Cybersécurité à Montréal : audit, NIS2 et RGPD pour PME et ETI

Pour une PME montréalaise de 15 à 80 employés, un audit de conformité à la Loi 25 (LPRPSP) par CyberConform est généralement compris entre 6 000 et 15 000 $ CAD HT. L'audit comprend : l'inventaire des renseignements personnels traités (registre des traitements), la désignation ou la validation du Responsable de la protection des données (RPD), l'évaluation de la politique de confidentialité et des formulaires de collecte, la vérification des mesures de sécurité (chiffrement, contrôle d'accès), et la mise en place du registre des incidents de confidentialité. Un RSSI externalisé mensuel pour une PME montréalaise est proposé à partir de 2 000 $ CAD/mois. Des subventions provinciales (Programme Innovation du MESI) peuvent cofinancer jusqu'à 50 % du projet.

La Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) s'applique à toute entreprise du secteur privé québécois, sans seuil de taille. Elle s'est mise en vigueur en trois phases : septembre 2022 (gouvernance, RPD, incidents), septembre 2023 (droits des individus, consentement, données biométriques), septembre 2024 (évaluation des facteurs relatifs à la vie privée, portabilité). Si votre entreprise est fédérale (banque, société de télécommunications, compagnie aérienne), la LPRPDE fédérale s'applique, potentiellement remplacée par la Loi C-26 (projet de loi fédéral sur la cybersécurité) à terme. CyberConform réalise un diagnostic d'éligibilité Loi 25 / LPRPDE gratuit sous 48 h pour toute entreprise montréalaise.

Les entreprises montréalaises d'IA (MILA spin-offs, Coveo, Dialogue, BenchSci, etc.) qui entraînent des modèles à partir de données clients font face à des obligations spécifiques de la Loi 25 : le consentement doit être obtenu pour utiliser des données personnelles à des fins d'entraînement de modèles IA, une évaluation des facteurs relatifs à la vie privée (EFVP, équivalent québécois de l'AIPD) doit être réalisée pour les projets IA à risque élevé, et la transparence algorithmique (droit de savoir qu'une décision est prise par IA) doit être respectée depuis septembre 2023. CyberConform accompagne les entreprises IA montréalaises pour cartographier leurs données d'entraînement, rédiger les clauses de consentement appropriées et conduire les EFVP obligatoires.

Oui. CyberConform propose un service de RSSI externalisé (vCISO) adapté au marché montréalais, avec des missions francophones couvrant la Loi 25, la LPRPDE et les meilleures pratiques NIST CSF. La mission comprend : désignation et exercice du rôle de Responsable de la protection des données (RPD) au sens de la Loi 25, gestion de la politique de sécurité, préparation aux contrôles de la CAI (Commission d'accès à l'information), formation des équipes et gestion des incidents. Les tarifs montréalais : RSSI externalisé à partir de 1 800 $ CAD HT/mois pour une PME de moins de 50 employés, 3 000 à 5 000 $ CAD HT/mois pour une ETI ou une scale-up IA avec besoins plus complexes. Interventions en français ou en anglais selon votre préférence.

En cas de cyberattaque à Montréal, les étapes réglementaires immédiates sont : (1) Isoler les systèmes compromis, (2) Appeler CyberConform pour intervention d'urgence à Montréal, (3) Documenter l'incident dans votre registre des incidents de confidentialité (obligatoire Loi 25 depuis septembre 2022), (4) Évaluer si l'incident présente un risque sérieux de préjudice : si oui, notifier la CAI (Commission d'accès à l'information du Québec) et les individus concernés sous 72 h, (5) Si l'entreprise est fédérale (banque, télécoms), notifier le Commissariat à la protection de la vie privée du Canada (CPVPC). Pour les entreprises aérospatiales ou de défense (CAE, Bombardier), des procédures de sécurité nationale peuvent également s'appliquer. CyberConform dispose d'une équipe bilingue (français/anglais) basée au Québec pour les interventions d'urgence.