    d) la communication est nécessaire à la protection des services critiques, des systèmes critiques ou des cybersystèmes essentiels;

  • La disposition suivante n'est pas en vigueur.

    e) la communication est faite en conformité avec toute disposition de la présente loi;

  • La disposition suivante n'est pas en vigueur.

    f) la communication est faite en conformité avec la Loi sur la communication d’information ayant trait à la sécurité du Canada.

• La disposition suivante n'est pas en vigueur.

  Note marginale :Maintien du droit de communiquer les renseignements

  (2) Le présent article ne porte aucunement atteinte à la communication de renseignements confidentiels à un organisme chargé du contrôle d’application de la loi ou au Service canadien du renseignement de sécurité si la communication est par ailleurs licite.

• La disposition suivante n'est pas en vigueur.

  Note marginale :Renseignements confidentiels

  (3) Toute personne, toute agence ou tout organisme à qui sont communiqués des renseignements confidentiels en vertu du paragraphe (1) ou dont l’accès est autorisé en vertu de ce paragraphe les traite comme tels.

Note marginale :Précision

26.1 Il est entendu que la présente loi n’a pas pour effet de porter atteinte aux dispositions de la Loi sur la protection des renseignements personnels relatives à la protection des renseignements personnels.

Note marginale :Échange de renseignements : accords ou arrangements

• La disposition suivante n'est pas en vigueur.

  27 (1) Sous réserve du paragraphe (2), le ministre, un ministre compétent ou un organisme réglementaire peut conclure par écrit un accord ou un arrangement avec le gouvernement d’une province ou d’un pays étranger ou avec une organisation internationale créée par les gouvernements de divers États sur l’échange de renseignements, autres que les renseignements confidentiels, liés à la protection de cybersystèmes essentiels :

  • La disposition suivante n'est pas en vigueur.

    a) entre le ministre, le ministre compétent ou l’organisme réglementaire, selon le cas, et tout organisme de ce gouvernement;

  • La disposition suivante n'est pas en vigueur.

    b) entre le ministre, le ministre compétent ou l’organisme réglementaire, selon le cas, et l’organisation internationale.

• La disposition suivante n'est pas en vigueur.

  Note marginale :Renseignements confidentiels : gouvernement d’une province

  (2) Les renseignements confidentiels ne peuvent être communiqués à un organisme d’un gouvernement d’une province que si les conditions suivantes sont réunies :

  • La disposition suivante n'est pas en vigueur.

    a) ils sont communiqués au titre d’un accord ou d’un arrangement;

  • La disposition suivante n'est pas en vigueur.

    b) le ministre, le ministre compétent ou l’organisme réglementaire, selon le cas, est convaincu qu’ils seront traités comme tels et ne seront pas autrement communiqués sans leur consentement exprès.