EVIDENCE TÉMOIGNAGES OTTAWA, Monday, November 4, 2024 OTTAWA, le lundi 4 novembre 2024 The Standing Senate Committee on National Security, Defence and Veterans Affairs met with videoconference this day at 4:01 p.m. [ET] to study Bill C-26,

An Act respecting cyber security, amending the Telecommunications Act and making consequential amendments to other Acts. Le Comité sénatorial permanent de la sécurité nationale, de la défense et des anciens combattants se réunit aujourd’hui à 16 h 1 (HE), avec vidéoconférence, pour étudier le projet de loi C-26, Loi concernant la cybersécurité, modifiant la

Loi sur les télécommunications et apportant des modifications corrélatives à d’autres lois Senator Tony Dean (Chair) in the chair. Le sénateur Tony Dean (président) occupe le fauteuil. [English] [Traduction] The Chair: Good afternoon, colleagues, before we begin, I would like to ask senators and other in-person participants to consult the cards on the table for guidelines to prevent audio feedback incidents. Thank you all for your cooperation. Le président : Bon après-midi, chers collègues.

Avant de commencer, j’invite les sénateurs et les autres participants qui sont sur place à consulter les fiches disposées sur la table pour prendre connaissance des directives à respecter pour prévenir les incidents de rétroaction acoustique. Merci à vous tous de votre collaboration. Colleagues, before we begin today, I would like to take a moment to acknowledge our dear friend and colleague, the Honourable Murray Sinclair, who passed away this morning, as many of you know.

Chers collègues, avant toutes choses, je vais prendre un moment pour saluer la mémoire de notre cher ami et collègue, l’honorable Murray Sinclair, qui est décédé ce matin, comme bon nombre d’entre vous le savent. Senator Sinclair represented Manitoba in the Senate from 2016 to 2021. He had a highly distinguished law career prior to his appointment here, notably serving as the first Indigenous judge appointed in Manitoba.

Senator Sinclair also served as the chair of the Truth and Reconciliation Commission, later receiving awards, including the Meritorious Service Cross, and the Order of Canada for his work on the commission. Le sénateur Sinclair a représenté le Manitoba au Sénat de 2016 à 2021. Il a mené une brillante carrière en droit avant sa nomination au Sénat, notamment à

titre de premier juge autochtone nommé au Manitoba. Le sénateur Sinclair a également présidé la Commission de vérité et réconciliation, et reçu des distinctions, notamment la Croix du service méritoire et l’Ordre du Canada, pour son travail à la commission. Senator Sinclair, as you know, was dedicated to the community in many ways and was a force to be reckoned with in the Senate. He will be dearly missed by all of us and many beyond this place. I invite you now to share a moment of silence in his memory.

Comme vous le savez, le sénateur Sinclair était dévoué à la collectivité à bien des égards et il a été une force remarquable au Sénat. Il nous manquera beaucoup à nous tous ainsi qu’à bien d’autres personnes. Je vous invite maintenant à observer un moment de silence en sa mémoire. Thank you, colleagues. Merci, chers collègues. Welcome to this meeting of the Standing Senate Committee on National Security, Defence, and Veterans Affairs. I’m Tony Dean, senator from Ontario, and I chair the committee.

I’m joined today by my fellow committee members whom I welcome to introduce themselves, beginning with the deputy chair. Bienvenue à cette séance du Comité sénatorial permanent de la sécurité nationale, de la défense et des anciens combattants. Je suis Tony Dean, sénateur de l’Ontario, et je préside le comité. Je suis accompagné aujourd’hui de mes collègues du comité, que j’invite à se présenter, en commençant par le vice-président. [Translation] [Français] Senator Dagenais: Jean-Guy Dagenais from Quebec.

Le sénateur Dagenais : Jean-Guy Dagenais, du Québec. [English] [Traduction] Senator Richards: David Richards from New Brunswick. Le sénateur Richards : David Richards, du Nouveau- Brunswick. 4-11-2024 Sécurité nationale, défense et anciens combattants 64:1

Senator M. Deacon: Welcome, Marty Deacon from Ontario. La sénatrice M. Deacon : Bienvenue, Marty Deacon, de l’Ontario. Senator Cardozo: Andrew Cardozo, Ontario. Le sénateur Cardozo : Andrew Cardozo, de l’Ontario. Senator Dasko: Donna Dasko, senator from Ontario. La sénatrice Dasko : Donna Dasko, sénatrice de l’Ontario. Senator LaBoucane-Benson: Patti LaBoucane-Benson from Treaty 6 territory, Alberta. La sénatrice LaBoucane-Benson : Patti LaBoucane-Benson, du territoire du Traité n o 6, en Alberta. Senator Boehm: Peter Boehm, Ontario. Le sénateur Boehm : Peter Boehm, de l’Ontario.

Senator McNair: Welcome, John McNair, senator from New Brunswick. Le sénateur McNair : Bienvenue, John McNair, sénateur du Nouveau-Brunswick. Senator Yussuff: Hassan Yussuff, Ontario. Le sénateur Yussuff : Hassan Yussuff, de l’Ontario. Senator Batters: Denise Batters. I’m a senator from Saskatchewan. La sénatrice Batters : Denise Batters, sénatrice de la Saskatchewan. The Chair: Thank you colleagues. To my left is the committee’s clerk, Ericka Paajanen, and to my right, or Library of Parliament analysts, Ms. Anne-Marie Therrien-Tremblay and Mr. Ariel Shapiro. Le président : Merci, chers collègues.

À ma gauche se trouve la greffière du comité, Ericka Paajanen, et à ma droite, prennent place les analystes de la Bibliothèque du Parlement, Mme Anne- Marie Therrien-Tremblay et M. Ariel Shapiro. We continue our study of Bill C-26,

An Act respecting cyber security, amending the Telecommunications Act and making consequential amendments to other Acts. We’re going to hear from three panels of witnesses today who will share their insights on this bill. Nous poursuivons notre étude du projet de loi C-26, Loi concernant la cybersécurité, modifiant la

Loi sur les télécommunications et apportant des modifications corrélatives à d’autres lois. Nous entendrons aujourd’hui trois groupes de témoins qui nous présenteront leur point de vue sur le projet de loi. In this first panel, I’m pleased to welcome here in the room, Jennifer Quaid, Executive Director of the Canadian Cyber Threat Exchange, Kate Robertson, Senior Research Associate, Citizen Lab at the University of Toronto. And by video conference, Aaron Shull, Managing Director and General Counsel at the Centre for International Governance Innovation. Thank you all for joining us today.

Voici le premier groupe de témoins. J’ai le plaisir d’accueillir Jennifer Quaid, directrice générale d’Échange canadien sur les menaces cybernétiques, et Kate Robertson, associée de recherche principale au Citizen Lab de l’Université de Toronto. Et par vidéoconférence, comparaît Aaron Shull, directeur général et avocat général du Centre pour l’innovation dans la gouvernance internationale. Merci à vous tous de vous joindre à nous aujourd’hui. We now invite you to provide your opening remarks, which will be followed by questions from our members.

I remind you that you each have five minutes to present, and we begin today with Ms. Jennifer Quaid. Please proceed whenever you’re ready. Nous vous invitons maintenant à faire votre déclaration liminaire, qui sera suivie des questions des membres du comité. Je vous rappelle que vous avez chacun cinq minutes pour faire votre exposé. Nous allons commencer par Mme Jennifer Quaid. Veuillez commencer dès que vous serez prête. Jennifer Quaid, Executive Director, Canadian Cyber Threat Exchange: Good afternoon, Mr. Chair, and thank you for inviting me to participate in this critically important process.

Jennifer Quaid, directrice générale, Échange canadien de menaces cybernétiques : Bonjour, monsieur le président, et merci de m’avoir invitée à participer à cette étude d’une importance cruciale. Before I begin, I would like to clarify that my comments today will be limited to

Part 2 of Bill C-26, the Critical Cyber Systems Protection Act. I’m honoured to be here representing the Canadian Cyber Threat Exchange, or CCTX, an organization created by Canadian companies to provide a safe environment for members to share cyber threat information and build cyber Avant de commencer, je précise que mes observations se limiteront à la

partie 2 du projet de loi C-26, la

Loi sur la protection des cybersystèmes essentiels. Je suis honorée d’être là pour représenter Échange canadien de menaces cybernétiques, ou ECMC. Cette organisation a été créée par des entreprises canadiennes pour offrir un environnement sécuritaire où les 64:2 National Security, Defence and Veterans Affairs 4-11-2024

resilience by collaborating to understand threats and share best practices and ideas, to prevent successful attacks and the corresponding need to report.

In a world where it’s not if but when an organization will be the target of an attack, the goal is to build resilience, not just in our critical infrastructure, but in all organizations to create a stronger economic environment for all. membres peuvent échanger de l’information sur les cybermenaces et renforcer la cyberrésilience en collaborant pour comprendre les menaces et échanger des pratiques exemplaires et des idées, de façon à prévenir les attaques réussies et à répondre aux besoins en matière de signalement.

Dans un monde où il ne s’agit pas de savoir si une organisation sera la cible d’une attaque, mais quand elle le sera, l’objectif est de renforcer la résilience, non seulement dans nos infrastructures essentielles, mais aussi dans toutes les organisations, afin de créer un environnement économique plus solide pour tous. With 190 members representing 15 sectors and more than 1.5 million employees, many of our members represent the sectors impacted by this legislation, while others may cut their supply chain, many of whom are small and medium-sized businesses, like so much of the Canadian economy.

ECMC compte 190 membres représentant 15 secteurs et plus de 1,5 million d’employés. Bon nombre de nos membres représentent les secteurs touchés par le projet de loi, tandis que d’autres font

partie de leur chaîne d’approvisionnement. Bon nombre sont des petites et moyennes entreprises, ce qui est conforme à ce qu’on observe dans une grande

partie de l’économie canadienne. There’s no question that this bill will strengthen Canada’s cybersecurity posture. It creates that common level of security for critical infrastructure across Canada, and it will provide increased awareness of what is impacting critical infrastructure, and that will be good for all of us. Il ne fait aucun doute que le projet de loi renforcera la position du Canada en matière de cybersécurité.

Il crée un niveau commun de sécurité pour les infrastructures essentielles partout au Canada, ce qui permettra de mieux faire savoir ce qui risque d’avoir un impact sur ces infrastructures et sera bon pour nous tous. The legislation will also assure our global partners that cyber security is a priority, and that measures are being taken to protect our critical infrastructure. Le projet de loi garantira également à nos partenaires du monde entier que la cybersécurité est une priorité et que des mesures sont prises pour protéger nos infrastructures essentielles.

My concern with this legislation, as it is written, is that it focuses solely on reporting after a successful attack. In other words, it looks at how to close the barn door after the horses have gone. Ce qui me préoccupe dans le projet de loi ainsi qu’il est conçu, c’est qu’il se concentre uniquement sur le signalement après une attaque réussie. En d’autres termes, il porte sur les moyens de fermer la porte de l’écurie une fois que les chevaux sont partis. The goal of the CCTX is to enable organizations to prevent a successful attack through improved knowledge and understanding.

The rapidly evolving cyber threat environment necessitates sharing and collaboration among organizations, not only with the government. Cybersecurity is a team sport. L’objectif d’ECMC est de permettre aux organisations de prévenir les attaques réussies en améliorant leurs connaissances et leur compréhension. L’évolution rapide des cybermenaces exige une mise en commun de l’information et une collaboration entre les organisations, et pas seulement avec le gouvernement. La cybersécurité est un sport d’équipe. No organization can adequately develop and maintain the required level of cyber resilience on its own.

Cyber resilience requires a broader approach. It is more than incident reporting. It requires sharing best practices and experiences in implementing the very security programs established here in this bill, sharing methods, preventing attacks and comparing experiences and technologies. Aucune organisation ne peut acquérir et maintenir à elle seule le niveau de cyberrésilience requis. La cyberrésilience exige une approche plus large. Elle ne se limite pas au signalement des incidents.

Il faut communiquer les pratiques exemplaires et les expériences dans la mise en œuvre des programmes de sécurité prévus dans le projet de loi, mettre les méthodes en commun, prévenir les attaques et comparer les expériences et les technologies. Many of the critical infrastructure organizations covered in this bill also participate in the CCTX because they realize the value in that collaboration, but their participation is limited by the perceived risk of exposure and litigation.

They are sharing Bon nombre des organismes chargés d’infrastructures essentielles visés par le projet de loi participent également aux activités d’ECMC parce qu’ils sont conscients de la valeur de cette collaboration, mais leur participation est limitée parce 4-11-2024 Sécurité nationale, défense et anciens combattants 64:3

information in the U.S. that they feel they can’t share here in Canada. qu’ils ont l’impression de s’exposer à des risques et à des litiges. Ils échangent aux États-Unis des renseignements qu’ils estiment ne pas pouvoir communiquer ici, au Canada. If the objective of this legislation is to prevent cyber incidents, then we need to encourage and enable all parties to go beyond the required controls and reporting to regulators.

We need to encourage them to create stringent controls in all systems and enable them to share relevant and timely information with their greater community and supply chain, many of whom are connected directly to their systems. Si l’objectif du projet de loi est de prévenir les cyberincidents, nous devons encourager toutes les parties à aller au-delà des contrôles et des rapports à remettre aux organismes de réglementation et leur permettre de le faire.

Nous devons les encourager à créer des contrôles rigoureux dans tous les systèmes et leur permettre de communiquer des renseignements pertinents et opportuns avec leur milieu et les éléments de leur chaîne d’approvisionnement, dont bon nombre sont directement connectés à leurs systèmes. We need to create legal safeguards, so that they can share information and experiences, in order to warn others. This legislation provides us with an opportunity to create the legal protections we need.

With a few minor adjustments, this bill could create safe harbour legislation that would have a truly lasting impact on the resilience of all organizations. Nous devons créer des garanties juridiques de sorte qu’il soit possible de mettre en commun l’information et les expériences, afin d’avertir les autres. Le projet de loi nous donne l’occasion de créer les protections juridiques dont nous avons besoin. Avec quelques rajustements mineurs, le projet de loi pourrait créer des dispositions d’exonération qui auraient un impact vraiment durable sur la résilience de toutes les organisations.

Safe harbour laws enable organizations to share information beyond operational capability with the greater community without fear of reprisal, information that may fall below the threshold for required reporting to regulators. Les dispositions d’exonération permettent aux organisations d’échanger de l’information qui dépasse les capacités opérationnelles avec l’ensemble de leur milieu sans crainte de représailles, de l’information qui peut tomber sous le seuil de déclaration obligatoire aux organismes de réglementation.

When done in conjunction with legislative requirements like these, we provide additional motivation for adopting increased security in all areas, not just critical systems. Si cela se fait en conjonction avec des exigences législatives comme celles-ci, nous offrons une motivation supplémentaire pour la mise en place d’une sécurité accrue dans tous les domaines, et pas seulement dans les systèmes essentiels. We would create an environment that strengthens defences for all, a carrot and a stick.

Nous mettrions en place un environnement propre à renforcer les défenses pour tous, par des encouragements et des sanctions. Bill C-26, with a small change, presents an opportunity for the government to help thousands of companies strengthen their ability to protect personal information and sensitive data and create a truly resilient supply chain and economy.

Le projet de loi C-26, avec une modeste modification, offre au gouvernement l’occasion d’aider des milliers d’entreprises à renforcer leur capacité de protéger les renseignements personnels et les données sensibles et à créer une chaîne d’approvisionnement et une économie vraiment résilientes. Thank you. Merci. The Chair: Thank you very much, Ms. Quaid. Le président : Merci beaucoup, madame Quaid. Colleagues, we’ll now hear from Kate Robertson. Chers collègues, nous allons maintenant entendre Kate Robertson. Ms. Robertson, whenever you’re ready, please proceed. Maître Robertson, si vous êtes prête, allez-y.

Kate Robertson, Senior Research Associate, Citizen Lab: Good afternoon, my name is Kate Robertson. I am a lawyer and currently a researcher at the University of Toronto’s Citizen Lab. My comments today draw on Citizen Lab’s research in cybersecurity and telecommunications, as well as constitutional law analysis I’ve submitted in a brief to this committee. Parts 3 Me Kate Robertson, associée de recherche principale, Citizen Lab : Bonjour, je m’appelle Kate Robertson. Je suis avocate et chercheuse au Citizen Lab de l’Université de Toronto.

Mes observations d’aujourd’hui s’inspirent des recherches de Citizen Lab en cybersécurité et en télécommunications, ainsi que de l’analyse du droit constitutionnel que j’ai présentée dans un 64:4 National Security, Defence and Veterans Affairs 4-11-2024

and 4 of my brief set out recommended amendments to address constitutional deficits and a cybersecurity danger in the bill. mémoire soumis au comité. Les parties 3 et 4 de mon mémoire proposent des modifications au projet de loi pour combler des lacunes au plan constitutionnel et éliminer un danger en matière de cybersécurité. My brief builds on a report co-authored by a former colleague, Dr. Christopher Parsons, as well as analysis that I published earlier this year in The Globe and Mail with my colleague, Professor Ron Deibert, which warns of the encryption-breaking powers in Bill C-26.

Mon mémoire s’appuie sur un rapport rédigé avec un ancien collègue, M. Christopher Parsons, ainsi que sur une analyse que j’ai publiée cette année dans le Globe and Mail avec mon collègue, Ron Deibert, et qui lance une mise en garde au sujet des pouvoirs permettant de casser le cryptage prévus dans le projet de loi C-26. I had the opportunity to observe last week’s hearing on this bill. Today, it would be most useful for me to be very clear on two key points.

First, Bill C-26 does give the government power to make Canada’s networks less secure, such as by issuing orders to compromise encryption standards in 5G technology for lawful access purposes. Recommendation 13 of my brief, which has also been the subject of a parallel recommendation from numerous civil society groups, asks this committee to amend Bill C-26 to stipulate that the minister’s powers cannot be used to compromise the confidentiality or integrity of telecommunications services. This should not be a controversial amendment. J’ai pu suivre la séance de la semaine dernière consacrée au projet de loi.

Aujourd’hui, il serait très utile que je sois très claire sur deux points clés. Premièrement, le projet de loi C-26 donne au gouvernement le pouvoir de rendre les réseaux du Canada moins sûrs, notamment en prenant des décrets visant à compromettre les normes de chiffrement de la technologie 5G pour assurer un accès légal.

La recommandation 13 de mon mémoire, qui a également fait l’objet d’une recommandation parallèle de la part de nombreux groupes de la société civile, demande au comité de modifier le projet de loi C-26 pour préciser que les pouvoirs du ministre ne peuvent être utilisés pour compromettre la confidentialité ou l’intégrité des services de télécommunications. Cet amendement ne devrait pas prêter à controverse. There are, unfortunately, pervasive vulnerabilities at the heart of the world’s mobile networks. Canada needs mandatory, uncompromised, and network-wide security standards.

A defining feature of this law should be that no one — neither telecommunication companies, nor the federal government — should have the power to cut corners or compromise the security of Canada’s networks. Malheureusement, les vulnérabilités sont omniprésentes au cœur des réseaux mobiles mondiaux. Le Canada a besoin de normes de sécurité obligatoires, sans compromis et à l’échelle du réseau.

Une caractéristique déterminante de cette loi devrait être que personne — ni les entreprises de télécommunications ni le gouvernement fédéral — ne devrait avoir le pouvoir de tourner les coins ronds ou de compromettre la sécurité des réseaux du Canada. For years, analysts have warned of the security risks of lawful access back doors. When similar laws were pushed forward in the United States, the FBI discounted and minimized the warnings of cybersecurity experts.

However over the last month, reporting in The Washington Post documents how a devastating security breach is unfolding in the government-mandated access points in U.S. telecom carriers, which are, as we speak, being exploited in a China-based hacking and spy operation. Depuis des années, les analystes lancent des mises en garde contre les risques pour la sécurité que présentent les portes dérobées donnant un accès légal. Lorsque des lois semblables ont été adoptées aux États-Unis, le FBI a écarté du revers de la main et minimisé les avertissements des experts en cybersécurité.

Au cours du dernier mois, pourtant, le Washington Post a publié un

article sur une atteinte à la sécurité dévastatrice qui a lieu à cause des points d’accès imposés par le gouvernement aux entreprises de télécommunications américaines et qui, au moment où on se parle, sont exploités dans une opération de piratage et d’espionnage basée en Chine. As of yesterday, The Washington Post reporting suggests that the hack is ongoing — that’s the belief — and has now left millions of mobile phone users on the networks of three major carriers ongoingly vulnerable to government surveillance by a foreign agency.

This has included the phones of candidates for the President and Vice President of the United States, and senior campaign staff on the eve of the U.S. presidential election. Selon un

article paru hier dans le Washington Post, le piratage est en cours — c’est ce qu’on croit — et des millions d’utilisateurs de téléphones mobiles sur les réseaux de trois grandes entreprises sont toujours vulnérables à la surveillance gouvernementale exercée par un organisme étranger. Cela comprend les téléphones des candidats aux postes de président et de vice-président des États-Unis, ainsi que du personnel de campagne à la veille de l’élection présidentielle américaine. 4-11-2024 Sécurité nationale, défense et anciens combattants 64:5

In a letter from United States Senator, Ron Wyden, about the hack, which I referenced on page 18 of my brief, the senator states this needs to be a wake-up call for the U.S. government. Dans une lettre au sujet du piratage, dont je traite à la page 18 de mon mémoire, le sénateur américain Ron Wyden affirme que cela doit être un signal d’alarme pour le gouvernement américain. Here in Canada, these events illustrate the significance of what is at stake and should be a wake-up call for us on Bill C-26 as well.

Reporting by the CBC in 2017 demonstrated that for a member of Parliament, all that was needed was his phone number to understand and be able to surreptitiously monitor his phone calls, texts and locations. Au Canada, ces faits illustrent l’importance de l’enjeu et devraient également être un signal d’alarme au sujet du projet de loi C-26. Des reportages de la CBC, en 2017, ont montré qu’il suffit de connaître le numéro de téléphone d’un député pour arriver à comprendre et à surveiller subrepticement ses appels et ses messages texte et à savoir où il se trouve.

I would urge you to heed the warnings of experts and civil society groups and ask you to make this critical amendment to the legislation. Je vous exhorte à tenir compte des avertissements des experts et des groupes de la société civile et vous demande d’apporter cette modification essentielle au projet de loi. A second point should also be clear. There was some suggestion made last week that this bill may not result in the Communications Security Establishment Canada, or CSE, collecting and using private data from telecommunication companies.

However, there is no doubt that the current text of the bill, which is what matters, creates a broad and warrantless power to collect sensitive data from telecommunication companies and to disclose it to federal agencies, including the CSE and the Canadian Security Intelligence Service, or CSIS. Un deuxième point devrait aussi être clair. On a laissé entendre la semaine dernière que le projet de loi pourrait ne pas permettre que le Centre de la sécurité des télécommunications du Canada, ou CST, recueille et utilise des données privées provenant d’entreprises de télécommunications.

Il ne fait pourtant aucun doute que le libellé actuel du projet de loi — qui est ce qui compte — crée un vaste pouvoir permettant de recueillir sans mandat des données sensibles auprès des entreprises de télécommunications et de les communiquer aux organismes fédéraux, y compris le CST et le Service canadien du renseignement de sécurité, ou SCRS. Contrary to what was implied last week, Canada’s national security bodies would not need new powers to create this extraordinary effect.

Contrairement à ce qu’on a laissé entendre la semaine dernière, les organismes de sécurité nationale du Canada n’auraient pas besoin de nouveaux pouvoirs pour obtenir cet effet extraordinaire. Telecommunication providers are conveyors of the most private information known to our legal system. The absence of Federal Court oversight is an enormous gap, and a constitutional deficiency in this bill. Recommendations 6 and 7 of my brief put this bill on stronger constitutional footing.

Les fournisseurs de services de télécommunications sont les transporteurs des renseignements les plus privés que notre système juridique connaisse. L’absence de surveillance de la part de la Cour fédérale constitue une lacune énorme dans le projet de loi et aussi une lacune au plan constitutionnel. Les recommandations 6 et 7 de mon mémoire auraient pour effet de renforcer la constitutionnalité du projet de loi. Because of my time limit, I would specifically invite a follow- up question from this committee on concerns why the current measures in the legislation are not adequate to this task.

Étant donné que je n’ai pas beaucoup de temps, j’inviterais le comité à poser une question complémentaire sur les raisons pour lesquelles les mesures prévues dans le projet de loi ne sont pas adéquates. Thank you. Merci. The Chair: Thank you, Ms. Robertson. Le président : Merci, maître Robertson. Finally, on behalf of the Centre for International Governance Innovation, or CIGI, Mr. Aaron Shull. The floor is yours whenever you’re ready. Enfin, au nom du Centre pour l’innovation dans la gouvernance internationale, ou CIGI, Me Aaron Shull. Vous pouvez intervenir quand vous serez prêt.

Aaron Shull, Managing Director and General Counsel, Centre for International Governance Innovation: Thank you, honourable chair and members of the committee, for the opportunity to speak today on Bill C-26, a vital bill that aims to Me Aaron Shull, directeur général et avocat général, Centre pour l’innovation dans la gouvernance internationale : Merci à vous, monsieur le président, ainsi qu’aux membres du comité, de me donner l’occasion de parler 64:6 National Security, Defence and Veterans Affairs 4-11-2024

secure Canada’s telecommunications and critical infrastructure sectors against rising cyber-threats. aujourd’hui du projet de loi C-26, un projet de loi crucial qui vise à protéger les secteurs des télécommunications et des infrastructures essentielles du Canada contre des cybermenaces croissantes. While this legislation marks significant progress, there are specific areas that warrant closer examination to ensure a balanced and effective approach to cybersecurity.

Bien que le projet de loi constitue un progrès important, il y a des domaines précis qui méritent un examen plus approfondi si nous voulons adopter une approche équilibrée et efficace en matière de cybersécurité. First, the issue of procedural fairness. While Bill C-26 represents a substantial advancement in safeguarding Canada’s critical infrastructure, there’s incongruity between clauses 15.9(1) (

c) and (

e) that warrant further consideration. Premièrement, la question de l’équité procédurale. Bien que le projet de loi C-26 améliore beaucoup la protection des infrastructures essentielles du Canada, il y a une divergence entre les alinéas 15.9(1)

c) et

e) qui justifie un examen plus poussé. Clause (

c) rightly recognizes an applicant should be reasonably informed of the case against them in a

summary of the evidence which is crucial for procedural fairness, yet clause (

e) allows the judge to base decisions on the evidence that the applicant may never see. This discrepancy could hinder an applicant’s ability to mount an effective defence and risks undermining transparency and trust in the judicial process. It also puts at risk an applicant’s ability to respond fully, which is fundamental to procedural fairness.

L’alinéa c) reconnaît, à juste titre, qu’un demandeur devrait être suffisamment informé de la thèse retenue contre lui par un résumé des éléments de preuve qui est essentiel à l’équité procédurale, mais l’alinéa e) permet au juge de fonder ses décisions sur des éléments de preuve que le demandeur pourrait ne jamais voir. Cette divergence pourrait nuire à la capacité d’un demandeur de préparer une défense efficace et risquerait de miner la transparence du processus judiciaire et la confiance dans ce processus.

Elle met également en péril la capacité d’un demandeur de donner une réponse complète, ce qui est indispensable à l’équité procédurale. To address this, I would suggest the committee consider adding a mechanism for independent counsel or a special advocate. This addition could help ensure fairness by allowing for a full review of the evidence on the applicant’s behalf while maintaining the confidentiality of sensitive information. Such an approach could help harmonize these provisions and reinforce the integrity of the process.

Pour régler ce problème, je propose que le comité envisage d’ajouter un mécanisme faisant appel à des avocats indépendants ou à des avocats spéciaux. Cet ajout pourrait contribuer à assurer l’équité en permettant un examen complet de la preuve au nom du demandeur tout en préservant la confidentialité des renseignements de nature délicate. Une telle approche pourrait aider à harmoniser ces dispositions et à renforcer l’intégrité du processus. Second, information sharing standards. The bill establishes different standards for sharing information within the Government of Canada versus external entities.

Clause 15.6 allows sharing internally, but restricts it to purposes such as compliance and enforcement,

whereas clause 15.7 permits external information sharing, such as with foreign states or provinces, based on a much broader standard. That is to say, if the information is deemed “. . . relevant to securing the Canadian telecommunication systems . . . .” This discrepancy could lead to inconsistent oversight and may impact public trust in how sensitive information is handled. Aligning these standards would support a uniform and secure framework for information sharing, ensuring that all exchanges meet rigorous criteria for necessity and security. Deuxièmement, les normes de communication de l’information.

Le projet de loi établit des normes différentes pour l’échange de renseignements au sein du gouvernement du Canada par opposition aux entités externes. L’article 15.6 permet l’échange à l’interne, mais le restreint à des fins comme le respect des dispositions, tandis que l’article 15.7 permet la communication de renseignements à l’extérieur, comme avec des États étrangers ou des provinces, en fonction d’une norme beaucoup plus large : si les renseignements sont considérés comme « utiles pour sécuriser le système canadien de télécommunications... »

Cette divergence pourrait entraîner une incohérence dans la surveillance et avoir une incidence sur la confiance du public à l’égard du traitement des renseignements de nature délicate. L’harmonisation de ces normes favoriserait un cadre uniforme et sûr pour l’échange de renseignements, en veillant à ce que tous les échanges répondent à des critères rigoureux de nécessité et de sécurité. Third, and finally, supporting small- and medium-sized enterprises and encouraging innovation.

Small- and medium- sized enterprises, or SMEs, are essential to the supply chains of Enfin, troisièmement, le soutien des petites et moyennes entreprises et l’incitation à l’innovation. Les petites et moyennes entreprises, ou PME, sont essentielles aux chaînes 4-11-2024 Sécurité nationale, défense et anciens combattants 64:7

critical infrastructure sectors, but they often lack resources for robust cybersecurity, and they appear nowhere in this bill. Incentives, such as a tax credit for CyberSecure Canada certification would help SMEs strengthen their defences and contribute to overall resilience. However, given the urgency of passing Bill C-26, these supportive measures may be better addressed in Canada’s forthcoming national cybersecurity strategy where they can receive focused attention. d’approvisionnement du secteur des infrastructures essentielles, mais elles manquent souvent de ressources pour assurer une cybersécurité robuste.

Il n’en est question nulle part dans le projet de loi. Des incitatifs, comme un crédit d’impôt pour la certification CyberSécuritaire Canada, aideraient les PME à renforcer leurs défenses et contribueraient à la résilience globale. Toutefois, étant donné qu’il est urgent d’adopter le projet de loi C-26, il serait peut-être préférable d’aborder la question dans la future stratégie nationale de cybersécurité du Canada, qui pourrait leur accorder une attention particulière.

Similarly, there is a risk that operators may approach the bill’s requirements as a minimum standard, meeting only basic compliance requirements rather than striving for continuous improvement in cybersecurity practices. This compliance- focused mindset could stifle innovation in cybersecurity, an area that demands adaptability to keep pace with evolving threats. Encouraging innovation through the broader cybersecurity strategy could complement Bill C-26’s foundational requirements and foster a culture of proactive security.

De même, il y a un risque que les exploitants considèrent les exigences du projet de loi comme une norme minimale, ne répondant qu’à des exigences de conformité de base plutôt que de chercher à améliorer continuellement les pratiques en matière de cybersécurité. Si on se limite ainsi à la stricte conformité, cela pourrait étouffer l’innovation en cybersécurité, un domaine qui exige une grande capacité d’adaptation pour suivre le rythme de l’évolution des menaces.

Encourager l’innovation par l’entremise de la stratégie globale de cybersécurité serait un moyen complémentaire s’ajoutant aux exigences fondamentales du projet de loi C-26 et favoriserait une culture de sécurité proactive. In conclusion, Mr. Chair, Bill C-26 is a significant step toward strengthening Canada’s cybersecurity framework. By addressing the issues of fairness, aligning information standards and supporting SMEs and innovation through the forthcoming cybersecurity strategy, we can maximize the bill’s effectiveness and reinforce Canada’s resilience against cyber-threats.

En guise de conclusion, monsieur le président, je dirai que le projet de loi C-26 est une étape importante vers le renforcement du cadre de la cybersécurité au Canada. En nous attaquant aux questions d’équité, en harmonisant les normes d’information et en appuyant les PME et l’innovation grâce à la prochaine stratégie de cybersécurité, nous pouvons maximiser l’efficacité du projet de loi et renforcer la résilience du Canada face aux cybermenaces. Thank you, and I look forward to further discussion on these critical issues. Je vous remercie et j’ai hâte de poursuivre la discussion sur ces questions cruciales.

The Chair: Thank you very much, Mr. Shull. We will now proceed to questions, starting with our deputy chair, Senator Dagenais. Le président : Merci beaucoup, maître Shull. Nous allons maintenant passer aux questions, en commençant par le vice- président, le sénateur Dagenais. [Translation] [Français] Senator Dagenais: My question is for Ms. Quaid. I would like you to expand on the dangers we face. Your reports and assessments refer directly to cyber-threats from countries like China, Russia, Iran and North Korea.

Based on your observations, is it fair to say that the current government’s deteriorating relations with the leaders of those countries are systematically leading to an increase in cyberattacks? If not, how might enemy activity vary? I see you smiling. Le sénateur Dagenais : Ma question s’adresse à Mme Quaid. J’aimerais vous entendre davantage sur le danger qui nous menace. Vos rapports et évaluations font directement référence aux cybermenaces venant de pays comme la Chine, la Russie, l’Iran et la Corée du Nord.

Vos observations permettent-elles de dire que la détérioration des relations du gouvernement actuel avec les dirigeants de ces pays entraîne systématiquement une augmentation des cyberattaques? Dans la négative, comment les activités ennemies peuvent-elles varier? Je vous vois sourire. [English] [Traduction] Ms. Quaid: It won’t be helping. The deterioration of relations won’t be helping, but truthfully, the countries you mentioned, nation states that are attacking us and so many other countries in Mme Quaid : Il n’y a là rien de favorable.

La détérioration des relations ne sera pas utile, mais en vérité, les pays que vous avez énumérés, les États-nations qui nous attaquent, nous et tant 64:8 National Security, Defence and Veterans Affairs 4-11-2024

this world, have been doing it for a long time, and they are doing it for a variety of reasons. North Korea is effectively funding its nuclear program through successful cyberattacks. That’s not dependent on relations with our government. That’s simply demand and greed, and the others are doing it for long-term political gain. d’autres pays dans le monde, le font depuis longtemps, et ce, pour diverses raisons. La Corée du Nord finance efficacement son programme nucléaire au moyen de cyberattaques fructueuses. Ce n’est pas à cause des relations avec notre gouvernement.

C’est simplement un effet de la demande et de la cupidité. Les autres recherchent des gains politiques à long terme. [Translation] [Français] Senator Dagenais: I’d like to talk about the potential sabotage of critical infrastructure in this country. Le sénateur Dagenais : J’aimerais aborder le volet du sabotage potentiel d’infrastructures critiques au pays. Have our intelligence services successfully thwarted any such attacks in recent years? How will Bill C-26 really improve our ability to protect ourselves?

Est-ce que nos services de renseignement en ont déjoué de façon significative au cours des dernières années? En quoi le projet de loi C-26 va-t-il réellement améliorer notre capacité de protection? [English] [Traduction] Ms. Quaid: The benefit that we’re going to see from Bill C-26 in protecting critical infrastructure and its supply chain in many ways comes down to the supply chain. Truthfully, the larger organizations in our critical infrastructure have some of the most sophisticated cyber programs you can imagine.

They’re good, they’re strong and they follow the highest levels of all the global standards, particularly those that deal with the cross- border side of things, like our energy sector. Mme Quaid : L’avantage que nous retirerons du projet de loi C-26 pour la protection des infrastructures essentielles et de leur chaîne d’approvisionnement, à bien des égards, concerne la chaîne d’approvisionnement. Honnêtement, les grandes organisations de nos infrastructures essentielles ont certains des programmes cybernétiques les plus perfectionnés imaginables.

Ils sont bons, ils sont forts et ils respectent les normes les plus élevées de tous les pays, en particulier celles qui touchent la dimension transfrontalière, comme dans notre secteur de l’énergie. But Bill C-26 enables the critical infrastructure organizations to push the cyber requirements down through their supply chain, so they are going to have to enable those suppliers to be stronger. Mais le projet de loi C-26 permet aux organisations des infrastructures essentielles d’étendre les exigences en matière de cybersécurité à leur chaîne d’approvisionnement. Ces fournisseurs seront ainsi plus forts.

The truth is, nowadays all systems are integrated. Suppliers are connecting directly into their clients. That is a risk. Bill C-26 may help to stop some of that risk. However, I will point out what Aaron Shull said. Many of these organizations, these suppliers, are small and medium businesses. They’re going to need help, and they’re going to need support, but that is one of the benefits of Bill C-26. La vérité, c’est que, de nos jours, tous les systèmes sont intégrés. Les fournisseurs communiquent directement avec leurs clients. C’est un risque. Le projet de loi C-26 pourrait contribuer à éliminer une

partie de ce risque. Je reviens sur un point qu’Aaron Shull a souligné : bon nombre de ces organisations, de ces fournisseurs, sont des PME, qui auront besoin d’aide et de soutien. C’est l’un des avantages du projet de loi C-26. [Translation] [Français] Senator Dagenais: Ms. Robertson, can you tell us more about the constitutional issues and risks you foresee with Bill C-26? Le sénateur Dagenais : Madame Robertson, pouvez-vous nous en dire davantage sur les enjeux et les risques constitutionnels que vous entrevoyez avec le projet de loi C-26? [English] [Traduction] Ms. Robertson: Thank you for the question.

In my remarks, I have identified privacy deficits that have been analyzed in my brief as being a significant gap in the constitutional footing of this bill. Me Robertson : Je vous remercie de la question. Dans mes observations, j’ai dit que les lacunes en matière de protection de la vie privée analysées dans mon mémoire constituent une lacune importante dans le fondement constitutionnel du projet de loi. 4-11-2024 Sécurité nationale, défense et anciens combattants 64:9

In addition to those issues, which I outlined, the free expression deficits follow very closely on the heels of those privacy gaps in the legislation. By that, I mean the non- disclosure orders that attach to ministerial powers, which are virtually unlimited in scope and will have the potential to meaningfully interfere with public debate about matters of critical importance to the public interest. En plus de ces problèmes, que j’ai décrits, les lacunes en matière de liberté d’expression suivent de très près celles qui concernent la protection de la vie privée.

J’entends par là les décrets de non-divulgation qui se rattachent aux pouvoirs ministériels, dont la portée est à peu près illimitée et qui risquent de nuire de façon significative au débat public sur des questions d’une importance cruciale pour l’intérêt public. In the judicial review proceedings that are in the Telecommunications Act, for example, there is some provision for secrecy. However, it is specifically limited to matters which are injurious to international relations, National Defence or national security or endanger the safety of any person. Dans les procédures de contrôle judiciaire prévues dans la

Loi sur les télécommunications, par exemple, figure une disposition relative au secret. Toutefois, elle se limite expressément à ce qui porte atteinte aux relations internationales, à la défense nationale ou à la sécurité nationale ou met en danger la sécurité de toute personne. For the non-disclosure orders which attach to the ministerial powers, there is no limit on the reasons that the minister may apply for requiring non-disclosure, and they are virtually time unlimited in temporal nature as well.

Both of these privacy issues, as well as what is, ultimately, a free expression problem, are significant in this legislation, notwithstanding some very considerable improvements since it was studied in the House of Commons. Pour les arrêts de non-divulgation qui se rattachent aux pouvoirs ministériels, il n’y a pas de limite aux raisons que le ministre peut invoquer pour demander la non-divulgation, et elles sont pratiquement illimitées dans le temps également.

Ces deux questions de protection de la vie privée, ainsi que ce qui est, au bout du compte, un problème de liberté d’expression, sont importantes dans ce projet de loi, malgré quelques améliorations considérables apportées depuis son étude à la Chambre des communes. [Translation] [Français] Senator Dagenais: Thank you very much, Ms. Robertson. Le sénateur Dagenais : Merci beaucoup, madame. [English] [Traduction] Senator Boehm: Thank you, witnesses, for being here. I have a question for each of you. Le sénateur Boehm : Je remercie les témoins d’être là. J’ai une question à poser à chacun d’entre eux. Ms.

Quaid, I was quite interested in your mentioning safe harbour. Could you give us a little more detail on that in terms of the partnership that you envision? Madame Quaid, j’ai trouvé très intéressant que vous mentionniez la notion d’exonération. Pourriez-vous nous donner un peu plus de détails sur le partenariat que vous envisagez? I’m going to ask all three of my questions so that they’re out there. Je vais poser mes trois questions tout de suite. Ce sera chose faite. Ms. Robertson, in part, you’ve answered just now with Senator Dagenais the question that I had.

Of course, Citizen Lab has a long history of supporting advocacy for privacy rights. Could you provide a little more detail in terms of how this bill could improve? I know you have proposed amendments, but the privacy protections, particularly with respect to surveillance, capabilities and critical infrastructure. Maître Robertson, vous venez de répondre en

partie à ma question en vous adressant au sénateur Dagenais. Bien sûr, Citizen Lab appuie depuis longtemps la défense des droits à la vie privée. Pourriez-vous nous donner un peu plus de détails sur la façon d’améliorer le projet de loi? Je sais que vous avez proposé des amendements, mais il s’agit de mesures de protection de la vie privée, particulièrement en ce qui concerne la surveillance, les capacités et les infrastructures essentielles. Mr. Shull, the last question for you goes back to a recent

article that you had co-authored. You’re saying now the government is finally taking national security more seriously. To go back to the bill specifically, how would you assess the alignment of the bill with international best practices, and in particular, what can Canada learn from similar legislation in Group of Seven, or G7, countries given that we will be chairing the G7 process next year? Maître Shull, ma dernière question porte sur un

article récent dont vous êtes l’un des auteurs. Vous dites que le gouvernement prend enfin la sécurité nationale plus au sérieux. Pour revenir au projet de loi, comment évalueriez-vous l’harmonisation du projet de loi avec les pratiques exemplaires internationales et, en particulier, ce que le Canada peut apprendre d’une loi semblable dans les pays du Groupe des sept, le G7, étant donné que nous présiderons le G7 l’an prochain? 64:10 National Security, Defence and Veterans Affairs 4-11-2024

Ms. Quaid: Thank you for the question. When I refer to “safe harbour legislation” and the type of information that it would enable companies to provide to the greater community, first and most important, I’m not suggesting that information should not be shared with regulators and with our Canadian Centre for Cyber Security. That is critical — absolutely critical. I’m talking about the type of information that in our industry we would call “Left of Boom,” before an attack happens, or before a successful attack happens, because attacks happen in the thousands per day.

It’s the type of information that an organization, if they talk about it, it could show weaknesses in their system, and that could create litigation problems for them. So they don’t speak. Mme Quaid : Je vous remercie de la question. Lorsque je parle de « loi d’exonération » et du type de renseignements qu’elle permettrait aux entreprises de fournir au milieu plus large de la cybersécurité, d’abord et avant tout, je ne dis pas que ces renseignements ne devraient pas être communiqués aux organismes de réglementation et au Centre canadien pour la cybersécurité. C’est absolument essentiel.

Je parle du type d’information dont nous dirons dans notre industrie qu’elle se situe « Left of Boom », c’est-à-dire avant l’incident, avant qu’une attaque ne se produise, ou avant qu’une attaque ne réussisse, car les attaques se comptent en milliers par jour. C’est le genre d’information qui, si une organisation en parle, risque de trahir les faiblesses de son système, ce qui pourrait lui occasionner des litiges. Elle n’en parle donc pas. Every system has its flaws because the attackers are changing things on a daily basis.

It is the type of information that, if they were able to share it, would help other organizations to strengthen their defences, so that a single attack stays as a single attack, as opposed to being a successful one-time that becomes multiples. That’s what we would like to see happen. Chaque système a ses failles parce que les attaquants changent la donne quotidiennement.

C’est le genre de renseignements qui, s’il était possible de les communiquer, aideraient d’autres organisations à renforcer leurs défenses, de sorte qu’une seule attaque reste isolée au lieu que le succès initial ne soit répété à de multiples reprises. C’est ce que nous souhaitons. Senator Boehm: Thank you. Le sénateur Boehm : Merci. Ms. Robertson: With respect to privacy details in the legislation, there was some discussion last week as to the existing measures in the legislation, which some witnesses offered as protective with respect to privacy.

Me Robertson : À propos des dispositions du projet de loi portant sur la protection de la vie privée, il y a eu des discussions la semaine dernière au sujet des mesures existantes, selon certains témoins, qui peuvent protéger la vie privée. One of those measures is that there is a carve out that predated the explicit addition of this amendment that states that the bill does not authorize the interception of private communications. However, telecommunication carriers host troves of sensitive data that can be collected in ways that do not fit the technical definition of interception of private communications.

That’s a very specific legal term that has a narrower scope compared to what telecommunication data includes. L’une de ces mesures est une exclusion antérieure à l’ajout explicite de l’amendement qui dispose que le projet de loi n’autorise pas l’interception de communications privées. Toutefois, les entreprises de télécommunications hébergent des masses de données sensibles qui peuvent être recueillies d’une manière qui ne correspond pas à la définition technique de l’interception de communications privées.

C’est un terme juridique très précis qui a une portée plus étroite que ce que comprennent les données de télécommunication. The Privacy Commissioner of Canada testified in the House of Commons, and I agree with his testimony when he stated that if the collection and sharing powers are not more specifically constrained, this could lead to the inappropriate collection and sharing of data such as subscriber account information, communication data, website visits, metadata, location data and financial data. This speaks to the enormity of the potential reach of this very broad collection power, which in

section 15.4 gives the minister the ability to ask for any information from these entities. Le commissaire à la protection de la vie privée du Canada a témoigné à la Chambre des communes, et je suis d’accord avec lui lorsqu’il dit que si les pouvoirs de collecte et d’échange ne sont pas plus précisément limités, cela pourrait mener à la collecte et à l’échange inappropriés de données comme les renseignements sur les comptes des abonnés, les données de communication, les visites de sites Web, les métadonnées, les données de localisation et les données financières.

Cela montre l’ampleur de la portée que pourrait avoir le très vaste pouvoir de collecte, qui, à l’article 15.4, permet au ministre de demander des renseignements à ces entités. Mr. Shull: Thank you, Senator Boehm. It’s a pleasure to see you as well. I’ll touch on the two big pieces, the first on critical infrastructure protection. Me Shull : Merci, sénateur Boehm. C’est aussi un plaisir de vous voir. Je vais parler des deux grands éléments, le premier étant la protection des infrastructures essentielles. 4-11-2024 Sécurité nationale, défense et anciens combattants 64:11

It roughly lines up. The U.K. has the network and information systems regulations. The U.S., through the Cybersecurity and Infrastructure Security Agency, or CISA, has various mandates. Australia has the Security of Critical Infrastructure Act. They’re roughly similar. They’re focusing on critical infrastructure because it’s, well, critical. There are differences, to be sure. C’est à peu près la même chose partout. Le Royaume-Uni a des règlements sur les réseaux et les systèmes d’information. Les États-Unis, par l’entremise de la Cybersecurity and Infrastructure Security Agency, ou CISA, ont divers mandats.

L’Australie a la Security of Critical Infrastructure Act. Ces mesures sont à peu près semblables. Elles se concentrent sur les infrastructures essentielles parce que, justement, c’est essentiel. Il y a certainement des différences. Also focusing on telecommunications security and high-risk vendors. Again, that focus is exactly right, looking at how you manage risk from high-risk vendors. They do it in the U.K. and the U.S. The one point I would raise is this bill is largely silent on an explicit criteria or process for designating and banning specific high-risk vendors.

The U.S. has been clear — Huawei and ZTE — but there’s no comparable criteria within this bill to make those designations. Nous mettons également l’accent sur la sécurité des télécommunications et les fournisseurs à risque élevé. Encore une fois, il est tout à fait juste de se concentrer sur la façon de gérer les risques liés à ces fournisseurs. C’est ce que font le Royaume-Uni et les États-Unis. Ce que je tiens à dire, c’est que le projet de loi ne prévoit pas de critères ou de processus explicites pour désigner et interdire certains fournisseurs à risque élevé.

Les États-Unis ont été clairs — Huawei et ZTE —, mais il n’y a pas de critères comparables dans le projet de loi à l’étude pour faire ces désignations. Senator M. Deacon: Thank you to our witnesses and all of you for being here today. It is a very important topic, and your work is important. La sénatrice M. Deacon : Merci aux témoins et à vous tous d’être là. C’est un sujet de la plus grande importance, et votre travail est aussi important. As I was thinking about this yesterday, I was thinking about duopolies and monopolies in our telecommunications at risk.

I’ve formulated a question that I hope is something you can respond to. I think I’ll start with you, Mr. Shull. En réfléchissant à la question hier, je songeais aux duopoles et aux monopoles dans nos télécommunications à risque. J’ai formulé une question à laquelle vous pourrez répondre, je l’espère. Je vais commencer par vous, maître Shull. Looking at the current state, frankly, of Canada’s telecommunications sector and what it might mean for cybersecurity, whenever we discuss this topic, I can’t help but be reminded of the Rogers blackout in 2022, not that long ago, which wasn’t even an attack.

It was simply human error that brought the lives and businesses of 12 million people to a standstill for days. Franchement, si je considère l’état actuel du secteur des télécommunications au Canada et ce que cela pourrait signifier pour la cybersécurité, chaque fois que nous abordons ce sujet, je ne peux m’empêcher de penser à la panne de Rogers en 2022, il n’y a pas si longtemps, qui n’était même pas la conséquence d’une attaque. C’est simplement une erreur humaine qui a paralysé pendant des jours la vie et les affaires de 12 millions de personnes.

It seems that annually, the telecommunications options for Canadians are dwindling. I’m specifically thinking about the recent Shaw acquisition by Rogers, for instance. Il semble que, chaque année, les options de télécommunications à la disposition des Canadiens se font moins nombreuses. Je songe notamment à l’acquisition récente de Shaw par Rogers. Given how important these services are to our daily lives, is consolidation in this field a threat? It would seem on the surface that taking down one or two big targets could potentially cripple the country’s internet services.

I wonder if we should be encouraging competition here while also hitting the brakes on consolidation. Compte tenu de l’importance de ces services dans notre quotidien, la consolidation dans ce domaine constitue-t-elle une menace? À première vue, il semble que l’élimination d’une ou deux cibles importantes pourrait paralyser les services Internet au Canada. Je me demande si nous ne devrions pas encourager la concurrence tout en freinant la consolidation. Mr. Shull: That’s a great point, senator. It’s nice to see you as well.

The standard kind of logic would say that you’re building in a single point of failure, that you’re reducing diversity and resilience and that you are effectively bringing your supply chain under one roof, so if there is a vulnerability in the supply chain, it’s going to permeate those. Also, there is a concentration of sensitive data. All of that stuff is true. There is also a greater risk Me Shull : C’est un excellent point, sénatrice. Je suis heureux de vous voir également.

Selon la logique courante, lorsqu’il n’y a qu’un point d’échec, que la diversité et la résilience sont réduites et que la chaîne d’approvisionnement est regroupée sous un même toit, si cette dernière présente une vulnérabilité, celle-ci va se répandre partout. On assiste aussi à une concentration de données sensibles. Tout cela est vrai. Il y a 64:12 National Security, Defence and Veterans Affairs 4-11-2024

of insider threats because if there is only one and there’s one insider, then you have a real problem. There are certainly national security implications. aussi un risque plus grand de menaces internes, car si tout est concentré à un seul endroit, cela pose un réel problème et a certainement des répercussions au niveau de la sécurité nationale. I might remain silent on the competition and innovation side, except to say that I think I personally pay too much for my cell phone. If we can deal with that, for sure. I know what I know, and cell phone amalgamation isn’t on my list.

Je n’aborderai peut-être pas la concurrence et l’innovation, sauf pour dire que je crois personnellement payer trop cher pour mon téléphone cellulaire. Si nous pouvons régler cette question, d’accord. Je connais mes limites, et la fusion des services de téléphonie cellulaire ne figure pas sur la liste des choses au sujet desquelles j’ai des connaissances. Senator M. Deacon: Line up for that cell phone reduction. Would either of you care to comment before I go to a second part? Okay. That’s great. Thank you. La sénatrice M.

Deacon : Je ne retiendrais pas mon souffle pour ce qui est de la réduction du coût des services de téléphonie cellulaire. Est-ce que l’un d’entre vous voudrait faire un commentaire avant que je passe à la deuxième

partie de ma question? D’accord. C’est bien. Merci. If we look at this and we carry on and we have a duopoly or fewer providers, what could the government do to ensure there are redundancies in the event of an attack? Do you think the legislation covers or addresses this? Toujours dans la même veine, avec un duopole ou moins de fournisseurs, que pourrait faire le gouvernement pour s’assurer qu’il y a des options de rechange en cas d’attaque? Pensez-vous que la loi couvre ou règle ce problème? Mr.

Shull: I think that’s kind of what it’s going toward as it relates to critical cybersystems, at least, and making sure that we don’t have bad gear in our back end. I think that is precisely the evil that is being remedied here — making sure there is no problematic gear in the supply chain. Me Shull : Je pense que c’est ce vers quoi nous allons, en ce qui concerne les cybersystèmes essentiels, à tout le moins, de même que l’assurance de ne pas avoir de mauvais équipements en fin de compte.

Je pense que c’est précisément le mal auquel on est en train de s’attaquer ici — s’assurer qu’il n’y a pas d’équipements problématiques dans la chaîne d’approvisionnement. Also, for what it’s worth, it may be outside the ambit of this bill, but there is the cyber centre, and they are doing good work. For what it’s worth, CSE are among the best in the world. I know many of them, and they are hard working. De plus, et c’est peut-être en dehors de la portée de ce projet de loi, il y a le cybercentre, où il se fait du bon travail.

Selon moi, le Centre de la sécurité des télécommunications est l’un des meilleurs au monde. Je connais beaucoup de gens qui y travaillent, et ils s’acquittent très bien de leurs responsabilités. This is what it comes down to, this idea of issuing directives and cybersecurity orders. While it’s not specifically enumerated in the bill, there is technical assistance and support that’s available. There are tools that are at play, but it is precisely that issue, senator, that you raise that I think is the principal evil being remedied as a consequence of this bill.

Voilà à quoi cela se résume, cette notion d’émettre des directives et des décrets en matière de cybersécurité. Bien que ce ne soit pas précisé dans le projet de loi, de l’aide technique et du soutien sont disponibles. Il y a des outils en jeu, mais c’est précisément le problème que vous soulevez, sénatrice, que ce projet de loi vise à corriger, à mon avis. Senator M. Deacon: Thank you. Ms. Robertson, there were a number of amendments made to the legislation in the other place related to reasonableness, oversight and privacy protection before it arrived in the Senate.

You mentioned a number of changes you would like to see, and I wonder if any of the amendments they did got it right, in your view, before we get to this table. La sénatrice M. Deacon : Merci. Maître Robertson, un certain nombre d’amendements ont été apportés au projet de loi à l’autre endroit relativement au caractère raisonnable, à la surveillance et à la protection de la vie privée, avant qu’il n’arrive au Sénat.

Vous avez mentionné un certain nombre de changements que vous aimeriez voir, et je me demande si, à votre avis, l’un ou l’autre des amendements qui ont été proposés, avant que le projet de loi nous soit soumis, ont amélioré les choses. 4-11-2024 Sécurité nationale, défense et anciens combattants 64:13

Ms. Robertson: I would simply note — maybe one of your colleagues can explore this further — many of those amendments are actually inapplicable to the information collection powers in clause 15.4. Me Robertson : J’aimerais simplement souligner — peut-être qu’un de vos collègues pourra approfondir la question — que bon nombre de ces amendements ne s’appliquent pas aux pouvoirs de collecte de renseignements prévus à l’article 15.4. Senator Yussuff: Thank you, witnesses, for being here. Le sénateur Yussuff : Je remercie les témoins de leur présence. Ms.

Quaid, if I could come back to you, you raised an issue about supply chains. As you know, the supply chain is not just in Canada; it extends beyond our borders, and our ability to find out whether or not that supply chain is compromised is not adequate or does not meet our standard and is very problematic. Most of our major telecom companies currently outsource a significant portion of the work and the processing of data outside of the country. Madame Quaid, si je peux revenir à vous, vous avez soulevé une question au sujet des chaînes d’approvisionnement.

Comme vous le savez, la chaîne d’approvisionnement ne se limite pas au Canada; elle s’étend au-delà de nos frontières, et notre capacité de déterminer si elle est compromise ou non est inadéquate ou ne répond pas à nos normes, et cela est très problématique. La plupart de nos grandes entreprises de télécommunications impartissent actuellement une

partie importante de leur travail et du traitement des données à l’extérieur du pays. How can we assure Canadians that their information is protected? Equally, if there is a breach, how would we ever know, given we have no control over what happens to this information? Comment pouvons-nous assurer aux Canadiens que leurs renseignements sont protégés? De même, s’il y avait une atteinte à la vie privée, comment pourrions-nous le savoir, étant donné que nous n’avons aucun contrôle sur ce qu’il advient de ces renseignements? Ms. Quaid: Thank you for the question. That is part of what this bill will do.

The organizations that are governed by this are responsible for their supply chain. Mme Quaid : Je vous remercie de la question. C’est en

partie ce que fera ce projet de loi. Les organisations qui y sont assujetties sont responsables de leurs chaînes d’approvisionnement. Let’s remember that just because you have offshored something doesn’t mean that you are no longer responsible for it, and they know that. They are currently responsible for that, and they treat the information and the protections with the respect that they require and deserve. This bill will simply help to ensure the reporting on any of that.

Il ne faut pas oublier que ce n’est pas parce que vous délocalisez quelque chose que vous n’en êtes plus responsable, et ces organisations le savent. Elles en assument actuellement la responsabilité, et elles traitent les renseignements et leur protection avec le respect qu’ils méritent et qui est nécessaire. Le projet de loi contribuera simplement à assurer la production de rapports à ce sujet. Senator Yussuff: Let me continue.

If our information were to be breached outside of the country, it would be very hard for us to know, given some of the countries that we’re dealing with — and we have incredible tension right now with India. A significant amount of our information is processed in China, given the contracting out. How would we ever know if that were the case? Le sénateur Yussuff : Permettez-moi de poursuivre.

Si nos renseignements personnels devaient être compromis à l’extérieur du pays, il nous serait très difficile de le savoir, compte tenu de certains des pays avec lesquels nous traitons — et du fait que nous avons actuellement des tensions incroyables avec l’Inde. Une grande

partie de nos renseignements sont traités en sous- traitance en Chine. Comment pourrions-nous prendre connaissance de cela, le cas échéant? In the specific case of India, we have a specific diaspora in our country who are worried about how they are being targeted by the Indian government. How do we even assure them that, yes, we understand the companies are responsible, but the company can’t even tell me if my information has been breached in India? Dans le cas précis de l’Inde, il y a une diaspora précise au Canada qui s’inquiète de la façon dont elle est ciblée par le gouvernement indien.

Comment pouvons-nous même donner une assurance à ces personnes, alors que, oui, il est entendu que les entreprises sont responsables, mais elles ne peuvent même pas me dire si mes renseignements ont été compromis en Inde? Ms. Quaid: I think that’s true of almost any organization and company that you are doing business with. You specifically referenced the telcos, but I think retail and so many different organizations offshore are still responsible for parts of their data Mme Quaid : Je pense que c’est le cas de presque toutes les organisations et entreprises avec lesquelles vous faites affaire.

Vous avez plus précisément parlé des entreprises de télécommunications, mais je crois que les entreprises du 64:14 National Security, Defence and Veterans Affairs 4-11-2024

collection and data privacy. If it has been breached and they are aware, then they would have to inform. commerce de détail et de nombreuses organisations étrangères sont toujours responsables d’une

partie de leur collecte de données et de la confidentialité de celles-ci. S’il y a eu violation et qu’elles sont au courant, elles doivent en informer le gouvernement. This is where I’m going to reiterate what Mr. Shull has said, and that is, our Canadian Centre for Cyber Security is very good at what they do. The CSE is very good at what they do. They are there to help the organizations — and they will — to determine whether or not there has been a breach and how large it is. Je vais répéter ce que Me Shull a dit, à savoir que le Centre canadien pour la cybersécurité fait un excellent travail.

Le Centre de la sécurité des télécommunications fait également du très bon travail. Ces entités sont là pour aider les organisations à déterminer si des données ont été compromises ou non et dans quelle mesure, et elles vont le faire. Senator Yussuff: Let me continue on this because this is one of the areas I’m trying to focus on. Le sénateur Yussuff : Permettez-moi de poursuivre dans la même veine, car c’est l’un des domaines sur lesquels je souhaite me concentrer. In the context of a breach of information, I understand the obligation and responsibility.

I’m coming back to the fact that given how important our network is to the vitality of our country — to our government and industry — if that information is stored outside the country and the country may not be able to say with any certainty that we can allow our information to be stored, isn’t it problematic for us passing a piece of legislation that has no curtain around where that information should be stored? Dans le contexte d’une atteinte à la sécurité de l’information, je comprends les notions d’obligation et de responsabilité.

Je reviens sur le fait que, compte tenu de l’importance de notre réseau pour la vitalité de notre pays — pour notre gouvernement et notre industrie —, si ces renseignements sont stockés à l’extérieur du pays et qu’il n’est pas possible de confirmer que cela est permis, n’est-il pas problématique pour nous d’adopter un projet de loi qui ne prévoit aucune restriction quant à l’endroit où ces renseignements devraient être stockés? Ms. Quaid: It may be problematic, but that becomes the purview of a bill on privacy, and PIPEDA would govern part of that.

This bill really deals with the critical cybersecurity systems, and that’s its focus. So, you may have a very good point. It just might not be the purview of this piece of legislation, unfortunately. Mme Quaid : C’est peut-être problématique, mais cela relève d’un projet de

loi sur la protection de la vie privée, et la

Loi sur la protection des renseignements personnels et les documents électroniques en régit une partie. Ce projet de loi porte vraiment sur les systèmes essentiels de cybersécurité, et c’est sur cela qu’il met l’accent. Il se peut que vous ayez raison, mais malheureusement, cela ne relève peut-être pas de ce projet de loi. Ms. Robertson: I very respectfully have to disagree with my colleague here because I certainly appreciate that this is a privacy issue, and it was mentioned last week that the Personal Information Protection and Electronic Documents Act, or PIPEDA, would have some applicability here.

This is what the Citizen Lab has been saying with respect to the historical deficiency in telecommunication networks that are subject to a range of complex, interlocking threats that have led to significant deficits in the security of our telecommunications services. The layers and layers of contracting and subcontracting is a locus point for some of these deficits, including pervasive geolocation surveillance, which is perpetuated around the world based on some of the signalling protocols that operate as a result of some of these contracts and subcontracts.

Me Robertson : En tout respect, je ne suis pas d’accord avec ma collègue, car je comprends qu’il s’agit d’une question de protection de la vie privée, et il a été mentionné la semaine dernière que la

Loi sur la protection des renseignements personnels et les documents électroniques, ou LPRPDE, s’appliquerait dans une certaine mesure. C’est ce que pense Citizen Lab au sujet des lacunes historiques des réseaux de télécommunications, ceux-ci faisant l’objet d’une gamme de menaces complexes et interreliées, qui ont entraîné des déficits importants dans la sécurité de nos services de télécommunications.

Les multiples couches de sous-traitance sont à l’origine de certaines de ces lacunes, y compris la surveillance par géolocalisation omniprésente, qui se répand partout dans le monde en raison des protocoles de signalisation qui sont utilisés dans le cadre de certains de ces contrats et de la sous-traitance.

This is why we have said that it’s wrong in this legislation to fixate too much on select, high-risk vendors to the exclusion of some of the ongoing historical deficiencies that have been plaguing the world’s networks for a very long time, and why we need public transparency about how these orders are used or not C’est la raison pour laquelle nous avons dit que ce projet de loi ne devrait pas trop mettre l’accent sur les fournisseurs à risque élevé, en laissant de côté certaines des lacunes historiques qui affligent les réseaux mondiaux depuis très longtemps.

C’est aussi la raison pour laquelle nous avons besoin de transparence sur la 4-11-2024 Sécurité nationale, défense et anciens combattants 64:15

used. That’s because part of these risks are a direct result of passive or lack of regulation among jurisdictions around the world. I’m happy to provide in writing after this meeting some of the parallel processes that are happening in the U.K. right now with the Office of Communications, or Ofcom, to specifically address the cybersecurity threats related to third party contracting. façon dont ces décrets sont utilisés ou non, ces risques étant en

partie le résultat direct d’une réglementation passive ou de l’absence de réglementation dans d’autres pays du monde. Après cette réunion, je me ferai un plaisir de vous fournir par écrit un aperçu de quelques-uns des processus parallèles qui ont actuellement cours au Royaume-Uni, avec l’Office of Communications, ou Ofcom, et qui s’attaquent précisément aux menaces à la cybersécurité liées à la passation de marchés avec des tiers. Senator Yussuff: If you could do that, it would be very helpful for the committee. Le sénateur Yussuff : Si vous pouviez le faire, ce serait très utile pour le comité.

Senator McNair: Thank you again to the people testifying today. This is a question for all three of you, and I expect there will be a difference of opinion on it. Le sénateur McNair : Merci encore aux témoins qui comparaissent aujourd’hui. Ma question s’adresse à vous trois, et je m’attends à ce que vous divergiez d’opinions à ce sujet. You talk about this bill. We’re putting it in place to try to implement cybersecurity infrastructure to deal with cyberattacks. Ms. Quaid, you correctly indicate that our concern is that the number of attacks taking place each day is multiple thousands.

We’re trying to avoid successful attacks. There are some timing issues with this legislation. L’objectif de ce projet de loi est d’essayer de mettre en place une infrastructure de cybersécurité pour lutter contre les cyberattaques. Madame Quaid, vous avez raison de dire que ce qui nous préoccupe, c’est que plusieurs milliers d’attaques ont lieu chaque jour. Nous essayons de les déjouer. Ce projet de loi pose certains problèmes d’échéancier. Ms.

Robertson, one of your colleagues from the Munk School of Global Affairs & Public Policy was before our committee on another matter and used the quote, “Don’t let the perfect become the enemy of the good.” If you had to choose at this point whether to pass the bill as it is with over 40 amendments that have been made at the House of Commons — I understand, Ms. Robertson, that you would say that they do not deal properly with some of the issues relating to clause 15 — would you pass this legislation and work on improving it after the fact or would you hold it? That’s for all three of you. Ms.

Quaid, maybe you could start. Maître Robertson, l’un de vos collègues de la Munk School of Global Affairs & Public Policy a comparu devant notre comité sur un autre sujet et a dit que le mieux ne devait pas devenir l’ennemi du bien. Si vous deviez choisir à ce stade-ci d’adopter le projet de loi tel quel, avec plus de 40 amendements qui ont été apportés à la Chambre des communes — et je comprends bien, maître Robertson, que vous dites qu’ils ne traitent pas adéquatement de certaines des questions liées à l’article 15 — le feriez-vous, avec comme objectif de l’améliorer après coup, ou y mettriez-vous un terme?

Ma question s’adresse à vous trois. Madame Quaid, vous pourriez peut-être commencer. Ms. Quaid: I’m glad I’m not in your chair. I would probably pass it because we are eight years behind some of our colleagues in putting forward legislation like this. It has been a very long time in coming. We have lost the faith of some of our colleagues because we don’t have these protections in place. I would probably pass it, reluctantly. Mme Quaid : Je suis heureuse de ne pas être à votre place.

Je l’adopterais probablement parce que nous avons huit ans de retard sur certains de nos homologues pour ce qui est de présenter un projet de loi comme celui-ci. Il a fallu attendre très longtemps. Nous avons perdu la confiance de certains de nos homologues parce que nous n’avons pas ces protections. Je l’adopterais probablement, mais à contrecœur. Ms. Robertson: We’re speaking about historical deficiencies that have been persisting for decades. I also don’t envy your seat.

However, for me, the decision is clear that we need powers that have a compass point that is focused and directed to the destination that we want to go. With respect to the

part 1 powers that are proposed in this act, they are not pointed to the correct compass point because at bottom we need laws that say that neither the government nor telecommunication companies have the power to compromise our networks. Me Robertson : Nous parlons de lacunes historiques qui persistent depuis des décennies. Je n’envie pas non plus votre position. Cependant, pour moi, la décision est claire : nous avons besoin de pouvoirs nous servant de repères pour nous rendre où nous voulons aller. En ce qui concerne les pouvoirs prévus à la

partie 1 du projet de loi, ils ne vont pas dans la bonne direction parce qu’il nous faut des dispositions législatives qui stipulent que ni le gouvernement ni les entreprises de télécommunications ne doivent avoir le pouvoir de compromettre nos réseaux. The unspoken conversation that is happening in this bill — conversations that you did not have last week — is that these powers give the government to compromise our next-generation Ce que sous-entend ce projet de loi — et ce qui n’a pas été abordé la semaine dernière — c’est que ces pouvoirs permettent au gouvernement de compromettre nos solutions de la prochaine 64:16 National Security, Defence and Veterans Affairs 4-11-2024

solutions. If we’re going to compromise those solutions, then I’m not sure what this bill is for, because functionally it is akin to saying that we should drill holes in the hull of a cruise ship in order to bring more life rafts or balers or life jackets aboard. That, quite frankly, doesn’t make sense. We do know that there have been some — I believe it was put last week — arrangements that are being made through various agreements to improve the status quo. But if we’re going to create a law on this, it needs to be the right law. génération.

Si ces solutions doivent être compromises, je ne sais pas à quoi sert ce projet de loi, car sur le plan fonctionnel, cela s’apparente à percer des trous dans la coque d’un navire de croisière, afin de pouvoir amener plus de radeaux ou de gilets de sauvetage à bord. Franchement, cela n’a pas de sens. Nous savons qu’il y a des dispositions — je crois que cela a été dit la semaine dernière — qui sont en train d’être prises dans le cadre de diverses ententes pour améliorer la situation actuelle. Mais si nous voulons créer une loi à ce sujet, il faut qu’elle soit appropriée. Mr.

Shull: I would just preface this comment by saying that I am a huge fan of both Ms. Quaid and Ms. Robertson. I am going to diverge a little bit here. I say, “Pass it, and pass it as quickly as you can.” I am a big fan of judicial review, and if you can add in special advocates for the most sensitive aspects, that gets you 95% of the way there. Were it different, I would have offered more amendments, but as it currently stands, it’s a pretty good bill and I wouldn’t let the perfect get in the way of the good enough.

Me Shull : Je tiens d’abord à dire que je suis une grande admiratrice de Mme Quaid et de Me Robertson. Je vais m’écarter un peu du sujet. Selon moi, il faut l’adopter et le faire le plus rapidement possible. Je suis très partisane du contrôle judiciaire, et s’il est possible d’ajouter des avocats spéciaux pour les aspects les plus délicats, on arrive presque à l’objectif. S’il avait été différent, j’aurais proposé d’autres amendements, mais c’est un assez bon projet de loi dans sa forme actuelle, et je ne laisserais pas le mieux l’emporter sur le bien.

Also, as it relates to your colleague’s previous question, there is an entire ecosystem around this. If I were advising a private client, we would be conducting vendor risk assessments, using threat intelligence and monitoring tools, deploying end-point security solutions, implementing supply chain visibility and inspecting software and firm ware updates. We would be putting authentication controls up and down the chain; we would be red teaming and pen testing our networks and looking for indications of compromise, putting in zero-trust architecture, reviewing vendor-incident reports and requiring disclosures.

This bill does not exist on its own. There is an entire ecosystem of cyber- experts and cyber-lawyers like me, who, if we’re doing our job properly, we’re going to be mitigating the risks my colleagues have done an admirable job of setting out. De plus, pour revenir à la question précédente de votre collègue, il y a tout un écosystème autour de cela.

Si je conseillais un client privé, nous procéderions à des évaluations des risques des fournisseurs, en utilisant des outils de surveillance et de renseignements sur les menaces, en déployant des solutions de sécurité pour les points de terminaison, en assurant la visibilité de la chaîne d’approvisionnement et en inspectant les mises à jour des logiciels et des programmes intégrés.

Nous mettrions en place des contrôles d’authentification en amont et en aval de la chaîne, des équipes rouges et des tests d’intrusion pour nos réseaux, nous chercherions des indications de compromission, nous mettrions en place une architecture de sécurité sans périmètre, nous examinerions les rapports d’incident des fournisseurs et nous exigerions des divulgations. Ce projet de loi n’existe pas seul. Il y a tout un écosystème de cyberexperts et de cyberjuristes comme moi qui, s’ils font bien leur travail, contribueront à atténuer les risques que mes collègues ont si bien exposés.

Senator Batters: Thank you to all of you for being here and for your important work on these topics. The idea of “Don’t let the perfect be the enemy of the good” might be my least favourite expressions. We are the Senate of Canada. It is our job to make bills more perfect. I am the critic of the bill, so I think it’s part of my job to help make this bill better. La sénatrice Batters : Merci à vous tous pour votre présence ici et pour l’important travail que vous faites sur ces sujets. Ne pas laisser le mieux être l’ennemi du bien est peut-être l’expression que je déteste le plus. Nous sommes le Sénat du Canada.

C’est notre travail de rendre les projets de loi plus parfaits. Je suis la porte-parole de ce projet de loi, et je crois qu’une

partie de mon travail consiste à le bonifier. I also want to point out the House of Commons had this bill for two years. We only received it on the very last day we sat in June. Really, we’ve just been dealing with it for a bit over a month. We can afford to give it a little bit more time and good scrutiny. After all, we are the body of sober second thought. Je tiens également à souligner que la Chambre des communes a débattu de ce projet de loi pendant deux ans. Nous ne l’avons reçu que le dernier jour de séance, en juin. En fait, nous nous en occupons depuis un peu plus d’un mois.

Nous pouvons nous permettre de lui accorder un peu plus de temps et un examen approfondi. Après tout, nous sommes l’organe de second examen objectif. 4-11-2024 Sécurité nationale, défense et anciens combattants 64:17

I would like to start with Ms. Robertson from the Citizen Lab. What are the most crucial amendments to make to Bill C-26 to improve it and strengthen privacy protections for Canadians? You were referencing your updated brief in your remarks, but we as committee members don’t have it yet because it has to be translated before we receive it, so we don’t have it today. That’s important so that we can have it in both official languages. We don’t have it. You were making good references to it, but I haven’t been able to see it yet. J’aimerais commencer par Me Robertson, de Citizen Lab.

Quels sont les amendements les plus cruciaux à apporter au projet de loi C-26 pour l’améliorer et renforcer la protection de la vie privée des Canadiens? Vous avez fait référence à votre mémoire mis à jour dans votre exposé, mais les membres du comité ne l’ont pas encore reçu parce qu’il doit être traduit avant de nous être distribué. Nous ne l’avons donc pas devant nous aujourd’hui. Il est important que nous l’ayons dans les deux langues officielles, ce qui n’est pas le cas. Vous en avez bien parlé, mais je n’ai pas encore eu la chance de le voir. I was just looking at clause 15.4, which is a shockingly broad

section as it exists right now. Maybe that’s something you want to speak about? Je viens d’examiner l’article 15.4, qui a une portée étonnamment vaste dans sa forme actuelle. Est-ce quelque chose dont vous aimeriez parler? Ms. Robertson: Thank you for the question. I certainly understand the disadvantage that the timing of the filing and translation has put the committee in, in terms of consideration of the issues. Me Robertson : Je vous remercie de la question. Je comprends tout à fait les inconvénients que représente pour le comité le moment choisi pour déposer le rapport et la nécessité de le faire traduire.

I’ll start with what is textually both problematic in terms of your question on the core privacy problems because it starts from the exceptionally broad language of clause 15.4, as you note in your question. I would go farther from there to look at some of the measures that are currently being offered or described as the measures for oversight or review.

Je vais commencer par ce qui est problématique sur le plan du libellé, dans le contexte de votre question, les problèmes fondamentaux liés à la protection de la vie privée découlant du libellé exceptionnellement général de l’article 15.4, comme vous l’avez souligné. J’irais plus loin en examinant certaines des mesures qui sont actuellement offertes ou décrites comme des mesures de surveillance ou de contrôle. Right now, judicial review was mentioned last week as a way that the courts will be involved. It is not applicable to the collection power in clause 15.4.

Le contrôle judiciaire a été mentionné la semaine dernière comme un moyen de faire intervenir les tribunaux, mais il ne s’applique pas au pouvoir de collecte prévu à l’article 15.4. There is a new parliamentary reporting obligation added in the study of Bill C-26 in the House. It is not applicable to the collection power in 15.4. There are new notification obligations for the National Security and Intelligence Review Agency, or NSIRA and the National Security and Intelligence Committee of Parliamentarians, or NSICOP that are not applicable to the minister’s collection power in clause 15.4. There is a theme here.

L’étude du projet de loi C-26 à la Chambre a donné lieu à l’ajout d’une nouvelle obligation de faire rapport au Parlement. Elle ne s’applique pas au pouvoir de collecte dont il est question à l’article 15.4. Il y a aussi de nouvelles obligations de notification pour l’Office de surveillance des activités en matière de sécurité nationale et de renseignement, ou OSSNR, et le Comité des parlementaires sur la sécurité nationale et le renseignement, ou CPSNR, qui ne s’appliquent pas au pouvoir de collecte du ministre prévu à l’article 15.4. Il y a une constante ici.

There is also mention made that there is no interception of private communications in this bill. I spoke about how that only carves out a small subset of the data that is at issue and at stake here. One of the other measures that have been proffered — which was proffered during the study of the legislation, I don’t believe, as a result of a request for that amendment — which is to cite the Privacy Act, which we know applies. However, the government is not required to comply with the Privacy Act for the totality of its privacy obligations. It’s required to comply with the Constitution.

Leaving aside the many statements by the Department of Justice Canada, parliamentary committees and the Privacy Commissioner, which have all had a refrain that the Privacy Act is sorely outdated, it is still not enough for this task. On dit aussi qu’il n’est pas question d’interception de communication privée dans ce projet de loi. J’ai parlé du fait que cela ne touche qu’un petit sous-ensemble des données qui sont en jeu ici.

L’une des autres mesures qui ont été proposées — et qui l’ont été pendant l’étude du projet de loi, sans que ce soit à la suite d’une demande d’amendement, d’après ce que je comprends — est de citer la

Loi sur la protection des renseignements personnels, qui, nous le savons, s’applique. Cependant, le gouvernement n’est pas tenu de se conformer à la

Loi sur la protection des renseignements personnels pour l’ensemble de ses obligations en cette matière. Il est tenu de respecter la Constitution. Dans ce contexte, il ne suffit pas de laisser de côté les nombreuses déclarations du ministère de la 64:18 National Security, Defence and Veterans Affairs 4-11-2024

Justice, des comités parlementaires et du commissaire à la protection de la vie privée, qui ont tous dit que la

Loi sur la protection des renseignements personnels était terriblement désuète. That’s precisely why federal agencies that currently have the authority to collect data from privacy telecommunication companies do not turn to the Privacy Act for their authority. They have specialized legislation that requires that, for a collection power of this extraordinary magnitude — the most private information that our legal system recognizes — the courts review requests, and they can exercise restraints around retention, the scope of use and sharing.

C’est précisément pour cette raison que les organismes fédéraux qui ont actuellement le pouvoir de recueillir des données auprès d’entreprises de télécommunications ne tirent pas ce pouvoir de la

Loi sur la protection des renseignements personnels. Ils se conforment à des lois spécialisées qui exigent que, pour un pouvoir de collecte d’une telle ampleur — les renseignements les plus privés que notre système juridique reconnaît —, les tribunaux examinent les demandes et puissent imposer des restrictions concernant la conservation, la portée de l’utilisation et le partage. That is the most significant gap in this legislation: The Federal Court has been essentially ousted from a review of the collection power itself.

That’s what we recommend in recommendation 6, which you will ultimately receive, which refers to the need for Federal Court review. However, recommendation 7 in the brief is also there to recommend that these powers do not balloon, essentially, into surveillance or national security powers. This committee was told that this bill is about cybersecurity and not about national security. However, we know from the departmental positions of national security bodies like the CSE, data received for cybersecurity purposes will be used across its mandate.

That ballooning effect should be constrained through what I recommend as recommend 7, which is to limit the use of this data to cybersecurity mandates alone. C’est la lacune la plus importante de ce projet de loi : même la Cour fédérale a été essentiellement écartée de l’examen du pouvoir de collecte. C’est ce que nous avons inclus dans la recommandation 6, dont vous finirez par prendre connaissance, qui fait référence à la nécessité d’un contrôle par la Cour fédérale.

Cependant, la recommandation 7 du mémoire recommande également que ces pouvoirs ne se transforment pas en pouvoirs liés à la surveillance ou à la sécurité nationale. On a dit au comité que ce projet de loi concerne la cybersécurité et non la sécurité nationale. Cependant, nous savons, d’après les positions prises par des organismes de sécurité nationale comme le CST, que les données reçues à des fins de cybersécurité seront utilisées dans le cadre de leur mandat.

Cet effet devrait être restreint par ce qui est compris dans la recommandation 7, c’est- à-dire limiter l’utilisation de ces données aux seuls mandats de cybersécurité. Senator Batters: Thank you. I will go on a second round, if there is one. La sénatrice Batters : Merci. Je poursuivrai mes questions au deuxième tour, s’il y en a un. Senator Dasko: Thank you to our witnesses for being here. My questions are for Ms. Quaid and Ms. Robertson. La sénatrice Dasko : Je remercie nos témoins de leur présence. Mes questions s’adressent à Mme Quaid et à Me Robertson. You’ve each expressed some criticisms of the bill. Ms.

Quaid, you were calling for a broader approach — safe harbour laws going, as you said, below the threshold in some ways. Ms. Robertson, you seem to be suggesting something different. I think you’re saying that the bill perhaps doesn’t go quite far enough, but, Ms. Robertson, you’re saying it perhaps goes too far because it has powers that place privacy at risk through the powers in the bill. Vous avez toutes les deux formulé des critiques à l’égard du projet de loi.

Madame Quaid, vous demandiez une approche plus large, c’est-à-dire des lois d’exonération s’appliquant, comme vous l’avez dit, aux situations qui dépassent les seuils à certains égards. Maître Robertson, vous semblez proposer quelque chose de différent. Je pense que vous dites que le projet de loi ne va peut-être pas assez loin, mais vous dites aussi qu’il va peut-être trop loin parce qu’il comporte des pouvoirs qui présentent des risques au

chapitre de la protection de la vie privée. I don’t think I’ve ever asked a question quite this way, but I would like to ask Ms. Quaid this: What do you think about the concerns that Ms. Robertson has? Please stick with substantive issues as opposed to — do you share any of the concerns that she has expressed? Je ne crois pas avoir déjà posé une telle question, mais j’aimerais demander à Mme Quaid ce qu’elle pense des préoccupations de Me Robertson. Veuillez vous en tenir à des questions de fond plutôt qu’à... Partagez-vous les préoccupations qu’elle a exprimées? 4-11-2024 Sécurité nationale, défense et anciens combattants 64:19

Ms. Quaid: Of course I do, but I’m not a privacy expert, and I am certainly not a privacy lawyer with that depth and breadth of understanding and knowledge. Mme Quaid : Bien sûr que oui, mais je ne suis pas une experte de la protection de la vie privée, et je ne suis certainement pas une avocate spécialisée dans ce domaine, qui possède des connaissances aussi approfondies. Senator Dasko: But calling for changes, as I understand them, that might actually lower the threshold for privacy considerations.

La sénatrice Dasko : Si j’ai bien compris, demander des changements pourrait en fait abaisser le seuil de protection de la vie privée. Ms. Quaid: No. Let me clarify that. The change that I am calling for is the addition of enabling safe harbour protection for the six sectors that have been impacted by this legislation. Safe harbour protection would simply enable those companies to talk about things with the greater public without fear of legal reprisals. In other words, it enables them to share information about things they are seeing, doing and experiencing without fear of lawsuits. Mme Quaid : Non.

Permettez-moi de clarifier cela. Le changement que je demande, c’est l’ajout d’une disposition d’exonération pour les six secteurs touchés par ce projet de loi. Cela permettrait simplement aux entreprises visées d’avoir des discussions publiques sur certaines choses, sans crainte de représailles légales. Autrement dit, cela leur permettrait de partager des informations sur des choses qu’elles voient, font et vivent sans craindre des poursuites. That’s all I’m asking for. It has nothing to do with the privacy piece that Ms. Robertson has so eloquently spoken to. C’est tout ce que je demande.

Cela n’a rien à voir avec les aspects de la protection de la vie privée dont Me Robertson a parlé avec tant d’éloquence. Senator Dasko: It wouldn’t jeopardize any privacy if companies were in a position to share more information? It certainly sounds as if it could go in that direction. La sénatrice Dasko : Si des entreprises étaient en mesure de partager plus de renseignements, cela ne compromettrait-il pas la protection de la vie privée? Il semble certainement que les choses pourraient aller dans cette direction. Ms.

Quaid: The types of information they would share would be information about their cybersecurity systems and their policies and procedures — no personal information. Mme Quaid : Les types de renseignements qu’elles partageraient concerneraient leurs systèmes de cybersécurité et leurs politiques et procédures; il ne s’agirait pas de renseignements personnels. Senator Dasko: Would you care to comment? Perhaps I would ask you what you think about Ms. Quaid’s suggestions. La sénatrice Dasko : Avez-vous quelque chose à dire à ce sujet? J’aimerais vous demander ce que vous pensez des suggestions de Mme Quaid. Ms.

Robertson: The coincidence is that we had — Me Robertson : Ce qui coïncide, c’est que nous avions... Senator Dasko: You both make a great deal of sense, so I’m trying to see if there might be some sort of common ground between you in what you’re saying. Even though you’re speaking about different aspects of it, I see similarities in the areas you’re addressing. I’m just trying to see if there is a common ground at all. La sénatrice Dasko : Ce que vous dites toutes les deux a beaucoup de sens, alors j’essaie de voir s’il y aurait des éléments communs entre ce que vous dites chacune de votre côté.

Même si vous en parlez sous des angles différents, je vois des similitudes dans les domaines que vous abordez. J’essaie simplement de voir s’il y a des éléments communs. Ms. Robertson: Yes. I don’t believe there is a misalignment between the recommendations and the topics that we are addressing this committee on. There are different aspects of the effects of this legislation. Me Robertson : Oui. Je ne vois pas de décalage entre les recommandations et les sujets que nous abordons devant ce comité. Il y a différents aspects aux effets de ce projet de loi. I agree with Ms. Quaid’s comments.

They resonate because we have — and I have in my brief — ultimately talked about the importance of the public’s right to understand their own cybersecurity and that there have been legacy deficiencies that have exposed people around the world to pervasive insecurity and historical telecommunication networks that were never designed to be secure in the first place; that wasn’t their originating purpose. However, there has been excessive secrecy Je suis d’accord avec les observations de Mme Quaid.

Elles font écho aux nôtres, parce que ce dont nous parlons — et je l’ai mentionné dans mon mémoire —, en fin de compte, c’est de l’importance du droit du public de comprendre la cybersécurité de son point de vue, ainsi que du fait que des lacunes se sont perpétuées et ont exposé les gens du monde entier à une insécurité généralisée et à des réseaux de télécommunications qui n’ont jamais été conçus pour être sécuritaires, car ce n’était 64:20 National Security, Defence and Veterans Affairs 4-11-2024

in how telecommunication providers operate, intermediate and are regulated in, essentially, a self-regulated way. That has meant that individuals and external, independent cybersecurity experts have not had access to the type of information to fully understand the extent of those threats. pas leur but à l’origine. Cependant, il y a eu une discrétion excessive quant à la façon dont les fournisseurs de services de télécommunications fonctionnent, agissent comme intermédiaires et sont réglementés, à savoir qu’ils s’autoréglementent essentiellement.

Cela signifie que des personnes et des experts externes et indépendants en cybersécurité n’ont pas eu accès au type d’information qui leur aurait permis de comprendre pleinement l’ampleur de ces menaces. That’s why we have recommended in what you will ultimately see as recommendations 1 to 5, I believe, of my brief. They are textual changes to make this bill less excessive in terms of its potential secrecy, because as cybersecurity is a team sport, the public have a right to know.

No one’s suggesting there should be mandatory reporting on unpatched vulnerabilities, which was a reason offered for why the orders have nondisclosure provisions attached to them. However, that specific reason for secrecy is much narrower than the potential secrecy that we may see in whether the government ultimately requires our networks to be secure at a network level. That’s why we say that if there is secrecy, it should be narrowly constrained.

Specifically, we’ve agreed with the civil society recommendation that if there is going to be a nondisclosure order beyond, let’s say, a period of three months, Federal Courts should have to approve any extension of that secrecy or nondisclosure. C’est la raison de la teneur des recommandations 1 à 5, je crois, de mon mémoire. Il s’agit de changements de libellé visant à rendre le projet de loi moins excessif en ce qui concerne la confidentialité potentielle, car comme la cybersécurité est un sport d’équipe, le public a le droit de savoir.

Personne ne laisse entendre qu’il devrait y avoir une obligation de rendre compte des vulnérabilités non corrigées, ce qui explique pourquoi les décrets sont assortis de dispositions de non-divulgation. Cependant, cette motivation précise au

chapitre de la confidentialité est beaucoup plus étroite que ne le justifie la situation, à savoir que le gouvernement exige en fin de compte que nos réseaux soient entièrement sécurisés. C’est pourquoi nous disons qu’il devrait y avoir des restrictions étroites en matière de confidentialité. Plus précisément, nous avons accepté la recommandation de la société civile, selon laquelle si un décret de non-divulgation devait s’étendre au-delà, disons, d’une période de trois mois, cela devrait être approuvé par des cours fédérales. Senator Richards: My question has been answered a dozen times.

That’s what I get for being last. Thanks very much for being here. Le sénateur Richards : On a déjà répondu à la question que j’avais une dizaine de fois. C’est ce qui arrive lorsque l’on est le dernier à intervenir. Merci beaucoup d’être ici. I have a quick question: How big a divide do you see between security and individual privacy, and how can your recommendation be integrated into the bill without losing what the actual bill intends? If there are amendments on these recommendations, how will they ever get passed in the other place? J’ai une brève question à vous poser.

Selon vous, quelle est la largeur du fossé entre la sécurité et la protection des renseignements personnels, et comment votre recommandation peut-elle être intégrée dans le projet de loi sans perdre de vue l’objectif réel de ce dernier? S’il y a des amendements découlant de ces recommandations, comment seront-ils adoptés à l’autre endroit? I’m asking Ms. Robertson that. Je pose la question à Me Robertson. Ms. Robertson: I see. I will have to, unfortunately, leave the political analysis to political experts.

I’m here as a constitutional law expert who has very talented colleagues who have expertise in cybersecurity and technology. This should be a non-partisan issue because, as we’re seeing unfolding in the United States at present, there are systemic vulnerabilities that this bill should be focused on ameliorating. However, right now, this bill carries powers that will potentially compromise the very solutions to these problems, and so we are asking for targeted, specific amendments to ensure that, as I indicated earlier today, our compass is pointed in the right direction.

I have a number of specific amendments that are included in our brief that provide specific textual language as to how to accomplish these goals. Me Robertson : Je comprends. Malheureusement, je vais devoir laisser l’analyse politique aux experts de ce domaine. Je suis ici en tant qu’experte en droit constitutionnel, et j’ai des collègues très talentueux qui ont une expertise en cybersécurité et en technologie. Cette question devrait être non partisane parce que, comme nous le voyons actuellement aux États-Unis, il y a des vulnérabilités systémiques que ce projet de loi devrait viser à régler.

Cependant, à l’heure actuelle, ce projet de loi confère des pouvoirs qui pourraient aller jusqu’à compromettre les solutions à ces problèmes. Nous demandons donc des amendements ciblés et précis pour nous assurer, comme je l’ai dit plus tôt aujourd’hui, que nos repères vont dans la bonne direction. J’ai un certain nombre d’amendements précis qui figurent dans notre 4-11-2024 Sécurité nationale, défense et anciens combattants 64:21

mémoire et qui fournissent un libellé précis sur la façon d’atteindre ces objectifs. Senator Richards: I wasn’t asking you how they would get past — I was referring to that for myself, but thank you very much. Le sénateur Richards : Je ne vous demandais pas comment ils pourraient être adoptés. Ce n’était qu’une réflexion que je me faisais à moi-même, mais merci beaucoup. The Chair: This brings us to the end of our time with this panel, but many of you would like to continue. Thank you, Ms. Quaid, Ms. Robertson, and Mr. Shull, for sharing your insights and taking the time to meet with us today.

It’s relatively rare that as many senators as we saw today want to hear answers from all three witness, so that is very much a commendation toward your knowledge, skills and insightful contributions, so thank you for helping us today with this important piece of legislation. Le président : Nous arrivons à la fin de la séance avec ce groupe de témoins, même si bon nombre d’entre vous aimeraient continuer. Merci, madame Quaid, maître Robertson et maître Shull, de nous avoir fait part de vos réflexions et d’avoir pris le temps de nous rencontrer aujourd’hui.

Il est relativement rare qu’autant de sénateurs veuillent entendre les réponses des trois témoins, comme cela a été le cas aujourd’hui. Je vous félicite donc de vos connaissances, de vos compétences, ainsi que de votre contribution éclairée. Je vous remercie également de nous avoir aidés aujourd’hui à étudier cette importante mesure législative. Colleagues, we’re meeting to continue our consideration of Bill C-26,

An Act respecting cyber security, amending the Telecommunications Act and making consequential amendments to other Acts. Chers collègues, nous poursuivons notre étude du projet de loi C-26, Loi concernant la cybersécurité, modifiant la

Loi sur les télécommunications et apportant des modifications corrélatives à d’autres lois. Next hour, we have the pleasure of welcoming from the Canadian Chamber of Commerce, Ulrike Bahr-Gedalia, Senior Director, Digital Economy, Technology and Innovation, and from IBM Canada, Tiéoulé Traoré, Executive, Government and Regulatory Affairs, and Daina Proctor, Executive, Cybersecurity Services, and from the Canadian Telecommunications Association, Eric Smith, Senior Vice-President. Thank you very much for meeting with us today.

Au cours de la prochaine heure, nous avons le plaisir d’accueillir Ulrike Bahr-Gedalia, directrice principale, Économie numérique, technologie et innovation, de la Chambre de commerce du Canada, ainsi que Tiéoulé Traoré, directeur, Affaires gouvernementales et réglementaires, et Daina Proctor, directrice, Services de cybersécurité, chez IBM Canada, de même qu’Eric Smith, vice-président principal de l’Association canadienne des télécommunications. Merci beaucoup d’être venus nous rencontrer aujourd’hui. We now invite you to make your opening remarks to be followed by questions from our members.

And we will begin this evening with Ulrike Bahr-Gedalia from the Canadian Chamber of Commerce. Please begin when you’re ready. Nous vous invitons maintenant à faire votre déclaration préliminaire, après quoi les membres du comité vous poseront des questions. Nous allons d’abord donner la parole à Ulrike Bahr-Gedalia, de la Chambre de commerce du Canada. Veuillez commencer lorsque vous serez prête. Ulrike Bahr-Gedalia, Senior Director, Digital Economy, Technology and Innovation, Canadian Chamber of Commerce: Mr.

Chair, members of the Senate, good evening, my name is Ulrike Bahr-Gedalia and I’m the Canadian Chamber’s policy lead for the Digital Economy Committee, Future of Artificial Intelligence Council and Cyber. Right. Now. Council. Ulrike Bahr-Gedalia, directrice principale, Économie numérique, technologie et innovation, Chambre de commerce du Canada : Monsieur le président, membres du Sénat, bonsoir. Je me nomme Ulrike Bahr-Gedalia, et je suis directrice principale de l’économie numérique à la Chambre de commerce du Canada.

Je suis également responsable des politiques pour le Comité de l’économie numérique, le Conseil sur l’avenir de l’intelligence artificielle et le programme La Cybersécurité. Dès. Maintenant.

As Canada’s largest and most activated business network representing over 400 chambers of commerce and boards of trade, as well as more than 100 associations and over 200,000 businesses of every size from all regions and economic sectors of Canada, the Canadian Chamber is pleased to once again provide feedback on Bill C-26 following our appearance before the En tant que réseau d’affaires le plus important et le plus dynamique au Canada, représentant plus de 400 chambres de commerce, une centaine d’associations et plus de 200 000 entreprises de toutes tailles et de tous les secteurs économiques du Canada, la Chambre de commerce du Canada est honorée d’être à nouveau invitée à vous faire part de ses commentaires 64:22 National Security, Defence and Veterans Affairs 4-11-2024

House of Commons Standing Committee on Public Safety and National Security, or SECU, in February. sur le projet de loi C-26, à la suite de notre intervention devant le Comité permanent de la sécurité publique et nationale en février dernier. I’d like to start off by acknowledging the adoption of some changes the Canadian Chamber had put forward during the bill’s committee study, the deletion of clause 10, thereby restoring due diligence defence, removal of the requirement for immediate reporting of cybersecurity incidents and harmonization with existing obligations.

J’aimerais commencer par saluer l’adoption de certains changements proposés par la Chambre de commerce lors de l’étude du projet de loi en comité, la suppression de l’article 10, rétablissant ainsi la défense de diligence raisonnable; le retrait de l’obligation de signaler immédiatement les incidents de cybersécurité; l’harmonisation avec les obligations existantes. I’d also liked to acknowledge the recent appointment of Sami Khoury as a senior government official for cyber security, a role and responsibility the Canadian Chamber’s Cyber. Right. Now.

Council had been advocating for over the past two years, with a goal to ensure policy coherence, coordination of cybersecurity activities and initiatives, and alignment of resources across the government, all while increasing and improving two-way information sharing, which was also a concern we had expressed during our previous appearance. J’aimerais également faire mention de la récente nomination de Sami Khoury en tant qu’agent supérieur pour la cybersécurité, un rôle et une responsabilité pour laquelle la Chambre de commerce du Canada a plaidé dans le cadre du programme La Cybersécurité. Dès.

Maintenant., au cours des deux dernières années, dans le but d’assurer la cohérence des politiques, la coordination des activités et des initiatives en matière de cybersécurité et l’alignement des ressources au sein du gouvernement, tout en augmentant et en améliorant le partage bilatéral d’informations, ce qui était également une préoccupation que nous avions exprimée lors de notre précédent témoignage.

While we are pleased to see the House SECU committee conclude their study on Bill C-26 and support the bill overall, certain amendments are still needed at this stage to ensure the bill reaches its full potential. Bien que nous soyons heureux de voir le Comité permanent de la sécurité publique et nationale de la Chambre des communes conclure son étude sur le projet de loi C-26, et que nous soutenions le projet de loi dans son ensemble, certains amendements sont encore nécessaires à ce stade pour s’assurer que le projet de loi atteigne son plein potentiel.

More specifically, with respect to the Telecommunications Act, while we applaud the House for making important changes to the bill, including a due diligence defence for administrative monetary penalties, we remain concerned that the bill suggests companies can be compensated for changes they may have to make under this regime. We believe the Senate should amend the legislation to allow the minister or Governor in Council to award compensation on a case-by-case basis. Plus précisément, en ce qui concerne la

Loi sur les télécommunications : bien que nous applaudissions la Chambre d’avoir apporté des modifications importantes au projet de loi, y compris en ce qui concerne la défense de diligence raisonnable pour les sanctions administratives pécuniaires, nous demeurons préoccupés par le fait que le projet de loi laisse entendre que les sociétés ne peuvent pas être indemnisées pour les changements qu’elles pourraient devoir apporter dans le cadre de ce régime. Nous pensons que le Sénat devrait amender la législation pour permettre au ministre ou au gouverneur en conseil d’accorder des compensations au cas par cas.

With respect to the Critical Cyber Systems Protection Act, or CCSPA, our members continue to seek the following improvements: Two-way information sharing; as currently drafted, the CCSPA only contemplates one-way information sharing from designated operators to the government. We believe this is a missed opportunity and a potential weakness; a clearer definition of a reportable cybersecurity incident. This will ensure industry is not forced to report events that do not pose a material threat to a vital system.

Failure to clearly define the parameters for a reportable incident will undermine the purpose of the bill and overwhelm government authorities who will have to process each cyber incident reported. En ce qui concerne la

Loi sur la protection des cybersystèmes essentiels, ou LPCE, nos membres continuent à demander les améliorations suivantes, à savoir, le partage bilatéral de l’information. Dans sa version actuelle, la LPCE envisage seulement un partage d’information à sens unique entre les opérateurs désignés et le gouvernement. Nous pensons qu’il s’agit là à la fois d’une erreur et d’une faille potentielle; une définition plus claire de ce qu’est un incident de cybersécurité devant faire l’objet d’un rapport.

Ainsi, l’industrie ne serait pas obligée de faire des rapports sur des événements qui ne représentent pas une menace sérieuse pour un système vital. L’absence de définition claire des paramètres d’un incident à 4-11-2024 Sécurité nationale, défense et anciens combattants 64:23

signaler nuit à l’objectif du projet de loi et submergera les autorités gouvernementales, qui devront traiter et évaluer chaque cyberincident signalé. Another area of concern is the continued rise of ransomware incidents. In this context, we commend Canada in its involvement in the International Counter Ransomware Initiative, or CRI, which includes the development of a CRI public-private sector advisory panel. Une autre source de préoccupation majeure est la hausse continue des incidents liés aux rançongiciels.

Dans ce contexte, nous félicitons le Canada pour sa participation à l’Initiative de lutte contre les rançongiciels — ou ILR — internationale, qui comprend la mise en place d’un groupe consultatif du secteur public-privé. The following facts emphasize the severity and urgency for more action on this issue. The RCMP states that almost 60% of cyber incidents reported to its national cyber crime coordination centre are ransomware attacks.

The Canadian Centre for Cyber Security calls ransomware the most disruptive form of cyber crime facing Canada, and the most recent national cyber threat assessment report notes that ransomware is the top cyber threat facing Canada’s critical infrastructure, and Bill C-26 is about protecting Canada’s critical infrastructure. Les faits suivants illustrent la gravité de la situation et l’urgence d’agir dans ce domaine. La GRC affirme que près de 60 % des cyberincidents signalés à son Centre national de coordination en cybercriminalité sont des attaques par rançongiciel. Le Centre canadien pour la cybe