Le logiciel, capacité critique en défense

On représente souvent la défense à travers ses équipements physiques, alors qu'une part déterminante de ce secteur repose aujourd'hui sur le logiciel, l'intégration de systèmes, les données et l'expérience des personnes qui les utilisent sur le terrain. Cela déplace le risque, puisque la valeur d'un système dépend directement de la qualité de sa conception logicielle et de sa capacité à être déployé et utilisé dans des conditions réelles.

Cette réalité explique aussi la place grandissante des expertises venues d’autres secteurs dans ce domaine. Dans le milieu de la défense, le double usage désigne habituellement une technologie civile réutilisée à des fins militaires, et la même logique vaut pour les savoir-faire, puisque la conception d'interfaces, l'architecture logicielle, la cybersécurité ou l'intégration de systèmes complexes sont des capacités directement transposables, à condition d'être livrées au niveau d'exigence du secteur.

‍

Notre rigueur civile, une capacité de défense prouvée sur le terrain

En défense, la qualité d'un logiciel peut être aussi déterminante que ses fonctionnalités, notamment sa fiabilité et sa simplicité d'utilisation sur le terrain. Les savoir-faire qui le permettent, comme la conception UX/UI, le développement mobile ou la gestion de la sécurité, se sont souvent développés dans le secteur commercial avant de trouver leur utilité en défense.

L'application NORTAC Orion, développée pour Nortac Defence, en est un exemple concret, puisqu'elle transforme un téléphone intelligent en système de suivi, de messagerie chiffrée et d'alerte d'urgence, fonctionnel même hors ligne. Le projet réunissait des exigences typiques de la défense, soit la sécurité des communications, la fiabilité hors connexion et la performance en temps quasi réel, qu'un savoir-faire mobile venu du secteur commercial a permis de satisfaire.

Dans ce marché, les relations et la connaissance de l'écosystème comptent autant que l'expertise technique, car elles conditionnent l'accès aux occasions et raccourcissent des cycles souvent longs. C'est un milieu qui se construit dans la durée, au fil des rendez-vous industriels et des relations avec les donneurs d'ordre, et où Spiria est active depuis plusieurs années, notamment via CADSI.

‍

Ce que livrer en défense exige vraiment

Au-delà de la compétence technique, ce marché ajoute une couche d'exigences qu'une entreprise doit pleinement intégrer, car protéger de l'information sensible transforme la manière de concevoir, d'héberger et de livrer un logiciel. Sur le plan de la sécurité des données, une entreprise logicielle mature applique souvent déjà l'essentiel des standards attendus, comme SOC 2 ou le PCCC qui s'installe peu à peu dans les contrats de défense.

Le facteur le plus souvent sous-estimé se situe du côté de la sécurité physique, puisque l'accès aux locaux, les appareils autorisés, l'environnement de travail et même le réseau peuvent tous être encadrés. Ces exigences demandent du temps et des investissements, et un partenaire crédible les anticipe plutôt que de devoir bâtir cette capacité dans l'urgence, une fois un mandat déjà attribué.

‍

Les certifications, expliquées simplement

Les exigences de certification forment une autre source de complexité, car on imagine souvent qu'il existe une seule accréditation, universelle, qui ouvrirait toutes les portes. La réalité est plus nuancée, puisque les exigences dépendent du mandat et de l'information en jeu, et trois grands mécanismes coexistent au Canada. L'enjeu est double, soit comprendre ce qu'un mandat peut exiger, puis vérifier ce qu'un partenaire détient réellement.

• Programme des marchandises contrôlées (PMC) : il encadre l'examen, la possession ou le transfert de marchandises et de technologies contrôlées, et devient nécessaire lorsqu'un mandat touche ces marchandises ou des documents d'appel d'offres qui en contiennent.
  

• Cotes de sécurité (Programme de sécurité des contrats) : elles donnent accès à de l'information, des biens ou des sites protégés ou classifiés, selon le niveau exigé par le contrat, de la cote de fiabilité jusqu'au Très secret.
  

• PCCC (Programme canadien de certification en cybersécurité) : il atteste que les contrôles de cybersécurité correspondent au risque du contrat, et il s'installe peu à peu dans les appels d'offres de défense, avec un niveau 1 en vigueur depuis 2026.

Retenez surtout que ces mécanismes sont distincts et qu'un même mandat peut en demander un, plusieurs ou aucun. Un bon partenaire vous aide à ouvrir les bonnes portes au bon moment, celles qui correspondent au type de mandat visé, plutôt que d'accumuler des accréditations sans lien avec vos besoins.

‍

Ce qui distingue un fournisseur crédible en défense

Si vous évaluez un partenaire pour un projet logiciel en défense, quelques critères concrets permettent de distinguer rapidement un fournisseur crédible.

• Une expérience réelle en contexte critique ou réglementé. Quels projets comparables ont été livrés, et avec quels résultats?
  

• Une maturité en cybersécurité démontrable. Le fournisseur peut-il fournir une attestation à jour, par exemple SOC 2 de type 2, et ses preuves de contrôles?
  

• La capacité d'ajouter les bons contrôles selon le mandat. Comment adapte-t-il le PMC, les cotes de sécurité et le PCCC au risque du contrat?
  

• La maîtrise de la sécurité physique et des contraintes terrain. Comment protège-t-il l'information sensible dans ses locaux et ses environnements de travail?
  

• Une présence réelle dans l'écosystème de défense. Est-il actif et reconnu auprès des donneurs d'ordre du secteur?

Ces critères valent autant pour un projet de défense que pour tout autre environnement critique, ce qui explique d'ailleurs pourquoi une expertise solide dans un secteur se transpose souvent vers un autre. Un principe résume bien l'entrée dans ce marché, à savoir que les certifications peuvent vous rendre admissible, tandis que les relations vous rendent visible.

‍

En résumé

Entrer dans un projet de défense se prépare avec méthode plutôt qu'avec une course aux accréditations. Les exigences varient selon le mandat, la cybersécurité comme la sécurité physique se vérifient par des preuves concrètes, et la connaissance de l'écosystème pèse autant que les certifications. L'essentiel tient donc à une idée simple, soit évaluer un fournisseur sur son expérience réelle et sa capacité à prouver ses contrôles et à ajouter les bons au bon moment, plutôt que sur le nombre de ses accréditations.

Si vous préparez un projet logiciel dans un environnement complexe et que vous recherchez un partenaire capable de répondre à ces exigences, n’hésitez pas à nous contacter.