Règl. de l’Ont. 51/26 · Enseignement supérieur

Maturité en cybersécurité des collèges et universités de l’Ontario

La cybersécurité des collèges et universités de l’Ontario relève maintenant de deux textes. Le Règl. de l’Ont. 51/26 vise tout établissement d’enseignement au sens de la LAIPVP, soit un collège d’arts appliqués et de technologie ou une université, et fixe la première évaluation de la maturité au 1er juillet 2027 au plus tard.¹² Les obligations de la LAIPVP en cas d’atteinte s’appliquent depuis le 1er juillet 2025.²

Demandez un rappel Réservez l’audit gratuit

Les systèmes des facultés font partie de la même évaluation que les TI centrales.

Une personne ici vous rappelle le jour même, habituellement en moins d’une heure.

D’abord l’autorisation écrite
Un rapport en mots simples
Vérifié de nouveau après la correction

Les établissements visés par le règlement

Le règlement s’applique à chaque établissement que la LAIPVP qualifie d’établissement d’enseignement, terme que la Loi définit comme un collège d’arts appliqués et de technologie ou une université.¹² L’article 2 du Règl. de l’Ont. 51/26 reprend exactement ce renvoi au paragraphe 2 (1) de la Loi sur l’accès à l’information et la protection de la vie privée, et les obligations courent depuis le 1er juillet 2026.¹

Pour un organisme situé à la limite de cette définition, comme un collège affilié ou fédéré, l’interprétation revient aux conseillers juridiques de l’établissement. Notre travail commence quand l’établissement sait qu’il est visé, ou choisit de mener la même évaluation volontairement; l’outil de Cybersécurité Ontario est ouvert aussi aux organismes non visés.⁴ La page sur le Règl. de l’Ont. 51/26 traite des hôpitaux, des conseils scolaires et des sociétés d’aide à l’enfance.

Cybersécurité en enseignement supérieur en Ontario : obligations et dates
Disposition	Ce que l’établissement doit faire	En vigueur	Source
Règl. de l’Ont. 51/26, art. 3 et 4	Mettre en œuvre un programme de cybersécurité; désigner une personne-ressource principale et un suppléant de la haute direction	1er juillet 2026	¹
Règl. de l’Ont. 51/26, art. 5 et 6	Effectuer une évaluation initiale dans l’année, puis au moins une fois tous les deux ans; remettre un résumé au DGSI dans les 30 jours ouvrables	1er juillet 2026; première évaluation d’ici le 1er juillet 2027	¹
Règl. de l’Ont. 51/26, art. 7	Signaler un cyberincident critique dans les 72 heures suivant sa confirmation	1er juillet 2026	¹
LAIPVP, par. 38 (3)	Préparer une évaluation écrite de l’impact sur la vie privée avant de recueillir des renseignements personnels	1er juillet 2025	²
LAIPVP, par. 40 (5) et art. 40.1	Prendre des mesures de protection raisonnables; faire rapport au commissaire, aviser les personnes touchées et consigner chaque atteinte en cas de risque réel de préjudice grave	1er juillet 2025	²

La LAIPVP et les cyberincidents sur le campus

Pour la LAIPVP, un cyberincident devient une atteinte à la vie privée dès qu’il y a vol, perte, utilisation ou divulgation non autorisée de renseignements personnels. Depuis le 1er juillet 2025, la personne responsable de l’établissement fait rapport au commissaire à l’information et à la protection de la vie privée, et avise chaque personne touchée, s’il est raisonnable de croire qu’il existe un risque réel de préjudice grave.²

La Loi énumère les facteurs à considérer : la sensibilité des renseignements, la probabilité d’un mauvais usage, les mesures que la personne pourrait prendre pour réduire le préjudice et les directives du commissaire. L’établissement tient aussi un registre de chaque atteinte.² Le Règl. de l’Ont. 51/26 ajoute son propre rapport au DGSI du ministère pour les cyberincidents critiques, dans les 72 heures, et précise que les obligations de la LAIPVP demeurent.¹

Deux délais, deux destinataires, un seul ensemble de faits : notre évaluation vérifie si les journaux, les registres de comptes et les sauvegardes permettraient d’établir rapidement quels systèmes ont été touchés, quels renseignements et à quel moment.

Un incident sur le campus, deux rapports : le ministère selon le Règl. de l’Ont. 51/26 et le commissaire selon la LAIPVP.

Évaluer les TI décentralisées des facultés et des services

L’évaluation de la maturité en cybersécurité d’un collège ou d’une université porte sur l’établissement entier, même quand facultés, départements, groupes de recherche et résidences exploitent leurs propres systèmes. Le résumé comporte un seul pointage global : l’évaluation doit donc dépasser le périmètre des TI centrales.¹

Nous procédons en quatre temps, tous décrits dans la lettre de mandat pour que l’établissement sache ce qui a été échantillonné et pourquoi.

Cartographier qui exploite quoi

Nous dressons la liste des systèmes des TI centrales, de ceux des facultés et des départements, et des services infonuagiques achetés localement. La carte montre où s’arrêtent les contrôles de l’établissement et où commence la pratique locale.

Échantillonner, puis noter l’ensemble

Nous rencontrons les TI centrales et un échantillon de facultés de tailles et d’intensité de recherche différentes, puis nous notons chaque énoncé pour l’établissement dans son ensemble en consignant les écarts locaux.³

Données de recherche et exigences des partenaires

Des groupes de recherche peuvent détenir des données soumises à des ententes qui fixent leurs propres exigences de sécurité. Lorsque l’établissement nous les communique, nous les gardons visibles dans le plan de correction.

Comptes des étudiants, du personnel et des visiteurs

Les cycles d’admission, les contrats à terme et les chercheurs invités créent des comptes qui s’ouvrent et se ferment à des moments différents. Nous examinons leur cycle de vie, l’authentification multifacteur et l’accès aux dossiers étudiants.

Ce que mesure l’outil d’évaluation de l’Ontario

L’outil d’évaluation de la maturité de Cybersécurité Ontario mesure la cybersécurité selon le cadre 2.0 du NIST, avec des adaptations propres à l’Ontario, dans six fonctions : gouvernance, identification, protection, détection, réponse et rétablissement.³⁵ Les quelque cent énoncés et plus de l’évaluation type sont notés sur une échelle alignée sur le modèle CMMI, du niveau 0 (inexistant) au niveau 5 (optimisé).³⁴

Le règlement exige une évaluation terminée et un résumé; l’outil lui-même est facultatif, et l’établissement peut remettre son propre résumé au DGSI.⁴ Quelle que soit la méthode, le modèle doit refléter des normes de l’industrie ou des pratiques exemplaires qu’appuie ce directeur général.¹ Les preuves restent sur le campus : l’outil consigne des descriptions générales et l’endroit où elles sont conservées.⁴

Combien de temps prend l’évaluation d’un collège ou d’une université

La durée dépend du nombre de campus, de facultés et de systèmes visés, ainsi que de la documentation existante; la lettre de mandat fixe le calendrier avant le début des travaux. Les dates du règlement, elles, sont fixes : évaluation initiale d’ici le 1er juillet 2027, résumé dans les 30 jours ouvrables, évaluation suivante dans les deux ans.¹

Un établissement qui a mené une évaluation dans l’année précédant le 1er juillet 2026 peut choisir d’en faire son évaluation initiale; le délai de deux ans court alors à partir du 1er juillet 2026.¹ Commencer à la session d’hiver laisse le temps de corriger les premiers constats avant l’approbation du résumé.

Lettre de mandat : campus, systèmes, rôles dans l’outil et dates
Entrevues avec les TI centrales, le bureau de la protection de la vie privée, les finances et un échantillon de facultés
Notes justifiées par écrit, revues avec l’approbateur
Projet de résumé et plan de correction, puis courte revue avant approbation

Ce que l’établissement a en main à la fin

À la fin du mandat, l’établissement dispose d’un rapport que sa haute direction peut lire d’une traite et des documents dont sa personne-ressource principale a besoin pour approuver et déposer le résumé.

Un rapport de maturité en langage clair pour le conseil des gouverneurs ou d’administration et la haute direction, avec annexe technique
Une note et une justification écrite pour chaque énoncé, prêtes à saisir dans l’outil
Un projet de résumé : méthode, modèle ou cadre, pointage global et aspects à améliorer, à faire approuver par la personne-ressource principale¹
Une carte des systèmes centraux et de ceux des facultés
Un plan de correction avec priorités, responsables et échéances
Une note sur la préparation du rapport de 72 heures et du rapport d’atteinte selon la LAIPVP à partir des mêmes faits

Pourquoi une équipe sous contrat : les risques de le faire seul, avec un robot conversationnel ou un pigiste

Les TI centrales notent bien les contrôles qu’elles gèrent, et leur vue des systèmes des facultés reste souvent partielle; une autoévaluation note alors l’établissement sur ce qu’une seule équipe peut voir. Cybersécurité Ontario suggère aussi un approbateur distinct de l’évaluateur, ce qu’un appui externe facilite.³

Un robot conversationnel résume volontiers le cadre du NIST, mais il ignore tout de votre système d’identité ou d’un serveur de laboratoire, et y coller des configurations ou des données étudiantes peut soulever une question au regard de la LAIPVP. Un pigiste seul a rarement le temps de rencontrer un échantillon de facultés, et l’établissement dépend alors de la disponibilité d’une seule personne pendant deux ans.

Nous travaillons avec une lettre de mandat signée et une assurance responsabilité civile générale en vigueur; le rapport appartient à l’établissement et sert de point de départ à l’évaluation suivante.

Cinq raisons simples de nous confier ce travail

Une société canadienne enregistrée
INNOVA CONSULT LTD., société fédérale 1522612-1, établie à Ottawa. itopsi est sa marque.
En activité depuis 2013
Le groupe derrière itopsi exerce en droit et en marketing depuis 2013. Son fondateur travaille en droit et en conformité depuis plus de 14 ans.
Nous exploitons nos propres serveurs
Nos propres serveurs et plus de 80 sites Web sont vérifiés chaque jour pour les vulnérabilités connues.
Assurés
Une assurance responsabilité civile générale de 1 million de dollars canadiens est en vigueur.
Votre portée, votre rapport
Une portée fixe dans une lettre signée avant le début du travail. Licences et équipement au prix coûtant, sans commission de fournisseur. Le rapport vous appartient.

Comment se déroule le travail

Cinq étapes, toujours dans le même ordre.

Avant tout test, vous signez une lettre d’autorisation : ce que nous testons, à quelles dates, qui appeler, et ce à quoi nous ne devons pas toucher.

Votre signature vient en premier

Étape 1

Nous convenons de ce qu’il faut vérifier

Un court appel, ou le formulaire au bas de cette page. Ensemble, nous choisissons le site Web, le serveur ou les systèmes de bureau à examiner.

Étape 2

Vous signez la lettre d’autorisation

Elle fixe les cibles, les dates, les personnes-ressources et ce à quoi nous ne devons pas toucher. Le travail commence seulement une fois la lettre signée.

Étape 3

Nous vérifions et mettons tout par écrit

Un rapport en mots simples pour vous, avec le détail technique en annexe pour la personne qui s’occupe de vos systèmes.

Étape 4

Nous corrigeons

Nous faisons les réparations nous-mêmes, ou avec votre fournisseur informatique ou votre développeur Web actuel.

Étape 5

Nous vérifions de nouveau

Une deuxième vérification confirme que chaque problème est réglé.

Ce que ça coûte

Chaque mandat est de taille différente, alors chacun reçoit une soumission à prix fixe une fois la portée convenue. Vous voyez le prix par écrit avant que le travail commence.

Demander un prix →

Une soumission à prix fixe une fois la portée convenue
Le prix par écrit avant le début du travail
Une deuxième vérification après les corrections

Questions

Les questions qu’on nous pose

Votre question n’y est pas? Laissez votre numéro et posez-la dans vos mots.

Poser ma question

Les collèges et universités sont-ils visés?

Oui. Le règlement vise les établissements d’enseignement au sens du paragraphe 2 (1) de la LAIPVP, c’est-à-dire les collèges d’arts appliqués et de technologie et les universités. Depuis le 1er juillet 2026, ils ont un programme de cybersécurité, une personne-ressource principale et un suppléant, signalent les cyberincidents critiques en 72 heures et terminent une première évaluation d’ici le 1er juillet 2027.

Comment la LAIPVP s’applique-t-elle?

La LAIPVP s’applique dès qu’un incident entraîne le vol, la perte, l’utilisation ou la divulgation non autorisée de renseignements personnels. Depuis le 1er juillet 2025, l’établissement fait rapport au commissaire à l’information et à la protection de la vie privée et avise les personnes touchées en cas de risque réel de préjudice grave, puis consigne l’atteinte. Un cyberincident critique est aussi signalé au DGSI.

Comment évaluez-vous les TI des facultés?

Nous établissons d’abord quels systèmes relèvent des TI centrales et lesquels sont exploités par les facultés, les départements ou les groupes de recherche. Nous rencontrons ensuite les TI centrales et un échantillon de facultés variées, notons chaque énoncé pour l’établissement entier et consignons les écarts locaux. L’échantillon figure dans la lettre de mandat.

Combien de temps faut-il?

Cela dépend du nombre de campus, de facultés et de systèmes visés et de la documentation déjà en place; le calendrier figure dans la lettre de mandat. Les dates légales sont fixes : première évaluation d’ici le 1er juillet 2027 et résumé dans les 30 jours ouvrables suivant la fin de l’évaluation. Commencer une session à l’avance laisse le temps de corriger.

L’outil de l’Ontario suit-il le cadre 2.0 du NIST?

Oui. Cybersécurité Ontario indique que l’outil repose sur le cadre de cybersécurité 2.0 du NIST, avec des adaptations propres à l’Ontario, et couvre six fonctions, de la gouvernance au rétablissement. Les énoncés sont notés du niveau 0, inexistant, au niveau 5, optimisé, sur une échelle alignée sur le modèle CMMI. L’outil fonctionne en français et en anglais.

Qui peut être la personne-ressource principale en cybersécurité?

Un employé qui occupe un poste de cadre supérieur et détient un pouvoir décisionnel en cybersécurité. L’établissement désigne une personne principale et un suppléant, transmet leur nom, leur titre, leur téléphone et leur courriel au DGSI et signale tout changement dans les 10 jours ouvrables. La personne principale approuve chaque résumé d’évaluation.

Une évaluation faite l’an dernier peut-elle compter?

C’est possible. Si l’établissement a terminé une évaluation de sa maturité en cybersécurité dans l’année précédant le 1er juillet 2026, il peut choisir de la considérer comme son évaluation initiale. L’évaluation suivante est alors due dans les deux ans suivant le 1er juillet 2026. Nous pouvons d’abord comparer ce travail au contenu exigé pour le résumé.

Combien coûte l’évaluation d’un collège ou d’une université?

Le prix dépend du nombre de campus, de facultés et de systèmes visés, de la documentation existante, du nombre d’entrevues et de l’inclusion de la carte des systèmes des facultés et du plan de correction. Après une conversation de 30 minutes, nous envoyons une lettre de mandat à prix fixe : l’établissement connaît le montant total avant le début des travaux.

Dites-nous ce qui vous inquiète.

Laissez votre nom et un numéro. Une personne ici vous rappelle le jour même, habituellement en moins d’une heure, et vous demande ce que vous voulez faire vérifier. Vous préférez commencer seul ? L’audit gratuit prend environ trois minutes.

Réservez plutôt l’audit gratuit

Rappel le jour même
D’abord l’autorisation écrite
Soumission à prix fixe