D’où vient le règlement
Le règlement est pris en application de la Loi de 2024 visant à renforcer la sécurité et la confiance en matière de numérique, au même titre que le Règl. de l’Ont. 52/26 sur les conseils scolaires et les renseignements numériques des élèves. Cette loi a été édictée à l’annexe 1 du projet de loi 194, la Loi de 2024 visant à renforcer la cybersécurité et la confiance dans le secteur public (Lois de l’Ontario de 2024, chapitre 24). Le Règl. de l’Ont. 51/26 a été pris le 12 mars 2026, déposé le 23 mars 2026 et est entré en vigueur le 1er juillet 2026. Sur Lois-en-ligne, vérifié le 24 octobre 2026, le texte est toujours celui déposé, sans règlement modificatif.
Les entités visées, et celles qui ne le sont pas
L’article 2 prescrit cinq types d’entités : les établissements d’enseignement au sens de la Loi sur l’accès à l’information et la protection de la vie privée, c’est-à-dire les collèges et les universités; les hôpitaux publics classés dans le groupe A, B ou C aux termes de la Loi sur les hôpitaux publics; l’Institut de cardiologie de l’Université d’Ottawa; les sociétés d’aide à l’enfance; et les conseils scolaires. L’aperçu de la province précise que les organismes autochtones chargés du bien-être des enfants et des familles sont compris avec les sociétés d’aide à l’enfance.
Les municipalités sont absentes de cette liste. Une ville, un canton ou un conseil local peut tout de même utiliser l’outil provincial d’évaluation de la maturité, que Cybersécurité Ontario ouvre aux municipalités et aux organismes sur une base volontaire.
Les quatre obligations, en bref
L’entité visée élabore et met en œuvre un programme de cybersécurité qui satisfait, à tout le moins, au reste du règlement. Elle désigne deux employés de la haute direction ayant un pouvoir de décision en cybersécurité, une personne-ressource principale et un suppléant, et transmet leurs coordonnées au directeur général de la sécurité de l’information du ministère des Services au public et aux entreprises et de l’Approvisionnement, en signalant tout changement au plus tard dans les 10 jours ouvrables.
Elle effectue une évaluation de sa maturité en matière de cybersécurité selon des normes ou des pratiques exemplaires qu’appuie le directeur général de la sécurité de l’information : la première au plus tard un an après la date où le règlement s’applique à elle, donc au plus tard le 1er juillet 2027, la suivante au plus tard au deuxième anniversaire de celle-ci, puis au moins une fois par période de deux ans. Un résumé est remis au plus tard 30 jours ouvrables après chaque évaluation, approuvé par la personne-ressource principale. Enfin, un cyberincident critique est signalé dès que les circonstances le permettent, mais au plus tard 72 heures après sa confirmation.
Ce que le règlement laisse en place
Le règlement s’ajoute aux obligations existantes. L’article 7 précise que le signalement d’un incident laisse intactes les autres obligations juridiques de l’entité, dont celles de la Loi sur l’accès à l’information et la protection de la vie privée; les règles sur les atteintes à la vie privée continuent donc de s’appliquer en parallèle du délai de 72 heures.
Les détails par secteur, les critères exacts d’un incident critique et le déroulement concret d’une évaluation se trouvent sur notre page complète consacrée au Règl. de l’Ont. 51/26, avec une page par secteur visé.
