Quels organismes sont visés par le Règl. de l’Ont. 51/26?+
Cinq catégories d’entités du secteur public : les conseils scolaires, les collèges et universités au sens de la Loi sur l’accès à l’information et la protection de la vie privée, les hôpitaux publics des groupes A, B ou C, l’Institut de cardiologie de l’Université d’Ottawa et les sociétés d’aide à l’enfance, y compris les organismes autochtones de bien-être de l’enfance. Les hôpitaux privés et les municipalités sont hors champ.
Quand la première évaluation de maturité est-elle due?+
Au plus tard le 1er juillet 2027, puisque le règlement s’applique depuis le 1er juillet 2026 et accorde un an. Le résumé doit parvenir au directeur général de la sécurité de l’information du ministère dans les 30 jours ouvrables suivant la fin de l’évaluation. La suivante est due au deuxième anniversaire de la première, puis au moins une fois tous les deux ans.
L’outil d’ECM de l’Ontario suit-il le cadre NIST CSF 2.0?+
Oui. L’outil provincial repose sur le cadre de cybersécurité 2.0 du NIST, avec des adaptations propres à l’Ontario, et couvre six fonctions : Gouverner, Identifier, Protéger, Détecter, Intervenir et Récupérer. Il compte plus de 100 énoncés cotés de 0 à 5. Une entité peut aussi évaluer hors de l’outil si le cadre utilisé est approuvé par le DGSI du ministère.
Qui doit être la personne-ressource principale en cybersécurité?+
Un employé qui occupe un poste de cadre supérieur et détient un pouvoir décisionnel en cybersécurité. L’entité désigne aussi un suppléant qui répond aux mêmes critères. Leurs coordonnées vont au directeur général de la sécurité de l’information du ministère, et tout changement est signalé dans les 10 jours ouvrables. La personne-ressource principale communique avec le ministère et approuve les résumés d’évaluation.
Quelles obligations de déclaration des cyberincidents?+
Un cyberincident critique se déclare au DGSI du ministère dès que possible et au plus tard 72 heures après sa confirmation. Il est critique s’il touche l’information numérique ou l’infrastructure de l’entité et nuit gravement aux services publics, menace la sécurité publique, exige des efforts de rétablissement importants ou l’activation du plan d’intervention, ou ébranle la confiance du public. Les autres obligations, comme les avis d’atteinte à la vie privée, demeurent.
Un fournisseur externe peut-il préparer le résumé destiné au ministère?+
Oui, un fournisseur peut mener l’évaluation et rédiger l’ébauche du résumé, ce qui aide souvent à respecter l’échéance. Le règlement réserve toutefois l’approbation à la personne-ressource principale, et c’est l’entité qui dépose le résumé auprès du directeur général de la sécurité de l’information. Nous préparons l’ébauche et le dossier de preuves; votre organisme approuve et dépose.
Qu’est-ce que le projet de loi 194 de l’Ontario?+
Le projet de loi 194 est la Loi de 2024 visant à renforcer la cybersécurité et la confiance dans le secteur public, devenue le chapitre 24 des Lois de l’Ontario de 2024. Son annexe 1 a édicté la Loi de 2024 visant à renforcer la sécurité et la confiance en matière de numérique, en vigueur depuis le 29 janvier 2025. Le Règl. de l’Ont. 51/26 a été pris en vertu de cette loi.
Combien coûte une évaluation selon le Règl. de l’Ont. 51/26?+
Le prix dépend du nombre de sites et de systèmes visés, des preuves déjà disponibles, du nombre d’entrevues et du fait que vous nous confiiez ou non la correction des écarts. Après un entretien de 30 minutes, nous envoyons une lettre de mandat avec un prix fixe pour le travail convenu; le montant approuvé par votre conseil est celui que vous payez.
