Signal 01
Le Québec a montré la voie en cybersécurité au Canada. Le pays risque-t-il maintenant de perdre son élan?
En 2022, le Québec a pris une décision importante qui a contribué à rehausser la place de la cybersécurité dans l'administration publique canadienne. En créant le ministère de la Cybersécurité et du Numérique, il devenait la première province canadienne à réunir la cybersécurité et la transformation numérique au sein d'un ministère doté d'un mandat politique distinct. Cette initiative reconnaissait que la cybersécurité n'était plus simplement une responsabilité technique relevant des services informatiques, mais un enjeu stratégique lié à la résilience économique, aux services publics, aux infrastructures essentielles et à la protection des citoyens. Quatre ans plus tard, le Québec s'éloigne de ce modèle. Le gouvernement transfère les responsabilités en cybersécurité et en numérique sous l'autorité du Conseil du trésor, une réorganisation touchant environ 2 000 employés et nécessitant encore des modifications législatives pour abolir officiellement le ministère. Cette restructuration vise à améliorer l'administration et la coordination gouvernementales, particulièrement en matière d'investissements technologiques, de marchés publics et de gouvernance des projets numériques. Les conséquences dépassent largement les frontières du Québec. À un moment où l'intelligence artificielle retient une attention politique croissante et où les cybermenaces deviennent plus complexes, cette décision soulève une question nationale importante : les gouvernements canadiens renforcent-ils leur leadership en cybersécurité ou permettent-ils à cette responsabilité de devenir moins visible au sein de structures administratives plus larges? CCN considère que l'initiative initiale du Québec représentait une avancée importante dans la reconnaissance de la cybersécurité comme responsabilité stratégique du gouvernement. Même s'il existe des raisons légitimes de renforcer la surveillance exercée par le Conseil du trésor, cette décision offre l'occasion d'engager une réflexion canadienne plus large sur le leadership spécialisé en cybersécurité, l'expertise institutionnelle, la responsabilité politique et les relations entre la cybersécurité et l'intelligence artificielle.
Ce qui s’est passé
La restructuration québécoise représente un changement important dans l'organisation des responsabilités politiques et administratives liées à la cybersécurité et à la transformation numérique. Plutôt que de maintenir un ministère spécialisé possédant sa propre identité politique, le gouvernement intègre ces responsabilités à la structure du Conseil du trésor. Les modifications législatives officielles ne sont pas encore terminées, et l'efficacité des nouveaux arrangements dépendra de la répartition définitive des pouvoirs, de l'expertise et des mécanismes de responsabilité. Le ministère initial, créé en janvier 2022, constituait une initiative précurseure au Canada. Il réunissait la cybersécurité et la transformation numérique sous un leadership ministériel spécialisé et créait un interlocuteur institutionnel clairement identifiable pour les autres gouvernements, l'industrie, les établissements d'enseignement et les spécialistes de la cybersécurité. Sa création témoignait de l'importance croissante de protéger les systèmes gouvernementaux et les renseignements publics tout en modernisant les services numériques. La restructuration survient dans un contexte de préoccupations plus larges concernant la gouvernance des projets technologiques gouvernementaux au Québec. En mai 2026, l'Autorité des marchés publics recommandait de ramener la gouvernance centrale des projets numériques au Conseil du trésor tout en renforçant l'expertise technique et le rôle de conseil du ministère de la Cybersécurité et du Numérique. Cette distinction est importante, puisque la recommandation reconnaissait la nécessité d'une meilleure surveillance administrative sans nécessairement demander l'élimination d'un leadership spécialisé en cybersécurité. L'approche gouvernementale pourrait favoriser une intégration plus étroite des exigences de cybersécurité, de la surveillance financière, des marchés publics et de la réalisation des projets. Toutefois, elle soulève également des questions quant au maintien de la visibilité politique et de l'autorité institutionnelle de la cybersécurité. Les réactions de la communauté de la cybersécurité reflètent ces préoccupations. Steve Waterhouse, ancien haut responsable de la cybersécurité au gouvernement du Québec, a remis en question le moment choisi et les conséquences possibles pour l'élan institutionnel et la visibilité internationale. L'ancien ministre Gilles Bélanger a exprimé des réserves concernant les répercussions sur la stratégie de cybersécurité. Le Syndicat de professionnelles et professionnels du gouvernement du Québec a soulevé des préoccupations concernant la consultation et la préservation de l'expertise interne. Ces réactions ne démontrent pas que les capacités québécoises de cybersécurité ont déjà été affaiblies. Elles mettent toutefois en évidence des questions importantes auxquelles la nouvelle structure de gouvernance devra répondre. EN MEANS: The restructuring raises a fundamental question about how governments should organize cybersecurity leadership as technology becomes increasingly central to public administration, economic competitiveness and national resilience. A dedicated ministry can provide political visibility and strategic focus, while a central agency such as Treasury Board can exercise stronger influence over budgets, procurement and administrative standards. Neither model automatically guarantees effective cybersecurity governance. There are legitimate potential benefits to integrating cybersecurity more closely with Treasury Board. Government technology projects require financial discipline, effective procurement, clear decision making and rigorous oversight. Cybersecurity requirements should be incorporated into investment approvals, supplier assessments, digital architecture and operational planning rather than considered only after systems have been purchased or deployed. However, financial governance and cybersecurity strategy are complementary responsibilities, not interchangeable ones. Governments need leaders who can evaluate spending and project performance, but they also need specialized cybersecurity authorities capable of identifying risks, establishing security requirements, coordinating incident response and challenging decisions when public systems are exposed to unacceptable threats. Institutional expertise is another important consideration. Cybersecurity organizations depend on experienced personnel, accumulated operational knowledge, established relationships and the ability to coordinate across organizational boundaries. Changes in reporting structures can be implemented relatively quickly, but preserving institutional capabilities requires deliberate attention. The growing prominence of artificial intelligence adds another dimension. AI governance addresses the development, deployment and consequences of intelligent systems, while cybersecurity focuses on protecting the information, infrastructure and operations on which governments, businesses and citizens depend. The responsibilities overlap, but they are not interchangeable. Governments can pursue ambitious AI strategies while remaining exposed to ransomware, compromised suppliers, identity attacks and disruptions to essential services. Strong AI leadership therefore does not eliminate the need for dedicated cybersecurity leadership. The effectiveness of Quebec's new model should ultimately be assessed through measurable outcomes, including the clarity of decision making authority, preservation of specialized expertise, effectiveness of incident response, integration of security into procurement and resilience of public services. FR MEANS: La restructuration soulève une question fondamentale sur la façon dont les gouvernements devraient organiser leur leadership en cybersécurité alors que la technologie devient de plus en plus centrale à l'administration publique, à la compétitivité économique et à la résilience nationale. Un ministère spécialisé peut offrir une visibilité politique et une orientation stratégique, tandis qu'un organisme central comme le Conseil du trésor peut exercer une influence plus directe sur les budgets, les marchés publics et les normes administratives. Aucun de ces modèles ne garantit automatiquement une gouvernance efficace en cybersécurité. Il existe des avantages potentiels légitimes à intégrer davantage la cybersécurité au Conseil du trésor. Les projets technologiques gouvernementaux exigent une discipline financière, des processus d'approvisionnement efficaces, des décisions claires et une surveillance rigoureuse. Les exigences de cybersécurité devraient être intégrées aux autorisations d'investissement, à l'évaluation des fournisseurs, à l'architecture numérique et à la planification opérationnelle plutôt que d'être prises en compte uniquement après l'achat ou le déploiement des systèmes. Toutefois, la gouvernance financière et la stratégie de cybersécurité sont complémentaires, mais non interchangeables. Les gouvernements ont besoin de dirigeants capables d'évaluer les dépenses et la performance des projets, mais également de responsables spécialisés en cybersécurité pouvant identifier les risques, établir des exigences de sécurité, coordonner les interventions et remettre en question certaines décisions lorsque les systèmes publics sont exposés à des menaces inacceptables. L'expertise institutionnelle constitue un autre enjeu important. Les organisations de cybersécurité dépendent de personnel expérimenté, de connaissances opérationnelles accumulées, de relations établies et d'une capacité de coordination qui dépasse les frontières organisationnelles. Les changements hiérarchiques peuvent être réalisés relativement rapidement, mais la préservation des capacités institutionnelles exige une attention particulière. La place grandissante de l'intelligence artificielle ajoute une autre dimension. La gouvernance de l'IA concerne le développement, le déploiement et les conséquences des systèmes intelligents, tandis que la cybersécurité vise à protéger les renseignements, les infrastructures et les activités dont dépendent les gouvernements, les entreprises et les citoyens. Ces responsabilités se recoupent, mais elles ne sont pas interchangeables. Les gouvernements peuvent poursuivre des stratégies ambitieuses en intelligence artificielle tout en demeurant exposés aux rançongiciels, à la compromission des fournisseurs, aux attaques contre les identités numériques et aux interruptions de services essentiels. Un leadership solide en IA ne remplace donc pas la nécessité d'un leadership spécialisé en cybersécurité. L'efficacité du nouveau modèle québécois devrait ultimement être évaluée à partir de résultats mesurables, notamment la clarté des pouvoirs décisionnels, la préservation de l'expertise spécialisée, l'efficacité des interventions en cas d'incident, l'intégration de la sécurité aux marchés publics et la résilience des services publics.
Pourquoi c’est important pour le Canada
La décision du Québec a des conséquences nationales parce que la province a été une pionnière canadienne dans la reconnaissance de la cybersécurité comme responsabilité méritant une attention ministérielle spécialisée. Son initiative initiale proposait un modèle que les autres administrations pouvaient examiner pour réfléchir à la coordination de la cybersécurité, de la transformation numérique et de la responsabilité gouvernementale. Le Canada fait maintenant face à des défis de cybersécurité de plus en plus complexes touchant les infrastructures essentielles, les soins de santé, les services publics, l'identité numérique, l'intelligence artificielle, l'infonuagique et les chaînes d'approvisionnement technologiques interconnectées. Les cyberincidents peuvent entraîner des conséquences physiques, opérationnelles et économiques, ce qui fait de la cybersécurité un enjeu de sécurité publique, de politique économique, de compétitivité des entreprises et de sécurité nationale. Malgré l'importance croissante de ces responsabilités, la gouvernance de la cybersécurité demeure répartie entre de nombreuses organisations fédérales, provinciales, territoriales et municipales. Les organismes de sécurité publique, les administrations centrales, les organisations technologiques et les différents ministères jouent tous des rôles importants, mais leur coordination devient plus difficile lorsque les menaces et les responsabilités dépassent les frontières institutionnelles. La restructuration québécoise devrait encourager les gouvernements canadiens à examiner si leurs structures de leadership offrent une visibilité stratégique, une autorité opérationnelle et une responsabilité suffisantes. La question n'est pas de savoir si chaque administration doit posséder un ministère consacré à la cybersécurité. Il faut plutôt déterminer si les dirigeants responsables de la cybersécurité disposent de l'autorité, des ressources et de l'accès aux décideurs nécessaires pour protéger les systèmes publics et assurer une coordination efficace. La relation entre la cybersécurité et l'intelligence artificielle revêt une importance particulière à l'échelle nationale. Le Canada investit dans la recherche en IA, les infrastructures de calcul, la commercialisation et l'adoption de ces technologies. Ces investissements dépendront de systèmes sécurisés, d'infrastructures numériques fiables, d'une gouvernance efficace de l'information et de la confiance du public. L'existence d'un leadership politique consacré à l'IA reflète son importance économique et technologique. Toutefois, la cybersécurité ne devrait pas perdre de sa visibilité alors que les gouvernements développent leurs responsabilités en intelligence artificielle. Les deux domaines nécessitent des expertises et des responsabilités distinctes, soutenues par une coordination efficace. Pour les entreprises canadiennes, la gouvernance gouvernementale en cybersécurité influence également les exigences d'approvisionnement, les normes imposées aux fournisseurs, les investissements technologiques, les partenariats avec le secteur public et la confiance envers les infrastructures numériques. Les entreprises bénéficient de gouvernements qui maintiennent une expertise interne solide, établissent des exigences de sécurité prévisibles et agissent comme des acheteurs avertis de technologies. L'initiative initiale du Québec a contribué à rehausser la place de la cybersécurité dans l'administration publique canadienne. Sa restructuration offre maintenant l'occasion de réfléchir aux moyens de préserver et de renforcer ces progrès à l'échelle du pays.
Ce que CCN observe
CCN considère la création du ministère de la Cybersécurité et du Numérique en 2022 comme une contribution importante du Québec au leadership canadien en cybersécurité. La province a reconnu, avant la plupart des autres administrations canadiennes, que la cybersécurité méritait une place distincte dans les décisions gouvernementales, compte tenu de son importance croissante pour la sécurité économique, la confiance du public et la continuité des services essentiels. La décision de s'éloigner de ce modèle soulève des préoccupations légitimes quant au maintien de la visibilité politique et de l'autorité institutionnelle de la cybersécurité. Une intégration plus étroite au Conseil du trésor pourrait améliorer les marchés publics, la surveillance financière et la gouvernance des projets, mais ces avantages ne devraient pas être obtenus au détriment d'un leadership spécialisé en cybersécurité. CCN aurait souhaité que le Québec préserve une fonction de leadership en cybersécurité distincte et hautement visible, possiblement sous la responsabilité d'une sous ministre ou d'un sous ministre consacré à la cybersécurité, travaillant aux côtés de la ministre responsable de l'intelligence artificielle et du numérique. Une telle structure pourrait combiner les avantages administratifs du Conseil du trésor avec la présence d'une haute dirigeante ou d'un haut dirigeant clairement responsable de la stratégie de cybersécurité, de la résilience gouvernementale, de la coordination entre les ministères et des relations avec la communauté de la cybersécurité. Cette personne devrait disposer de pouvoirs clairement définis, d'un accès direct aux hauts décideurs gouvernementaux et de ressources suffisantes pour influencer les investissements, les marchés publics, les normes de sécurité et la préparation opérationnelle. L'objectif ne serait pas de créer un niveau administratif supplémentaire, mais de garantir que la cybersécurité dispose d'un leadership stratégique identifiable et responsable devant l'ensemble du gouvernement. Cette proposition ne constitue pas une opposition au leadership en intelligence artificielle. Le Canada a besoin d'un leadership solide tant en cybersécurité qu'en IA, particulièrement parce que l'adoption d'une intelligence artificielle digne de confiance dépend de systèmes sécurisés, d'infrastructures fiables et d'une gouvernance efficace de l'information. La cybersécurité ne devrait pas devoir concurrencer l'IA pour obtenir une attention stratégique, ni être considérée uniquement comme une fonction de soutien à la transformation numérique. CCN estime également que les gouvernements devraient évaluer leur gouvernance en cybersécurité à partir de résultats mesurables plutôt que de simples titres organisationnels. Le maintien du personnel spécialisé, la clarté des pouvoirs décisionnels, l'efficacité des interventions en cas d'incident, l'intégration de la sécurité aux marchés publics et l'amélioration de la résilience des services publics constituent des indicateurs de progrès plus significatifs que le nombre de ministères ou d'organismes. L'expérience québécoise représente une occasion pour les autres gouvernements canadiens d'examiner leurs propres structures. Un leadership consacré à la cybersécurité, qu'il soit exercé au niveau ministériel, au niveau de sous ministre ou par une haute direction spécialisée, peut contribuer à maintenir des liens solides entre la cybersécurité, les politiques économiques, les infrastructures essentielles, la sécurité nationale et la responsabilité publique. Une autre leçon institutionnelle mérite notre attention. Le développement d'une expertise spécialisée en cybersécurité, de capacités opérationnelles et de relations de confiance exige plusieurs années. Les gouvernements devraient évaluer soigneusement la valeur de ces acquis avant de restructurer les organisations qui les ont développés. Les économies administratives et l'amélioration de la surveillance constituent des objectifs légitimes, mais elles doivent être examinées en tenant compte des coûts possibles liés aux perturbations, à la perte d'expertise ou à une coordination stratégique affaiblie. L'initiative initiale du Québec démontrait que la cybersécurité avait acquis sa place aux plus hauts niveaux du gouvernement. Sa restructuration ne devrait pas amener le Canada à perdre de vue cette réalisation. Elle devrait plutôt encourager les gouvernements à renforcer l'autorité, l'expertise et les mécanismes de responsabilité nécessaires pour protéger une économie de plus en plus numérique. La question centrale n'est pas de savoir si le Québec devrait conserver un ministère particulier ou un titre organisationnel précis. Il faut plutôt déterminer si la province, et le Canada dans son ensemble, fourniront aux dirigeants responsables de la cybersécurité l'autorité, les ressources et la visibilité nécessaires pour protéger les citoyens, soutenir les entreprises et renforcer la résilience nationale. Le Québec a contribué à inscrire le leadership en cybersécurité à l'ordre du jour politique canadien. Le défi consiste maintenant à s'appuyer sur ce progrès plutôt que de permettre à la cybersécurité de perdre de sa visibilité au moment même où son importance continue de croître.
Ce que les dirigeants devraient envisager
Les dirigeants gouvernementaux partout au Canada devraient examiner si leurs structures de gouvernance en cybersécurité offrent une visibilité stratégique, des pouvoirs décisionnels et une responsabilité opérationnelle suffisants. La question ne concerne pas simplement la place de la cybersécurité dans un organigramme, mais plutôt la capacité des responsables de la protection des systèmes gouvernementaux à influencer les investissements technologiques, les marchés publics, la transformation numérique et la résilience des infrastructures essentielles. La restructuration québécoise devrait être évaluée à partir du cadre législatif définitif, de la désignation des hauts responsables de la cybersécurité, du maintien des équipes spécialisées et de la répartition des pouvoirs entre le Conseil du trésor, les responsables de la cybersécurité et la ministre responsable de l'intelligence artificielle et du numérique. Ces arrangements détermineront si la province peut combiner une meilleure surveillance administrative avec un leadership efficace en cybersécurité. Pour les autres gouvernements provinciaux et le gouvernement fédéral, l'expérience québécoise offre l'occasion d'évaluer les avantages d'un leadership spécialisé en cybersécurité au niveau ministériel, au niveau de sous ministre ou au sein de la haute direction. Une responsabilité clairement définie, un accès aux principaux décideurs et une capacité de coordination entre les ministères sont essentiels, quel que soit le modèle organisationnel choisi. Les dirigeants technologiques du secteur public devraient veiller à intégrer la cybersécurité aux marchés publics, aux autorisations d'investissement, à l'évaluation des fournisseurs et à la gouvernance des projets numériques. Ils devraient également déterminer si l'expertise interne est suffisante pour gérer des environnements technologiques complexes et réduire une dépendance excessive envers les fournisseurs externes. Les dirigeants d'entreprises et les fournisseurs technologiques devraient surveiller les effets des changements de gouvernance sur les exigences d'approvisionnement, les normes de sécurité, les partenariats avec le secteur public et les attentes concernant le déploiement de technologies dignes de confiance. La question la plus importante pour les dirigeants canadiens consiste à déterminer si la cybersécurité dispose de l'autorité et de l'attention nécessaires pour protéger une économie de plus en plus numérique tout en soutenant l'innovation, l'adoption de l'intelligence artificielle et la confiance du public.
Personnes à surveiller
Alain Therrien, président du Conseil du trésor du Québec, pour la mise en œuvre de la nouvelle structure de gouvernance et la répartition des responsabilités au sein du Conseil du trésor. Anne Nguyen, ministre responsable de l'intelligence artificielle et du numérique, pour les relations entre les politiques en IA, la transformation numérique et les responsabilités en cybersécurité. Steve Waterhouse, spécialiste de la cybersécurité et ancien haut responsable de la cybersécurité au gouvernement du Québec, pour son point de vue sur l'expertise institutionnelle, le leadership en cybersécurité et les conséquences de la restructuration. Gilles Bélanger, ancien ministre québécois de la Cybersécurité et du Numérique, pour son point de vue sur le mandat initial du ministère et les conséquences de la décision gouvernementale. Les hauts responsables de la cybersécurité au sein des gouvernements fédéral, provinciaux et territoriaux, particulièrement ceux chargés de la stratégie de sécurité gouvernementale, des interventions en cas d'incident et de la coordination entre les ministères.
Organisations à surveiller
Secrétariat du Conseil du trésor du Québec, pour la structure définitive de gouvernance, les mécanismes de responsabilité et l'intégration de la cybersécurité aux marchés publics et à la surveillance des projets numériques. Ministère de la Cybersécurité et du Numérique, pour le transfert des responsabilités, du personnel et des capacités spécialisées. Autorité des marchés publics, pour ses recommandations et ses activités de surveillance concernant les marchés publics technologiques et la gouvernance des projets numériques. Syndicat de professionnelles et professionnels du gouvernement du Québec, pour les développements touchant les employés spécialisés du gouvernement et l'expertise interne. Centre canadien pour la cybersécurité, pour les orientations nationales en cybersécurité, la coordination gouvernementale et la résilience opérationnelle. Secrétariat du Conseil du Trésor du Canada, pour la gouvernance numérique fédérale, les politiques de cybersécurité et la gestion des technologies dans le secteur public. Les organisations provinciales et territoriales responsables de la cybersécurité, pour l'évolution des modèles de gouvernance, du leadership spécialisé et de la coopération entre gouvernements. Les principaux développements à surveiller comprennent l'adoption de la législation définitive, la nomination ou la désignation d'une haute autorité en cybersécurité, le maintien du personnel spécialisé, la répartition des budgets et des pouvoirs décisionnels, la continuité des capacités d'intervention en cas d'incident et la publication d'indicateurs de performance.
Source : https://www.legisquebec.gouv.qc.ca/fr/document/lc/M-17.1.1