EVIDENCE TÉMOIGNAGES OTTAWA, Monday, October 28, 2024 OTTAWA, le lundi 28 octobre 2024 The Standing Senate Committee on National Security, Defence and Veterans Affairs met with videoconference this day at 4:01 p.m. [ET] to study Bill C-26,

An Act respecting cyber security, amending the Telecommunications Act and making consequential amendments to other Acts. Le Comité sénatorial permanent de la sécurité nationale, de la défense et des anciens combattants se réunit aujourd’hui, à 16 h 1 (HE), avec vidéoconférence, pour étudier le projet de loi C-26, Loi concernant la cybersécurité, modifiant la

Loi sur les télécommunications et apportant des modifications corrélatives à d’autres lois. Senator Tony Dean (Chair) in the chair. Le sénateur Tony Dean (président) occupe le fauteuil. [English] [Traduction] The Chair: Honourable senators, before we begin, I would ask all senators and other in-person participants to consult the cards on the table for guidelines to prevent audio feedback incidents. Thank you for your cooperation.

Le président : Honorables sénateurs, avant de commencer, je demanderais à tous les sénateurs et autres participants en personne de consulter les cartes sur la table pour les directives visant à prévenir les incidents de retour de son. Je vous remercie de votre coopération. Welcome to this meeting of the Standing Senate Committee on National Security, Defence and Veterans Affairs. I am Tony Dean, a senator from Ontario and chair of the committee. I am joined today by my fellow colleagues, who will introduce themselves beginning with our deputy chair.

Bienvenue à cette réunion du Comité sénatorial permanent de la sécurité nationale, de la défense et des anciens combattants. Je m’appelle Tony Dean, sénateur de l’Ontario et président du comité. Je suis accompagné aujourd’hui par mes collègues, qui se présenteront en commençant par notre vice-président. [Translation] [Français] Senator Dagenais: Jean-Guy Dagenais from Quebec. Le sénateur Dagenais : Jean-Guy Dagenais, du Québec. [English] [Traduction] Senator Richards: Dave Richards, New Brunswick. Le sénateur Richards : Je suis Dave Richards, du Nouveau- Brunswick. Senator Patterson: Rebecca Patterson, Ontario.

La sénatrice Patterson : Rebecca Patterson, de l’Ontario. Senator Fridhandler: Daryl Fridhandler, Alberta Le sénateur Fridhandler : Daryl Fridhandler, de l’Alberta. Senator M. Deacon: Marty Deacon, Ontario. Welcome. La sénatrice M. Deacon : Je m’appelle Marty Deacon, de l’Ontario. Bienvenue. Senator Gold: Marc Gold, Quebec. Le sénateur Gold : Marc Gold, du Québec. Senator Dasko: Donna Dasko, a senator from Ontario and a member of this committee. La sénatrice Dasko : Je suis Donna Dasko, sénatrice de l’Ontario et membre de ce comité. Senator Duncan: Pat Duncan, senator for the Yukon.

La sénatrice Duncan : Pat Duncan, sénatrice du Yukon. Senator Kutcher: Stan Kutcher, Nova Scotia. Le sénateur Kutcher : Stan Kutcher, de la Nouvelle-Écosse. Senator McNair: John McNair, New Brunswick. Le sénateur McNair : John McNair, du Nouveau-Brunswick. Senator Boehm: Peter Boehm, Ontario. Le sénateur Boehm : Je suis Peter Boehm, de l’Ontario. Senator Yussuff: Hassan Yussuff, Ontario. Le sénateur Yussuff : Hassan Yussuff, de l’Ontario. 28-10-2024 Sécurité nationale, défense et anciens combattants 63:1

[Translation] [Français] Senator Carignan: Claude Carignan from Quebec. Le sénateur Carignan : Claude Carignan, du Québec. [English] [Traduction] Senator Batters: Denise Batters, Saskatchewan. La sénatrice Batters : Denise Batters, de la Saskatchewan. The Chair: Thank you. We have a full house today. Ericka Paajanen is the clerk of the committee. To my right are our Library of Parliament analysts Anne-Marie Therrien-Tremblay and Ariel Shapiro. Le président : Merci. La salle est pleine aujourd’hui. Ericka Paajanen est la greffière du comité.

À ma droite se trouvent Anne-Marie Therrien-Tremblay et Ariel Shapiro, analystes à la Bibliothèque du Parlement. Today, colleagues, we begin our consideration of Bill C‑26,

An Act respecting cyber security, amending the Telecommunications Act and making consequential amendments to other Acts. Aujourd’hui, chers collègues, nous entamons l’examen du projet de loi C-26, Loi concernant la cybersécurité, modifiant la

Loi sur les télécommunications et apportant des modifications corrélatives à d’autres lois. To kick off this work, I am pleased to welcome back the Honourable Dominic LeBlanc, Minister of Public Safety, Democratic Institutions and Intergovernmental Affairs; and the Honourable François-Philippe Champagne, Minister of Innovation, Science and Industry.

Pour lancer ces travaux, j’ai le plaisir d’accueillir à nouveau l’honorable Dominic LeBlanc, ministre de la Sécurité publique, des Institutions démocratiques et des Affaires intergouvernementales, et l’honorable François-Philippe Champagne, ministre de l’Innovation, des Sciences et de l’Industrie.

The ministers are accompanied today by the following officials from Public Safety Canada: Patrick Boucher, Senior Assistant Deputy Minister, National and Cyber Security Branch; Colin MacSween, Director General, National and Cyber Security Branch; and Kelly-Anne Gibson, Acting Director, National and Cyber Security Branch. From Innovation, Science and Economic Development Canada’s Spectrum and Telecommunications Sector, we have Martin Proulx, Director General; Wen Kwan, Senior Director; David Gibson, Director; and from the Strategy and Innovation Policy Sector, Andre Arbour, Director General.

Les ministres sont accompagnés aujourd’hui des fonctionnaires suivants de la Direction de la sécurité nationale et de la cybersécurité à Sécurité publique Canada : M. Patrick Boucher, sous-ministre adjoint principal; M. Colin MacSween, directeur général; et Mme Kelly-Anne Gibson, directrice par intérim. Du Secteur du spectre et des télécommunications d’Innovation, Sciences et Développement économique Canada, nous avons M. Martin Proulx, directeur général; M. Wen Kwan, directeur principal; et M. David Gibson, directeur. Nous avons aussi M.

André Arbour, directeur général du Secteur des stratégies et politiques d’innovation à ISDEC. Thank you for joining us today. We now ask you to provide your opening remarks, beginning with Minister LeBlanc. It is good to see you again. Whenever you are ready. Merci de vous joindre à nous aujourd’hui. Nous vous demandons maintenant de présenter vos remarques préliminaires, en commençant par le ministre LeBlanc. C’est un plaisir de vous revoir. Si vous êtes prêt, allez-y. The Honourable Dominic LeBlanc, P.C., M.P., Minister of Public Safety, Democratic Institutions and Intergovernmental Affairs: Mr.

Chair, I am always ready, and I am always happy to be here. Thank you, sir, to you and your colleagues for this opportunity as well. L’honorable Dominic LeBlanc, c.p., député, ministre de la Sécurité publique, des Institutions démocratiques et des Affaires intergouvernementales : Monsieur le président, je suis toujours prêt et je suis toujours heureux d’être ici. Je vous remercie, vos collègues et vous, de me donner cette occasion. Cyber-threats have grown more complex and sophisticated, and they are being undertaken by state and non-state actors alike. Bill C-26 — which you, Mr.

Chair, properly noted, is before this committee — will protect Canadians and bolster cybersecurity across the federally regulated financial, telecommunications, energy and transportation sectors. Those are the big ones that we collectively think of when we speak about federally regulated sectors of the economy. Les cybermenaces, qui émanent tant d’acteurs étatiques que non étatiques, sont de plus en plus complexes et sophistiquées.

Le projet de loi C-26, dont vous êtes saisis, comme vous l’avez pertinemment fait remarquer, monsieur le président, protégera les Canadiens et renforcera la cybersécurité dans les secteurs de la finance, des télécommunications, de l’énergie et du transport, qui sont réglementés par le gouvernement fédéral. Ce sont les grands secteurs auxquels nous pensons collectivement lorsque nous parlons des secteurs de l’économie réglementés par Ottawa. 63:2 National Security, Defence and Veterans Affairs 28-10-2024

The Communications Security Establishment Canada, or CSE, has said cybercrime is now the most prevalent and pervasive threat to Canadians and Canadian businesses. The CSE’s Canadian Centre for Cyber Security has warned us of the many risks, with ransomware at the top of the list. We’ve already seen the damage that such a cyberincident can cause when a U.S. energy company was the target of a ransomware attack, for example, in May 2021. A Russian criminal group extorted $4.3 million after they disrupted the largest fuel line in the United States.

This incident was so significant that it led to President Biden calling a national state of emergency. Le Centre de la sécurité des télécommunications Canada, ou CST, a déclaré que la cybercriminalité est désormais la menace la plus répandue et la plus omniprésente pour les Canadiens et les entreprises canadiennes. Le Centre canadien pour la cybersécurité du CST nous a mis en garde contre les nombreux risques, les rançongiciels figurant en tête de liste.

Par exemple, nous avons déjà constaté les dégâts qu’un tel cyberincident peut causer lorsqu’une entreprise énergétique américaine a été la cible d’une attaque par rançongiciel en mai 2021. Un groupe criminel russe a extorqué 4,3 millions de dollars après avoir interrompu la plus grande canalisation de carburant des États-Unis. Cet incident a été si important qu’il a conduit le président Biden à décréter l’état d’urgence national. [Translation] [Français] Over the past two years, we have noted a significant increase in this type of cyber-attack in Canada.

Au cours des deux dernières années, nous avons constaté une augmentation notable de ce genre de cyberattaques au Canada. Last year, the Communications Security Establishment, or CSE, stated that a cyber-threat actor “had the potential to cause physical damage to Canadian critical infrastructure”. Thankfully, there was no physical damage to Canadian infrastructure, but as the CSE’s Canadian Centre for Cyber Security stated, “the threat is real”. We shouldn’t fool ourselves.

L’année dernière, le Centre de la sécurité des télécommunications Canada (CST) a déclaré qu’un cyberacteur « [...] avait le potentiel de causer des dommages physiques à des infrastructures essentielles canadiennes » . Heureusement, aucune infrastructure canadienne n’a subi de dommages physiques, mais comme l’a dit le Centre canadien pour la cybersécurité du CST : « [...] la menace est réelle ». Il ne faut pas se leurrer.

In June of last year, the Calgary Herald reported that Canadian energy company Suncor suffered a serious cyber‑incident that shut down debit and credit processing at Petro‑Canada gas stations across the country. En juin de l’année dernière, le Calgary Herald a rapporté que la société énergétique canadienne Suncor avait été victime d’un grave incident cybernétique qui avait interrompu les transactions de débit et de crédit dans les stations-service de Petro-Canada dans tout le pays. Last March, the City of Hamilton was the latest victim of a ransomware attack that interrupted a number of its online services.

These are but a few examples of the recent attacks clearly showing that Canada must act immediately. En mars dernier, la ville de Hamilton a été la dernière victime d’une attaque de rançongiciel qui a interrompu plusieurs de ses services en ligne. Ces exemples sont seulement quelques-unes des attaques récentes qui montrent clairement que le Canada doit agir de toute urgence. This bill would allow the government to take security measures and prohibit Canadian telecommunications service providers from using products and services from high-risk suppliers.

Le projet de loi permettra au gouvernement de prendre des mesures de sécurité et d’interdire aux fournisseurs de services de télécommunication canadiens d’utiliser des produits ou des services provenant de fournisseurs à haut risque. [English] [Traduction] Additionally, this act will increase information sharing between industry and government by requiring designated critical infrastructure operators to report cybersecurity incidents to the CSE’s Cyber Centre. Mandating the sharing of essential information will improve the government’s awareness of the cyber-threat landscape across the country.

When the government has a clearer picture of the threat facing critical infrastructure providers, we can warn operators of potential threats and vulnerabilities. Bill C-26 will make one organization’s detection another’s prevention. Further, designated operators of vital De plus, cette loi renforcera le partage d’informations entre l’industrie et le gouvernement, en obligeant les opérateurs d’infrastructures essentielles désignées à signaler les incidents de cybersécurité au Centre pour la cybersécurité du CST.

L’obligation de partager des informations névralgiques permettra au gouvernement de mieux connaître le paysage des cybermenaces dans l’ensemble du pays. Lorsque le gouvernement a une idée plus précise de la menace à laquelle sont confrontés les fournisseurs d’infrastructures essentielles, il peut les avertir des menaces et des vulnérabilités potentielles. 28-10-2024 Sécurité nationale, défense et anciens combattants 63:3

services and systems would be obligated to implement cybersecurity programs, mitigate supply chain and third-party risks, and comply with cybersecurity directions. Avec le projet de loi C-26, la détection au sein d’une organisation permettra de prévenir les autres. En outre, les fournisseurs désignés de services et de systèmes essentiels seraient tenus de mettre en œuvre des programmes de cybersécurité, d’atténuer les risques liés à la chaîne d’approvisionnement et aux tiers, et de se conformer aux directives en matière de cybersécurité.

The House Standing Committee on Public Safety and National Security, as members of this committee will know, made a number of notable amendments related to reasonableness, oversight and privacy protection.

The committee amended the bill in the House to add reasonableness standards for the issuing of ministerial orders and cybersecurity directions; implement robust review provisions to ensure the National Security and Intelligence Committee of Parliamentarians and the National Security and Intelligence Review Agency have the ability to review the government’s orders and directions; and references, as colleagues would know, were explicitly made to the Privacy Act and the government’s obligation, of course, to respect that legislation.

Comme vous le savez, le Comité permanent de la sécurité publique et nationale de la Chambre des communes a apporté un certain nombre d’amendements notables concernant le caractère raisonnable, la surveillance et la protection de la vie privée.

Le comité a amendé le projet de loi afin d’ajouter des normes liées au caractère raisonnable pour la prise d’arrêtés ministériels et de directives en matière de cybersécurité; de mettre en œuvre des dispositions d’examen solides afin de garantir que le Comité des parlementaires sur la sécurité nationale et le renseignement et l’Office de surveillance des activités en matière de sécurité nationale et de renseignement aient la capacité d’examiner les arrêtés et les directives du gouvernement; et des références, comme les collègues le savent, ont été explicitement faites à la

Loi sur la protection des renseignements personnels et à l’obligation du gouvernement, bien sûr, de respecter cette loi. [Translation] [Français] Dear colleagues, we believe this bill has great merit. It was passed unanimously in the House of Commons. To conclude, the bill is in line with legislation established by our Five Eyes partners. Chers collègues, il s’agit d’un projet de loi qui a un grand mérite, à notre avis. Il a été adopté par l’autre Chambre de façon unanime.

En guise de conclusion, le projet de loi est conforme à la législation établie par nos partenaires du Groupe des cinq. [English] [Traduction] It’s a much better acronym in English — Five Eyes. When the ministers meet, there are actually 10 eyes in the room. I pointed that out at my first meeting. Secretary Mayorkas still makes that joke. C’est une bien meilleure désignation en anglais : les Five Eyes. Quand les ministres se rencontrent, il y a toutefois 10 yeux dans la salle. Je l’ai fait remarqué lors de la première séance à laquelle je participais.

D’ailleurs, le secrétaire Mayorkas répète toujours cette blague. [Translation] [Français] The bill will protect Canadians, private sector firms and the cyber-systems Canadians rely on each day. Thank you very much. Le projet de loi protégera les Canadiennes et les Canadiens, les entreprises du secteur privé et les cybersystèmes dont dépendent nos concitoyens quotidiennement. Merci beaucoup. [English] [Traduction] The Chair: Thank you, Minister LeBlanc. Le président : Merci, monsieur le ministre. Colleagues, we will hear next from Minister Champagne. Whenever you are ready.

Nous entendrons maintenant le ministre Champagne. Allez-y quand vous serez prêt. [Translation] [Français] The Honourable François-Philippe Champagne, P.C., M.P., Minister of Innovation, Science and Industry: Thank you, Mr. Chair. Thank you, colleagues. I believe this is the first time I have appeared before this senate committee. Thank you L’honorable François-Philippe Champagne, c.p., député, ministre de l’Innovation, des Sciences et de l’Industrie : Merci, monsieur le président. Merci, chers collègues.

Je pense que c’est la première fois que je comparais 63:4 National Security, Defence and Veterans Affairs 28-10-2024

for your welcome and for inviting me to appear and discuss Bill C-26, a bill of paramount importance for Canada’s security. devant ce comité du Sénat. Je vous remercie de votre accueil et de votre invitation à comparaître au sujet du projet de loi C-26, un projet de loi d’importance capitale pour la sécurité du Canada. The fact that I am here today with my friend and colleague the Honourable Minister of Public Safety shows the intersectionality between telecommunications and public safety in the 21st century.

Le fait que je sois ici aujourd’hui avec mon collègue et ami, l’honorable ministre de la Sécurité publique, témoigne de l’intersection qui existe entre les télécommunications et la sécurité publique au 21 e siècle. More specifically, I would like to speak to you about

Part I of the bill, which will amend the Telecommunications Act to better secure our telecommunications networks. Plus précisément, je vais vous parler aujourd’hui de la

partie I du projet de loi qui modifiera la

Loi sur les télécommunications afin de mieux sécuriser nos réseaux de télécommunications. [English] [Traduction] Canadians increasingly rely on the internet and wireless services in their day-to-day lives. Anyone who has kids or who operates a business in this country will know this to be true. From financial transactions and e-commerce to education, health care and emergency services, such as 9-1-1, these critical services need to rely on a robust, modern and safe telecommunications system. Les Canadiens dépendent de plus en plus d’Internet et des services sans fil dans leur vie quotidienne.

Ceux qui ont des enfants ou qui exploitent une entreprise dans ce pays le savent bien. Qu’il s’agisse de transactions financières, de commerce électronique, d’éducation, de soins de santé ou de services d’urgence tels que le 9-1-1, ces services essentiels doivent pouvoir compter sur un système de télécommunications robuste, moderne et sûr. We know, however, that risks to this critical infrastructure are on the rise. Minister LeBlanc mentioned many of them, and we have seen many of them not only in Canada but with many of our partners and allies around the world.

We need to be vigilant and engaged when we talk about cyber threats and cybersecurity, with our eyes wide open. The risks I am talking about include nefarious actions by hostile foreign states who seek to compromise our critical infrastructure — Minister LeBlanc mentioned a number of ransom threats, some of which have been very public in the recent past — and telecom products from global suppliers that pose an unacceptable risk to the Canadian telecommunications systems. Nous savons cependant que les risques qui pèsent sur cette infrastructure critique sont en augmentation.

Le ministre LeBlanc en a mentionné plusieurs, et nous en avons vu beaucoup, non seulement au Canada, mais aussi chez bon nombre de nos partenaires et alliés dans le monde. Nous devons être vigilants et déterminés lorsque nous parlons de cybermenaces et de cybersécurité, en gardant les yeux grands ouverts.

Les risques dont je parle comprennent les actions malveillantes d’États étrangers hostiles qui cherchent à compromettre nos infrastructures critiques — le ministre LeBlanc a mentionné un certain nombre de menaces de rançon, dont certaines ont été très publiques ces derniers temps —, et les produits de télécommunications de fournisseurs mondiaux qui posent un risque inacceptable pour les systèmes de télécommunications canadiens. This is where Bill C-26 comes in.

I would echo the words of Minister LeBlanc to say there is urgency to act to make sure that we would, as a government, have the tools to protect Canadians, protect our national security and protect our economic security. It would allow the government, when necessary, to prohibit Canadian telecom service providers from using products from high-risk suppliers. This will, in turn, help secure our critical infrastructure from various threats. C’est là qu’intervient le projet de loi C-26.

J’aimerais faire écho au ministre LeBlanc en déclarant qu’il est urgent d’agir pour s’assurer que le gouvernement dispose des outils nécessaires pour protéger les Canadiens, notre sécurité nationale et notre sécurité économique. Il permettrait au gouvernement, si nécessaire, d’interdire aux fournisseurs canadiens de services de télécommunications d’utiliser des produits provenant de fournisseurs à haut risque. Cela contribuera à son tour à protéger nos infrastructures essentielles contre diverses menaces. [Translation] [Français] We need to act quickly and decisively.

I’m therefore pleased the bill has such strong cross-party support at the House of Commons. Honourable senators, you saw that all members of the House of Commons supported the initiative we put forward in Nous devons agir de façon rapide et décisive. C’est pourquoi je suis ravi d’un appui aussi fort de tous les partis à la Chambre des communes pour ce projet de loi. Les honorables sénateurs ont vu que l’ensemble des membres de la Chambre des 28-10-2024 Sécurité nationale, défense et anciens combattants 63:5

Bill C-26. Protecting and securing our telecommunication networks is essential. communes ont appuyé l’initiative que l’on propose dans le projet de loi C-26. En effet, la protection et la sécurité de nos réseaux de télécommunication sont primordiales. [English] [Traduction] I was also pleased to see strong cross-party support in the House to further strengthen the bill at the committee stage in response to views that have been expressed by stakeholders and a number of witnesses. For example, we have seen amendments that were made to ensure that confidential information remains protected.

Indeed, the bill now explicitly states that Canadians’ personal information and privacy will be protected in accordance with the Privacy Act. I want to be clear that Bill C-26 has never been about collecting the data of Canadians or monitoring communications. That is precisely why language has been added to eliminate any confusion in this regard. Moreover, amendments were added to provide further transparency to stakeholders in terms of reporting, as well as an explicit reasonableness test for the powers that have been vested in the minister and the Governor-in-Council in the bill.

In short, there is solid consensus when it comes to Bill C-26, and we expect telecom service providers to act decisively to protect Canada’s telecommunications system. J’ai également été heureux de constater que l’ensemble des partis de la Chambre ont soutenu le renforcement du projet de loi au stade du comité, en réponse aux points de vue exprimés par les parties prenantes et par un certain nombre de témoins. Par exemple, des amendements ont été apportés pour garantir la protection des informations confidentielles.

En effet, le projet de loi stipule désormais explicitement que les renseignements personnels et la vie privée des Canadiens seront protégés conformément à la

Loi sur la protection des renseignements personnels. Je tiens à préciser que le projet de loi C-26 n’a jamais eu pour objet de recueillir les données des Canadiens ou de surveiller leurs communications. C’est précisément la raison pour laquelle un libellé a été ajouté afin d’éliminer toute confusion à cet égard. En outre, des amendements ont été ajoutés afin d’assurer une plus grande transparence pour les parties prenantes pour les rapports, ainsi qu’un test explicite de caractère raisonnable pour les pouvoirs qui ont été conférés au ministre et au gouverneur en conseil dans le projet de loi.

En résumé, le projet de loi C-26 fait l’objet d’un consensus solide et nous attendons des fournisseurs de services de télécommunications qu’ils agissent de manière décisive pour protéger le système canadien de télécommunications. Now let me say a few words about what this bill is not. For one, Bill C-26 is not intended to punish providers that diligently work to protect consumers and themselves. This has been made clear with an explicit due diligence defence. You may have seen that this has been added at the committee stage.

The due diligence defence is in the monetary penalties authorities that have been vested with the minister and the Governor-in-Council, having heard and incorporated the concerns of stakeholders. Maintenant, permettez-moi de dire quelques mots sur ce que ce projet de loi n’est pas. Tout d’abord, le projet de loi C-26 ne vise pas à punir les fournisseurs qui travaillent avec diligence pour protéger les consommateurs et se protéger eux-mêmes. C’est clairement établi par une défense explicite de diligence raisonnable. Vous avez peut-être vu qu’elle a été ajoutée à l’étape du comité.

La défense de diligence raisonnable se trouve dans les pouvoirs de sanctions pécuniaires qui ont été conférés au ministre et au gouverneur en conseil, après avoir entendu et pris en compte les préoccupations des parties prenantes. Second, Bill C-26 is not about avoiding accountability in the name of quick action. This is more about giving the minister, in the case of the telecom network, the ability to act decisively, strategically and in accordance with best practices to protect our national security.

On the contrary, this bill will help to protect the safety and security of Canada’s critical infrastructure without compromising individual privacy or rights. Deuxièmement, le projet de loi C-26 ne vise pas à éviter la responsabilité au nom d’une action rapide. Il s’agit plutôt de donner au ministre, dans le cas du réseau de télécommunications, la capacité d’agir de façon décisive, stratégique et conformément aux meilleures pratiques afin de protéger notre sécurité nationale.

Au contraire, ce projet de loi contribuera à protéger la sûreté et la sécurité des infrastructures essentielles du Canada sans compromettre la vie privée ou les droits des personnes. [Translation] [Français] Mr. Chair, allow me to conclude with the following: A modern and innovative nation like Canada has a duty to ensure it has reliable and secure telecommunications networks.

I am firmly convinced that Bill C-26 sets the path for working with telecommunication operators to ensure the security of our Monsieur le président, permettez-moi de conclure en disant ceci : un pays moderne et novateur comme le Canada se doit d’avoir des systèmes de télécommunication qui sont fiables et sécurisés. Je suis fermement convaincu que le projet de loi C-26 ouvre la voie à la collaboration avec les opérateurs de 63:6 National Security, Defence and Veterans Affairs 28-10-2024

systems and networks in the interest of the country and of Canadians. télécommunication pour assurer la sécurité de nos systèmes et de nos réseaux dans l’intérêt du Canada et de ses citoyens. In closing, Mr. Chair, thank you for giving me the opportunity to address the committee. Like my colleague, I believe we must act quickly to protect our systems and face the threats that we are subjected to in the 21st century and ensure the health and safety of Canadians. En terminant, monsieur le président, merci de m’avoir donné l’occasion d’intervenir ici devant le comité.

Comme mon collègue, je dirais qu’il y a urgence d’agir pour protéger nos systèmes à faire face aux menaces que l’on vit présentement au XXe siècle et assurer la santé et la sécurité des Canadiens. Thank you, Mr. Chair. Merci, monsieur le président. [English] [Traduction] The Chair: Thank you very much, Mr. Champagne. Le président : Merci beaucoup, monsieur Champagne. Colleagues, we will now proceed to questions. Four minutes is allotted for each question, including the answer, as usual. Please keep your questions succinct in an effort to allow as many interventions as possible.

We have a long list, so when there are 30 seconds remaining, I will be showing the red card, for those football fans in the room. The first question goes to our deputy chair, Senator Dagenais. Chers collègues, nous allons maintenant passer aux questions. Quatre minutes sont prévues pour chaque question, y compris la réponse, comme d’habitude. Nous vous demandons de poser des questions succinctes afin de permettre le plus grand nombre d’interventions possibles. Nous avons une longue liste.

C’est pourquoi, lorsqu’il restera 30 secondes, je montrerai le carton rouge, pour les amateurs de football présents dans la salle. La première question revient à notre vice-président, le sénateur Dagenais. [Translation] [Français] Senator Dagenais: My first question is to Minister LeBlanc. Le sénateur Dagenais : Ma première question s’adresse au ministre LeBlanc.

Minister, with the opinions that businesses such as Bell and Québecor have put forward over the past few months on the CRTC’s capacity and slowness in modernizing Canadian telecommunications regulations, to what degree can you assure us that the organization will be able to quickly and effectively apply the cybersecurity rules set out in C-26? How quickly do you expect the CRTC to respond? Also, does the CRTC have the resources needed to meet this type of challenge?

Monsieur le ministre, avec les opinions énoncées ces derniers mois par des entreprises comme Bell et Québecor sur la capacité et la lenteur du CRTC de moderniser la réglementation canadienne sur les télécommunications, dans quelle mesure pouvez-vous nous rassurer sur la capacité de cet organisme d’être efficace et rapide en matière d’application des règles de cybersécurité qui sont énoncées dans le projet de loi C-26? Quel temps de réaction exigez-vous de sa part? Puis, le CRTC a-t-il les ressources nécessaires pour ce genre de défi? Mr. LeBlanc: If you’ll allow me, senator, that’s an excellent question.

The portions dealing with the CRTC are in my colleague’s hands. He will be able to provide a more specific answer than I can. M. LeBlanc : Si vous me le permettez, sénateur, c’est une excellente question. Les aspects qui touchent le CRTC sont entre les mains de mon collègue, qui pourra vous fournir une réponse plus précise que la mienne. Mr. Champagne: Is that all right with you, senator? M. Champagne : Cela vous convient-il, monsieur le sénateur? Senator Dagenais: That works for me. Le sénateur Dagenais : Cela me convient. Mr. Champagne: We cover it in tandem, Minister LeBlanc and me. M.

Champagne : On fait cela en tandem, le ministre LeBlanc et moi. Senator, you ask a very important question. You’ll see that, in Bill C-26, the authority is in the hands of the Minister of Industry in a number of ways. To take specific and decisive measures, as we said, we need to act quickly. The nature of the threats we are facing is varied. There is the issue of cybersecurity Monsieur le sénateur, c’est une question fort importante que vous posez. Vous allez voir que dans le projet de loi C-26, les pouvoirs se trouvent entre les mains du ministre de l’Industrie à plusieurs égards.

Pour prendre des mesures précises et décisives, on l’a dit, il y a urgence d’agir. La nature des menaces 28-10-2024 Sécurité nationale, défense et anciens combattants 63:7

but, remember that in cases of bad weather and natural disasters, the Minister of Industry was called in. You’ll remember also that during the Rogers incident, that infamous time when telecommunications went down for a number of hours in Canada, decisive action had to be taken. That’s why, at the time, there was even an agreement made between telecommunications providers to ensure interoperability between the networks in cases of emergency, so that communications would be provided for public authorities and citizens.

A mutual assistance program was also put in place because that’s what we expect from telecommunication companies in extraordinary circumstances. In that specific case, you can see we were quite specific in Bill C-26 in terms of that authority, as I exercised it at the time, and so that it is in the hands of the Minister of Industry. auxquelles on fait face est variée. Il y a la question de la cybersécurité, mais vous vous rappellerez aussi dans le cas d’intempéries, de catastrophes naturelles, le ministre de l’Industrie a été appelé.

Vous vous rappellerez aussi dans l’épisode de Rogers, le fameux épisode où l’on a perdu la télécommunication pendant plusieurs heures au Canada, il a fallu agir de façon décisive. C’est pour cela qu’à l’époque, on a même conclu un accord entre les télécommunicateurs pour assurer l’interopérabilité des réseaux en matière d’urgence, afin qu’il y ait de la communication avec les autorités publiques et les citoyens et un programme d’assistance mutuelle, parce qu’en cas de circonstances extraordinaires, on s’attend à cela des télécommunicateurs.

Dans le cas précis, vous avez vu dans le projet de loi C-26, on a été assez précis pour ces pouvoirs, comme je les ai exercés à l’époque et qu’ils puissent être entre les mains du ministre de l’Industrie. One aspect that I see as anachronistic, and I don’t use that word lightly, is that it is one of the rare laws that provides a framework for essential infrastructure, where security is not one of the objectives. Bill C-26 corrects this situation. Security will be at the heart of the objectives, as it is in the case of energy and other critical sectors for transport. I wasn’t there when the law was adopted.

When I intervened at the time, senator, I would say that I often did so as a soft power. At the time, the minister did not necessarily have the authority to direct telecommunications companies to take certain actions. History has shown us that we cannot rely solely on the good faith of players. There needs to be authority under the law to require that certain actions be taken. Think of the Internet. In terms of 5G, once everything is connected, there may arise extraordinary instances in which the minister will have to take targeted and strategic action quickly to protect the country’s network as a whole.

Une chose qui, à mon sens, est un anachronisme, et je n’utilise pas ces mots à la légère, c’est qu’il s’agit d’une des rares lois qui encadre un secteur d’infrastructures essentielles pour lequel l’aspect de la sécurité ne fait pas

partie des objectifs. Le projet de loi C-26 corrige cette situation. La sécurité sera au cœur des objectifs, comme on le fait aussi en matière d’énergie dans d’autres secteurs critiques en matière de transport. Je n’étais pas là quand on a adopté la loi. Quand je suis intervenu à l’époque, je vous dirais, monsieur le sénateur, je l’ai fait souvent à

titre de puissance douce. À l’époque, le ministre n’avait pas nécessairement le pouvoir de diriger certaines actions de la part des télécommunicateurs. L’histoire nous a montré qu’on ne peut pas se fier uniquement sur la bonne volonté des acteurs. Il faut avoir un pouvoir législatif pour être capable de demander que certaines actions soient prises. Pensez à Internet. Quand on parlera du 5G, quand tout sera connecté, il y aura peut-être des situations extraordinaires où le ministre devra prendre des actions très rapides, ciblées et stratégiques pour protéger l’ensemble du réseau au pays.

Senator Dagenais: Thank you very much for your answer. Le sénateur Dagenais : Merci beaucoup de votre réponse. Senator Carignan: Thank you, ministers, for being here. Le sénateur Carignan : Merci, messieurs les ministres, d’être ici. While examining Bill C-26, I wondered what measures the government would put in place for itself, what it would do to practise what it preaches. I have great appreciation for that. However, it seems that the government is requiring much more of the private sector than of itself.

En regardant le projet de loi C-26, je me posais des questions en lien avec ce que le gouvernement fait pour lui-même, comme les gens qui pratiquent la religion qu’ils enseignent. J’aime beaucoup cela. Cependant, j’ai l’impression que le gouvernement exige plus au privé qu’il ne s’en exige à lui-même. There is, for example, the leaks at the Canada Revenue Agency this past spring, that we just learned about through reporting by CBC/Radio-Canada. Is it not misleading to say that you are taking this seriously when leaks impacting around 30,000 people are hidden and not disclosed?

Individual who were identified as victims were not informed, either. If a private sector actor did that, it would be required to pay $10 million in fines. For its part, the government of Canada and its revenue Je cite entre autres les fuites à l’Agence du revenu du Canada qui ont eu lieu au printemps passé, qu’on vient d’en apprendre l’existence par l’entremise d’un reportage de CBC/ Radio‑Canada. N’est-ce pas le fait d’induire les gens en erreur que de dire que vous prenez cela au sérieux, alors que des fuites qui touchent quelque 30 000 personnes sont cachées et non divulguées?

Les gens qui ont été identifiés comme en étant des victimes n’ont pas été avisées non plus. Si quelqu’un du secteur 63:8 National Security, Defence and Veterans Affairs 28-10-2024

agency hide behind systems and prepare communiqués for ministers in cases that become public, but that’s it. Isn’t there a double standard? privé faisait cela, il serait contraint de payer des amendes de 10 millions de dollars. Pour sa part, le gouvernement du Canada et son agence du revenu se cachent derrière des systèmes et préparent des communiqués de presse pour les ministres, si cela devient public, mais on en reste là. Ne s’agit-il pas de deux poids, deux mesures? Mr. LeBlanc: Thank you, senator. I will provide some comments and Mr. Champagne can add what he’d like. M. LeBlanc : Merci, sénateur.

J’offrirai quelques commentaires et M. Champagne pourra ajouter des éléments s’il le souhaite. I acknowledge that double standards must be avoided at all costs. We need to be able to do what we require of others. I completely agree with your first comment. It’s not the first time a government is accused of this type of thing. Je reconnais qu’il faut absolument éviter le double standard; il faut que l’on puisse pratiquer la même chose que l’on exige aux autres. Je suis totalement d’accord avec votre premier commentaire. Ce n’est pas la première fois qu’un gouvernement se fait accuser d’une telle chose.

However, I’m not a cybersecurity expert, far from it. I take

part in information sessions with the Canadian Security Intelligence Service, the RCMP and other government stakeholders. You’re right to say that the threats are evolving very rapidly. Governments, whether at the federal, provincial or municipal level, have also been victims of these attacks and threats. I hope it was never implied that we, as governments, are immune. In fact, we have to be very aware of the threats. We have quite effective resources at the Department of National Defence that I am very impressed with, such as the Communications Security Establishment and other organizations that you know well.

I saw, in the case of some provincial governments, such as the one for Newfoundland and Labrador, that during a fairly significant attack on its health care system on the Avalon peninsula, in St. John’s, where information was stolen, that the federal government was able to help very quickly. Cependant, je ne suis pas expert en cybersécurité, loin de là. Je participe à des séances d’informations avec le Service canadien du renseignement de sécurité, la GRC et d’autres intervenants du gouvernement. Vous avez raison, la menace évolue très vite.

Les gouvernements, que ce soit le gouvernement fédéral ou les gouvernements provinciaux et municipaux, ont eux aussi été victimes de ces attaques et de ces menaces. J’espère qu’on n’a jamais prétendu que, en tant que gouvernement, nous en étions à l’abri, et il faut d’ailleurs être très conscient que cela existe. On a des ressources assez efficaces du ministère de la Défense nationale dont je suis extrêmement impressionné, telles que le Centre de la sécurité des télécommunications Canada et d’autres organismes que vous connaissez bien.

J’ai vu des gouvernements provinciaux, comme celui de Terre-Neuve-et-Labrador, où, au moment d’une attaque assez importante contre un système de soins de santé dans la péninsule d’Avalon, à St. John’s, des renseignements ont été volés, et le gouvernement fédéral a été en mesure de les aider très rapidement. We try to help each other. We should never create obligations that we wouldn’t agree to for ourselves. I don’t believe it’s the case, but I am aware of the ongoing need to invest in technologies, experts and other instruments to protect ourselves, because the threats are real. On essaie donc de s’entraider.

Il ne faudra jamais créer des obligations que nous n’acceptons pas pour nous-mêmes. Je ne crois pas que ce soit le cas, mais je suis conscient du besoin continuel que nous avons d’investir dans des technologies, des experts et d’autres instruments pour nous protéger, parce que la menace est bien présente. And I just did what Mr. Champagne did with your colleague’s question: I didn’t let him answer. I know this is a big disappointment to you, senator. Là, j’ai fait ce que M. Champagne a fait avec la question de votre collègue : je l’ai empêché d’y répondre.

Je sais que cela vous déçoit beaucoup, monsieur le sénateur. Senator Carignan: He’s my member of parliament for Champlain. Le sénateur Carignan : C’est mon député de Champlain. Mr. LeBlanc: He may have something to add. M. LeBlanc : Il voudra peut-être ajouter quelque chose. Mr. Champagne: Senator, your MP will always be available to answer your questions. M. Champagne : Monsieur le sénateur, votre député sera toujours là pour répondre à vos questions. 28-10-2024 Sécurité nationale, défense et anciens combattants 63:9

I understand your frustration and that of Canadians. Of course, we must do better. I think that Bill C-26 does call for cooperation. I can say that we regularly work with operators on telecommunications systems. Je comprends votre frustration et celle des Canadiens. C’est sûr qu’on doit faire mieux. Je pense que dans le projet de loi C-26, on prône quand même la collaboration. Je peux dire qu’en ce qui a trait aux systèmes des télécommunications, on travaille régulièrement avec les opérateurs.

What’s critically missing today in the Telecommunications Act is that it’s not within the purpose of the act to focus on security. It’s a bit anachronistic, given what you’ve just said about attacks on the private sector, provincial, municipal and federal governments. Just imagine the effect of artificial intelligence, quantum computing and the Internet. When it comes to cybersecurity and telecommunications, we’re doing right by Canadians by sharing all the information over the networks, and thereby enabling better protection. Ce qui manque aujourd’hui dans la

Loi sur les télécommunications, qui est assez fondamentale, c’est que le fait de promouvoir la sécurité ne fasse pas

partie des objectifs de la loi. C’est un peu anachronique, compte tenu de ce que vous venez de dire et de ce qu’on voit des attaques qui touchent le privé et les gouvernements provinciaux, municipaux et fédéral. Imaginez donc quand on arrive avec l’intelligence artificielle, le quantique et Internet. Dans un cadre de cybersécurité, on rend service aux Canadiens et aux Canadiennes en matière de télécommunications en permettant à toute l’information de se transporter sur les réseaux, ce qui permet une meilleure protection. [English] [Traduction] Senator Boehm: Thank you, ministers, for being here.

As we heard in the last exchange, the nature of the threat is getting more sophisticated. It replicates itself more quickly, it develops, and governments have to catch up. Le sénateur Boehm : Messieurs les ministres, je vous remercie d’être venus. Comme nous l’avons entendu lors du dernier échange, la nature de la menace est de plus en plus sophistiquée. Elle se multiplie plus rapidement, elle se développe et les gouvernements doivent la rattraper. This is a question for both of you. You have both been involved in not just Five Eyes discussions but also G7 discussions under the current Italian presidency.

We are picking up the flame from Italy in January. In 2018, work was done by a cybersecurity working group in the G7 context, and there was work done on infrastructure and shielding infrastructure. I was a little involved in that. So it goes beyond Five Eyes and all our partners, friends and even those who are not as friendly. Here is my question: Do you think that in each of your portfolios, Canada will be in a position to exercise leadership, bring in new ideas and push the agenda forward? Cette question s’adresse à vous deux.

Vous avez tous deux participé non seulement aux discussions du Groupe des cinq, mais aussi à celles du G7 sous l’actuelle présidence italienne. Nous reprenons le flambeau de l’Italie en janvier. En 2018, il y a eu un groupe de travail sur la cybersécurité dans le cadre du G7, et des travaux ont été menés sur l’infrastructure et la protection de celle-ci. J’ai y été un peu impliqué. On va donc au-delà du Groupe des cinq et de tous nos partenaires, amis et même ceux qui ne sont pas aussi amicaux.

Voici ma question : pensez-vous que dans chacun de vos portefeuilles, le Canada sera en mesure d’exercer un leadership, d’apporter de nouvelles idées et de faire avancer les choses? Mr. Champagne: Senator, you did very well. I hope we can replicate your leadership. The Italians, our friends, are expecting a lot from us. They had a successful G7 presidency. M. Champagne : Monsieur le sénateur, vous vous êtes très bien débrouillé. J’espère que nous pourrons reproduire votre leadership. Les Italiens, nos amis, attendent beaucoup de nous. Leur présidence du G7 a été couronnée de succès.

There is already a global-coordination group working on telecom with some G7 countries and beyond. It has to do with two things. One is standards, and as you know, it is key in the international arena to promote standards that will be in line with our values, let me say, in terms of telecom infrastructure. I come back to that in particular. In the 5G world, things will be different. By the way, we’ve now signed a protocol with the Americans on 6G now. Believe it. We are not just working on 5G. We are already thinking about what 6G will be doing. I will stop there so Minister LeBlanc can follow up on that.

Un groupe de coordination mondiale travaille déjà sur les télécommunications avec certains pays du G7 et d’autres. Il y a deux volets. Le premier concerne les normes et, comme vous le savez, il est essentiel, sur la scène internationale, de promouvoir des normes qui soient conformes à nos valeurs, si je puis dire, pour l’infrastructure de télécommunications. Je reviens sur ce point en particulier. Dans le monde de la 5G, les choses seront différentes. D’ailleurs, nous venons de signer un protocole avec les Américains sur la 6G. Croyez-le. Nous ne travaillons pas seulement sur la 5G.

Nous pensons déjà à ce que fera la 6G. Je m’arrêterai là pour que le ministre LeBlanc puisse poursuivre sur ce point. 63:10 National Security, Defence and Veterans Affairs 28-10-2024

More important is the supply chain. We have been working with a number of allies. You may have seen Ericsson has made a generational investment, close to a billion dollars, in Kanata. It is the same with the Nokia research centre, one of the largest in the world, here in Kanata, in Ottawa. La chaîne d’approvisionnement est plus importante. Nous avons travaillé avec un certain nombre d’alliés. Vous avez peut‑être vu qu’Ericsson a fait un investissement générationnel de près d’un milliard de dollars à Kanata.

Il en va de même pour le centre de recherche de Nokia, l’un des plus grands au monde, ici à Kanata, à Ottawa. I would say we are working on both standards and supply chain because if we want to have reliable and secure vendors and supply chains and equipment, we need to work with our international partners in the Five Eyes and the G7 to make sure we lead in research and development, standards and equipment so we’re not beholden to nations who would use our networks to spy on our people, to disrupt or to gather information. Je dirais que nous travaillons à la fois sur les normes et la chaîne d’approvisionnement.

En fait, si nous voulons avoir des fournisseurs, des chaînes d’approvisionnement et de l’équipement fiables et sûrs, nous devons travailler avec nos partenaires internationaux du Groupe des cinq et du G7 pour nous assurer d’être chefs de file en matière de recherche et développement, de norme et d’équipements dans le but de ne pas être redevables à des nations qui utiliseraient nos réseaux pour espionner nos citoyens, perturber nos activités ou collecter des informations. Mr. LeBlanc: Senator Boehm, you are absolutely right. The Five Eyes as a security partnership is very much seized with these issues.

I have participated in a handful of Five Eyes meetings where cyber-threats were very much on the agenda. M. LeBlanc : Sénateur Boehm, vous avez tout à fait raison. À

titre de partenariat de sécurité, le Groupe des cinq est très sensible à ces questions. J’ai participé à plusieurs réunions du Groupe où les cybermenaces n’étaient pas du tout ignorées de l’ordre du jour. As you noted and as Minister Champagne said, we have been participating in an active series of ministerial meetings that the Italians organized. I was at one near Naples a few weeks ago where the Italian interior minister, who was there with the new minister from France and all of our G7 colleagues, was talking about how this is a borderless threat.

Some regions are more active than others, and you would have seen the intelligence in your previous role, senator. Some particular regions and countries are very active. Others are themselves victims and then house some of these threat actors. I think there has to be a continuation. Certainly, my understanding of the G7 priorities and the public safety area for our presidency would absolutely include a continuation of this work that began with the Italians. Comme vous l’avez noté et comme l’a dit le ministre Champagne, nous avons participé à une série active de réunions ministérielles organisées par les Italiens.

Il y a quelques semaines, j’ai assisté à une réunion dans la région de Naples où le ministre italien de l’Intérieur, accompagné du nouveau ministre français et de tous nos collègues du G7, a parlé du fait que la menace ne connaît pas de frontières. Certaines régions sont plus actives que d’autres. Dans le cadre de votre rôle précédent, vous auriez pu consulter les renseignements, monsieur le sénateur. Certaines régions et certains pays sont très actifs. D’autres sont eux-mêmes victimes et protègent ensuite certains de ces acteurs de la menace. Je pense qu’il faut poursuivre dans cette voie.

Il est certain que ma compréhension des priorités du G7 et du domaine de la sécurité publique pour notre présidence inclurait absolument la poursuite de ce travail qui a commencé avec les Italiens. The intelligence services are active, including, as you said, with countries that may not be in the European Union, Five Eyes or G7 — pick your nice bureaucratic name for the group. There are a lot of countries that themselves detect this, and the intelligence sharing is extensive. I’m reassured of that by non‑traditional partners.

Les services de renseignement sont actifs, notamment, comme vous l’avez mentionné, auprès de pays qui ne font peut-être pas

partie de l’Union européenne, du Groupe des cinq ou du G7 — choisissez un quelconque joli nom bureaucratique pour décrire le groupe. De nombreux pays détectent eux-mêmes ce phénomène, et les échanges de renseignements sont nombreux. Je suis rassuré par les partenaires non traditionnels. Senator Gold: Welcome, ministers. It is nice to see you. Le sénateur Gold : Bienvenue, messieurs les ministres. C’est un plaisir de vous recevoir. I want to ask a question about the powers in the bill that are bestowed on the government and the safeguards that are built in.

For example, the government has powers, as you have described, to direct the telecom providers to do certain things or not to do certain things. They also, in some cases, provide that the orders Je voudrais poser une question sur les pouvoirs conférés au gouvernement dans le projet de loi et sur les garanties qui y sont intégrées. Par exemple, le gouvernement a le pouvoir, comme vous l’avez décrit, d’ordonner aux fournisseurs de services de télécommunication de faire ou de ne pas faire certaines choses. 28-10-2024 Sécurité nationale, défense et anciens combattants 63:11

to do or not to do should not be disclosed. Could you talk about, in general, the safeguards, limitations and the oversight that would exist? Could the cabinet use these authorities to intercept the communications of political adversaries? Could the RCMP use them for investigative tools? Perish the thought, but I am asking the question. Why would orders not be disclosed, and what safeguards are in place for those? Dans certains cas, on prévoit également que les décrets ne doivent pas être divulgués.

Pourriez-vous nous parler, d’une manière générale, des garanties, des limites et de la surveillance qui existeraient? Le Cabinet pourrait-il utiliser ces pouvoirs pour intercepter les communications d’adversaires politiques? La GRC pourrait-elle s’en servir comme outils d’enquête? Je n’ose le croire, mais je pose la question. Pourquoi les décrets ne seraient-ils pas divulgués et quelles sont les garanties mises en place à cet égard? Mr. LeBlanc: Mr. Chair, thanks to our friend Senator Gold for the question. He is absolutely right. I have learned a lot about this area since becoming the Public Safety Minister.

There is an important balance to be struck in terms of the transparency of these measures. M. LeBlanc : Monsieur le président, je remercie notre ami, le sénateur Gold pour sa question. Il a tout à fait raison. J’ai beaucoup appris dans ce domaine depuis que je suis ministre de la Sécurité publique. Il est important de trouver un équilibre dans la transparence de ces mesures. Some of the witnesses on the House committee, some of the private businesses, are, understandably, concerned if some of these orders were made public.

The advice that I got, Senator Gold, from the security and intelligence agencies is that by divulging, for example, these orders that the government may issue publicly, you certainly paint a vulnerability landscape for the threat actors. You can point the way for some less sophisticated threat actors: “Oh, this particular group is zeroing in here; maybe we should try that.” They are understandably hesitant to make this stuff public. Certains témoins au comité de la Chambre, notamment des entreprises privées, sont inquiets à juste

titre de ce qui se passerait si ces décrets étaient rendus publics. Le conseil que j’ai reçu, sénateur Gold, de la part des agences de sécurité et de renseignement est qu’en divulguant ces décrets que le gouvernement pourrait donner publiquement, vous peignez certainement un paysage de vulnérabilité pour les acteurs de la menace. Vous pouvez montrer la voie à des acteurs malveillants moins avertis : « Oh, puisque ce groupe s’attarde ici, nous devrions peut-être faire de même. » On peut comprendre qu’ils hésitent à rendre ces informations publiques. Minister Champagne can talk about big publicly traded companies.

I’m not sure what that does to the investor confidence in a large telecommunications company if they have been subject to four orders and their competitor to zero. Does that speak to their own lack of protection? Le ministre Champagne peut parler des grandes entreprises cotées en bourse. Je ne sais pas ce que cela signifie pour la confiance des investisseurs dans une grande entreprise de télécommunications, si elle a fait l’objet de quatre décrets et que son concurrent n’en a aucun. Cette situation témoigne-t-elle du manque de protection de l’entreprise?

The transparency requirement has to be balanced against some of the unintended consequences — the House of Commons committee looked at this a lot — by mandating, for example, the government to be transparent on an annual basis about the number of orders that were issued and by specifically referring to NSICOP or the National Security and Intelligence Review Agency. There is a role for the Federal Court. There are designated judges of the Federal Court, like the ones that would see the CSIS warrants that I might sign. These aren’t dragged into an open court process. It would be reckless and dangerous to do so.

But there is an appropriate judicial oversight with amicus curiae. There is a process that is well worn and quite effective, but we will be listening to the work of this committee to ensure we have the balance right. L’exigence de transparence doit tenir compte de certaines conséquences involontaires — le comité de la Chambre des communes s’est beaucoup penché sur cette question.

On peut par exemple obliger le gouvernement à divulguer chaque année le nombre de décrets émis, et faire spécifiquement référence au Comité des parlementaires sur la sécurité nationale et le renseignement ou à l’Office de surveillance des activités en matière de sécurité nationale et de renseignement. La Cour fédérale a un rôle à jouer. Il y a des juges désignés de la Cour fédérale, comme ceux qui verraient les mandats du SCRS que je pourrais signer. Ces mandats ne sont pas soumis à une procédure judiciaire publique. Il serait imprudent et dangereux de le faire.

Mais il existe un contrôle judiciaire approprié avec l’amicus curiae. Il existe une procédure bien rodée et très efficace, mais nous écouterons les travaux de ce comité pour nous assurer que nous avons trouvé le bon équilibre. Mr. Champagne: I think you may be thinking about the telecom CEOs watching today, but there was an amendment that was made that, for example, the orders the minister of industry could direct would have to be reasonable. There is a reasonable M.

Champagne : Je pense que vous songez peut-être aux PDG des entreprises de télécommunications qui nous regardent aujourd’hui, mais un amendement a été apporté pour que, par exemple, les ordres que le ministre de l’Industrie pourrait donner 63:12 National Security, Defence and Veterans Affairs 28-10-2024

standard. The amendments also talk about the financial impact and the impact on telecommunication services. soient raisonnables. Il y a une norme de décision raisonnable. Les amendements parlent également de l’impact financier et de l’incidence sur les services de télécommunications. Whilst the minister and the Governor-in-Council would have the power, we have put the checks and balances in the system to ensure that we achieve the purpose that this is intended, which is to protect the network, but, at the same time, there would be due consideration to, for example, the due diligence standard.

If a company had done everything they could to achieve a particular outcome, they would have a defence. We got the balance right, in my view. Bien que le ministre et le gouverneur en conseil aient le pouvoir, nous avons mis en place des freins et des contrepoids dans le système pour garantir que nous atteignions l’objectif visé, qui est de protéger le réseau, tout en tenant dûment compte de la norme de diligence raisonnable. Si une entreprise a fait tout ce qui était en son pouvoir pour obtenir un résultat particulier, elle pourra se défendre. Je pense que nous avons trouvé le bon équilibre.

As Minister LeBlanc said, there is a reason why the warrants would go to NSICOP, because, in my view, at least, and the players in the telecom industry, you don’t want to bring that to the public eye, because then, as Minister LeBlanc said, we could just attract even more at the particular time we need to put a patch on a breach. If you are going public with that before you have the patch, that would be terrible for the network. Comme l’a dit le ministre LeBlanc, il y a une raison pour laquelle les mandats sont transmis au Comité des parlementaires sur la sécurité nationale et le renseignement.

À mon avis, du moins, et à celui des joueurs de l’industrie des télécommunications, il ne faut pas rendre l’information publique, car alors, comme l’a dit le ministre LeBlanc, nous pourrions attirer encore plus de menaces au moment où nous avons besoin de colmater la brèche. Si vous rendez l’information publique avant d’avoir le correctif, ce serait terrible pour le réseau. The Chair: Thank you, minister. Le président : Merci, monsieur le ministre. Senator Yussuff: Thank you, both ministers, for being here. I have two questions, and they are specific.

Le sénateur Yussuff : Merci aux deux ministres de leur présence. J’ai deux questions, et elles sont précises. First, what has been the consultation with private interests and the telecom companies in trying to understand the legislation that is coming? How are they cooperating and recognizing that they have an important role to play in that regard? Premièrement, quelles consultations ont été menées auprès des intérêts privés et des entreprises de télécommunications pour essayer de comprendre les mesures législatives à venir?

Comment collaborent-ils et reconnaissent-ils qu’ils ont un rôle important à jouer à cet égard? Second, at least three of our national telecom companies have a lot of their work contracted out of the country. This is being processed in other places. We have no control. They are in other countries, and some of them I would identify as countries that are not so amenable. With one of them, we just kicked their diplomats out of our country.

How are we going to protect Canadians’ data now that it has been processed offshore when we don’t have any control over what these telecom companies are subjected to in other places? Deuxièmement, au moins trois de nos entreprises nationales de télécommunications sous-traitent une grande

partie de leurs activités à l’étranger. Les données sont traitées ailleurs. Nous n’avons aucun contrôle. Les données se trouvent dans d’autres pays, dont certains que je qualifierais de pas très accommodants. Nous venons d’expulser les diplomates de l’un d’entre eux. Comment allons-nous protéger les données des Canadiens maintenant qu’elles sont traitées à l’étranger, alors que nous n’avons aucun contrôle sur ce à quoi sont assujetties ces entreprises de télécommunications dans d’autres pays? Mr. Champagne: We have been working with the telecoms.

We have seen more violent and more frequent natural disasters, and when people are facing a tragedy or a threat to their safety, for example, the 9-1-1 network and the telecommunications network become essential. It is true in our daily lives, but it’s even more true in cases of emergency. M. Champagne : Nous travaillons avec les entreprises de télécommunications. Les catastrophes naturelles se font plus violentes et plus fréquentes, et lorsque les gens font face à une tragédie ou à une menace pour leur sécurité, par exemple, le réseau 911 et le réseau de télécommunications deviennent essentiels.

C’est vrai dans nos vies au quotidien, mais c’est encore plus vrai en cas d’urgence. I would say we have a robust cooperation with them, especially after the Rogers’ outages when we put the MOU in place to ensure there would be roaming, mutual assistance and communication with the public. They understood that we needed Je dirais que nous avons une collaboration solide avec elles, surtout après les pannes de Rogers. Nous avons alors mis en place un protocole d’entente pour garantir l’itinérance, l’assistance mutuelle et la communication avec le public.

Elles 28-10-2024 Sécurité nationale, défense et anciens combattants 63:13

to play a role to protect the public interest. Today, that’s giving us the tools. ont compris que nous devions jouer un rôle pour protéger l’intérêt public. Aujourd’hui, cela nous donne les outils nécessaires pour agir. A lot of the things we have done, senator, rely on the goodwill and the advocacy of the government to ensure that we reach the right outcome. But experts would have said that you also need to have the tools in the toolbox, if you need to demand and even force a provider, for example, to do something.

Beaucoup de mesures que nous avons mises en place, sénateur, reposent sur la bonne volonté et sur les efforts du gouvernement pour que nous parvenions au bon résultat. Cependant, les experts disaient qu’il faut aussi avoir des outils dans la boîte à outils, si l’on doit exiger d’un fournisseur, par exemple, qu’il fasse quelque chose, ou même le forcer à le faire.

Coming to your example, if there was a network provider using equipment from a country which we know through the Five Eyes and other agencies could compromise the entirety of our network or spy on Canadians or collect information, you would want the minister and the government to have the power to ask that particular operator to cease using that type of equipment. You have seen we have done that with Huawei and ZTE when we issued a directive. Obviously, the law will give us the tools now to implement that. Those are the types of things that you want to see in the toolbox.

Pour en revenir à votre exemple, si un fournisseur de réseau utilisait du matériel provenant d’un pays dont nous savons, grâce au Groupe des cinq et à d’autres organismes, qu’il pourrait compromettre l’intégralité de notre réseau, ou servir à espionner les Canadiens ou à recueillir des informations, vous voudriez que le ministre et le gouvernement aient le pouvoir de demander à ce fournisseur de cesser d’utiliser ce type de matériel. Vous avez vu que nous l’avons fait dans le cas de Huawei et de ZTE en émettant une directive. La loi nous donnera, bien sûr, les outils nécessaires pour mettre cela en œuvre.

C’est le genre d’outils que l’on veut voir dans sa boîte à outils. Mr. LeBlanc: Mr. Boucher reminded me that there were extensive consultations with many of those private telecommunications companies that you referred to in your question and that Minister Champagne touched on. M. LeBlanc : M. Boucher m’a rappelé qu’il y a eu des consultations approfondies auprès d’un grand nombre de ces entreprises de télécommunications privées auxquelles vous avez fait référence dans votre question et dont le ministre Champagne a parlé.

Assuming this legislation gets to Royal Assent and we get to the regulatory stage and making regulations under the act, there is also a comprehensive plan to include provinces, territories and private-sector actors. You would want to hear from academic experts and others. And, of course, there is the oversight of the joint committee and so on. We haven’t finished the effort to consult. We think it is important in the regulatory phase as well.

En supposant que ce projet de loi reçoive la sanction royale et que nous passions à l’étape de la réglementation et de l’élaboration des règlements d’application de la loi, il existe également un plan global visant à inclure les provinces, les territoires et les acteurs du secteur privé. On voudra aussi entendre le point de vue des experts universitaires et autres. Et, bien sûr, il y a la surveillance exercée par le comité conjoint, etc. La consultation n’est pas terminée. Nous pensons qu’elle est également importante dans la phase de réglementation. Senator Kutcher: Thank you, both, for being with us.

Le sénateur Kutcher : Merci à vous deux d’être avec nous. You both mentioned health care systems, and I would like to ask about that. One of the largest data breaches in our history came from LifeLabs, which is a health care data system. Increasingly, we find national telecommunications companies providing direct health care and collecting all that data. We also have the complexity of provincial-based health care systems. Health care is not identified in

Schedule 1. Can this bill protect health care data, particularly health care data that is collected by a national telecommunications company? You can see your doctor online from Telus Health, for example. No province runs that system. Have you given any thoughts to how we could better protect Canadians’ health care data given this reality? Vous avez tous deux mentionné les régimes de soins de santé, et je voudrais vous poser une question à ce sujet. L’une des plus grandes atteintes à la sécurité des données de notre histoire concernait LifeLabs, un système de données sur les soins de santé.

Nous avons de plus en plus d’entreprises nationales de télécommunications qui fournissent des soins de santé directs et qui recueillent ainsi une foule de données. Il faut ajouter à cela la complexité des régimes de soins de santé provinciaux. Les soins de santé ne sont pas mentionnés dans l’annexe 1. Ce projet de loi peut-il protéger les données relatives aux soins de santé, en particulier celles qui sont recueillies par une société nationale de télécommunications? Vous pouvez consulter votre médecin en ligne à partir de Telus Santé, par exemple. Aucune province ne gère ce système.

Avez-vous réfléchi à la manière dont nous pourrions mieux protéger les données relatives aux soins de santé des Canadiens compte tenu de cette réalité? 63:14 National Security, Defence and Veterans Affairs 28-10-2024

Mr. Champagne: That is a very good point, senator, and it is interesting. There are more and more telecoms now are involved in the provision of health care. Again, I hate to come back to this, but we need to think forward 10, 20 or 30 years from now, when you add AI and other technologies. That’s all going on the network one way or the other. The day of the fax machine used by doctors is, hopefully, something of the past in the not-too- distant future. M. Champagne : C’est une très bonne question, sénateur, et elle est intéressante.

De plus en plus d’entreprises de télécommunications jouent maintenant un rôle dans la prestation des soins de santé. Encore une fois, je déteste revenir sur ce sujet, mais il faut songer aux 10, 20 ou 30 prochaines années, lorsque l’intelligence artificielle et d’autres technologies seront aussi à considérer. Tout cela passera par le réseau d’une manière ou d’une autre. L’époque des télécopieurs utilisés par les médecins appartiendra, je l’espère, au passé dans un avenir rapproché. Mr. LeBlanc: Senator Kutcher still faxes prescriptions to people. M.

LeBlanc : Le sénateur Kutcher envoie encore des ordonnances par télécopieur. Mr. Champagne: There will be a world one day where you would imagine there would be a flow of information that would be different and that would transit through the network. That’s why one of our objectives is to protect privacy. That was one of the amendments made at the committee stage, to ensure that the networks make sure that the data they collect — and the power we have — protects privacy. M. Champagne : On vivra un jour dans un monde où l’information circulera d’une façon différente et transitera par les réseaux.

C’est pourquoi l’un de nos objectifs est de protéger la vie privée. C’est l’un des amendements déposés en comité, afin de garantir que les réseaux veillent à ce que les données qu’ils recueillent — et les pouvoirs dont nous disposons — protègent la vie privée. In terms of designated sector, I will leave that to Minister LeBlanc. You are right. We said the finance sector, energy, transport and telecom. With respect to health care, I may leave Minister LeBlanc to speak to that.

I think there is an intersection, and we are both here because all that data transits through a network, even when it’s through a fax machine. En ce qui concerne les secteurs désignés, je laisserai le soin au ministre LeBlanc de répondre à cette question. Vous avez raison. Nous avons parlé des secteurs financier, de l’énergie, des transports et des télécommunications. En ce qui concerne les soins de santé, je laisserai le ministre LeBlanc en parler.

Je pense que ces éléments se rejoignent, et nous sommes tous les deux ici parce que toutes ces données transitent par un réseau, même lorsqu’il s’agit d’un télécopieur. It’s all about protecting the security and resiliency of the network and ensuring that people don’t have access. When everything is connected, you are dependent on the weakest link not interfering in our network. That is why you need new powers to ensure that the weakest link is not compromising the entirety of the system, such that you can shut down part of it, patch it and make sure that we don’t compromise the rest of the system.

Il s’agit de protéger la sécurité et la résilience du réseau et de veiller à ce qu’il ne soit pas perméable. Lorsque tout est connecté, il faut que le maillon le plus faible n’interfère pas dans notre réseau. C’est pourquoi il faut se donner de nouveaux pouvoirs pour garantir que le maillon le plus faible ne compromette pas l’ensemble du système, de sorte que l’on puisse en fermer une partie, y apporter des correctifs et s’assurer que le reste du système n’est pas touché. Mr. LeBlanc: Senator Kutcher, Mr.

Boucher reminded me that we’re purporting to use the federal legislative power for federally regulated sectors. With health care, I’m thinking of the example in Newfoundland and Labrador that Premier Furey and I worked on, and it was a provincial health authority. As you would know better than anybody, our regulatory ability doesn’t touch that. However, you gave the example of telecommunications companies such as Telus Health, whose ads I see all over the place.

If we deem that to be a critical piece of the infrastructure — I can’t imagine, for the reasons you said, that we wouldn’t, but I don’t purport to have seen that advice now — they would absolutely fall under our ability to regulate their activities and the protection of the private health care information of the patients they are treating. I can’t imagine it wouldn’t be part of that. It is an interesting issue you raise, and I will push down on it. M. LeBlanc : Sénateur Kutcher, M.

Boucher m’a rappelé que nous entendons utiliser le pouvoir législatif fédéral pour les secteurs réglementés par le gouvernement fédéral. Au sujet des soins de santé, je pense au dossier sur lequel le premier ministre Furey et moi avons travaillé à Terre-Neuve-et-Labrador, et il s’agissait d’une autorité sanitaire provinciale. Comme vous le savez mieux que personne, notre capacité de réglementation ne concerne pas ce secteur. Cependant, vous avez donné l’exemple d’entreprises de télécommunications telles que Telus Santé, dont je vois les publicités un peu partout.

Si nous jugeons qu’il s’agit d’un élément essentiel de l’infrastructure — et je ne peux imaginer le contraire pour les raisons que vous avez évoquées, mais je ne dis pas avoir vu ce conseil —, nous pourrions assurément réglementer leurs activités et protéger les renseignements privés sur la santé des patients qu’elles traitent. Je ne peux pas imaginer que cela n’en fasse pas partie. Vous 28-10-2024 Sécurité nationale, défense et anciens combattants 63:15

soulevez une question intéressante sur laquelle je vais me pencher. Senator M. Deacon: Thank you for being here today. La sénatrice M. Deacon : Je vous remercie de votre présence aujourd’hui. I had the opportunity to sit around the table in Europe this summer and have a very similar conversation to this one about what we are doing — mostly Five Eyes, but other countries also — and where we are at. One of the takeaways for me was that we have an opportunity to take this on, and we know it is a huge issue, but we want to get it right.

As the minister said, we have to look down the road, around the curve and the other curve as we’re doing this. J’ai eu l’occasion de participer à des discussions en Europe cet été et d’avoir une conversation très similaire à celle que nous avons aujourd’hui — principalement avec les pays du Groupe des cinq, mais aussi avec d’autres pays — pour faire le point sur la situation. L’une des conclusions que j’en ai tirées est que nous pouvons nous attaquer à ce problème, et nous savons qu’il est de taille, mais nous voulons faire les choses correctement.

Comme l’a dit le ministre, nous devons regarder vers l’avenir et penser à ce qui s’en vient, pas seulement demain, mais aussi après- demain. Could tell me today what we have presently in front of us, looking at the minutes in the House and following the other committee? Are there any pieces through the changes that were made or amendments that were made that you wish were still here? I know you have a bias, but is there anything, from listening to people and different experts, that you would add to make this bill better for the time, knowing where we’re trying to go?

Compte tenu de ce que nous avons actuellement sous les yeux, de ce qui s’est dit à la Chambre et dans l’autre comité, y a-t-il des éléments qui ont été modifiés ou amendés et dont vous souhaiteriez qu’ils soient encore là? Je sais que vous avez un parti pris, mais y a-t-il quelque chose — après avoir écouté les gens et les différents experts — que vous ajouteriez pour améliorer ce projet de loi en ce moment, en sachant ce que nous voulons atteindre? Mr. Champagne: Bill C-26 is a game changer when it comes to telecom policy. I go back to my opening statement.

The fact that security is not even one of the listed objectives strikes me as a gap we need to fill very quickly, because, obviously, you want the minister of industry, under the Telecommunications Act, to promote security. That is just common sense, like you said. We would be one of the very few nations in the Five Eyes or even the G7 which doesn’t even have that as an objective. You want reliability, resiliency and many other things, but in this day and age — above all or equally with other things — you want security of the system. M.

Champagne : Le projet de loi C-26 change la donne en matière de politique des télécommunications. Je reviens à ma déclaration préliminaire. Le fait que la sécurité ne soit même pas l’un des objectifs énumérés me semble être une lacune que nous devons combler très rapidement, parce que, de toute évidence, on veut que le ministre de l’Industrie, en vertu de la

Loi sur les télécommunications, promeuve la sécurité. C’est une question de bon sens, comme vous l’avez dit. Nous serions l’une des rares nations du Groupe des cinq ou même du G7 à ne pas avoir cet objectif. On veut de la fiabilité, de la résilience et bien d’autres choses, mais à notre époque, on veut avant tout, ou tout autant, la sécurité du système. I’m fine with the checks and balances that were put in there in terms of reasonableness standards and the defence because we want to work with the telecom sector and the providers to reach the best possible outcome.

However, the most important thing is for the minister and those who are going to succeed me in 10 or 20 years from now — whether in an emergency, natural disaster or cyberattack, in a world that we can barely foresee now, especially when you add quantum and AI — that person, whoever it may be, would have the authority to direct telcos to do something specific, or someone specific in the network, to prevent a bigger outcome, threat or damage that could occur to the country and to the whole network. I’ll stop there.

Je suis satisfait des freins et contrepoids qui sont prévus, les normes de la décision raisonnable et la défense, parce que nous voulons travailler avec le secteur des télécommunications et les fournisseurs pour atteindre le meilleur résultat possible.

Toutefois, ce qui importe le plus, c’est que le ministre — et mes successeurs dans 10 ou 20 ans, quels qu’ils soient — puisse ordonner, en cas d’urgence, de catastrophe naturelle ou de cyberattaque, dans un monde que nous pouvons à peine imaginer aujourd’hui, surtout si l’on y ajoute l’informatique quantique et l’intelligence artificielle, qu’il puisse ordonner aux entreprises de télécommunications ou à un intervenant dans le réseau de prendre une mesure précise, pour prévenir une conséquence, une menace ou un dommage plus important qui pourrait toucher le pays et l’ensemble du réseau. Je m’arrêterai là.

Particularly when you have the Internet of Things, your question is very pointed when if you think that one day under 5G let alone 6G, everything is interconnected and instant. What I Votre question est très pertinente, notamment en ce qui concerne l’Internet des objets, quand on pense qu’un jour, avec la 5G, et a fortiori la 6G, tout sera interconnecté et instantané. Ce 63:16 National Security, Defence and Veterans Affairs 28-10-2024

don’t have today, but I wish my successor would have, or perhaps if you approve the bill and then we have Royal Assent, is the ability to act swiftly. Time is of the essence. You need to take decisive action. The only way a minister could do it today would be to self-power, and we need to enshrine that in the law. This is a game changer today, and I can live with the checks and balances that are in it. que je n’ai pas aujourd’hui, mais que j’aimerais que mon successeur ait, si vous approuvez le projet de loi et qu’il reçoit la sanction royale, c’est la capacité d’agir rapidement. Le temps presse.

Il faut prendre des mesures décisives. La seule façon pour qu’un ministre le fasse aujourd’hui serait de lui accorder ces pouvoirs, et nous devons inscrire cela dans la loi. Cela change la donne aujourd’hui, et je peux m’accommoder des freins et contrepoids que le projet de loi contient. Senator McNair: Thank you to both ministers and the officials for being here tonight. We appreciate it. Le sénateur McNair : Merci aux deux ministres et aux fonctionnaires d’être avec nous ce soir. Nous vous en sommes reconnaissants. I think this question is properly to Minister Champagne, and it is comprised of two parts.

Is there a divergence between the government’s stated goal of ensuring reliable access, especially in remote and rural areas of Canada, with the desire to secure our 5G networks, especially given the decision to restrict high-risk suppliers from our telecom service providers? Je pense que le ministre Champagne est le mieux placé pour répondre à ma question, qui comporte deux volets.

Existe-t-il une discordance entre l’objectif que s’est donné le gouvernement de garantir à la population un accès fiable aux réseaux, en particulier dans les régions rurales et éloignées du Canada, et la volonté de protéger nos réseaux 5G, compte tenu notamment de la décision consistant à empêcher nos fournisseurs de services de télécommunications de recourir à des fournisseurs présentant un risque élevé? Secondly, will smaller providers be disproportionately impacted by the decision to ban certain high-risk providers such as Huawei and ZTE, as you discussed earlier?

Deuxièmement, la décision d’exclure certains fournisseurs à haut risque tels que Huawei et ZTE, dont vous avez parlé précédemment, aura-t-elle des répercussions disproportionnées sur les petits exploitants? Mr. Champagne: Thank you, senator, for your role in the bill. M. Champagne : Merci, sénateur, de votre contribution aux travaux sur ce projet de loi. When you are making billions of dollars of investments, you want predictability and certainty. You need these big infrastructure investments. You need to have a vision, going back to Senator Deacon. You need to look at 5, 10, 20 or 30 years down the road.

We have always been very forthcoming with the industry about the type of risk we see with certain vendors. You have seen what we did in May 2022 with ZTE and Huawei. This was on the back of what we had seen in other Five Eyes countries, which had determined that this would be detrimental. Lorsque les investissements se chiffrent en milliards de dollars, il faut pouvoir disposer de prévisibilité et de certitude. Nous avons besoin de ces investissements importants dans l’infrastructure.

Pour reprendre les propos de la sénatrice Deacon, il faut avoir des objectifs à long terme, c’est-à-dire se projeter dans 5, 10, 20 ou 30 ans. Nous avons toujours communiqué ouvertement à l’industrie le type de risque que nous considérons comme inhérent à certains fournisseurs. Vous avez pu constater que nous avons pris des mesures en mai 2022 à l’égard de ZTE et de Huawei. Cette décision se fondait sur ce que nous avions constaté dans d’autres pays du Groupe des cinq, qui avaient estimé qu’il existait un risque de préjudice.

I didn’t see a push back in the sense that the operators understood that it was in their best interests to transition to something more reliable and that would be permanent in their system. In that sense, I think they saw that coming, and even the directive we had issued has been accepted by the telcos as being the way to do it. It is in our mandate and duty — you as the Senate and we as the government — to make sure that when everything is interconnected, an operator’s decision could compromise all the others in the ecosystem. We cannot allow that. Therefore, it was well understood that we needed to take action.

Je n’ai pas constaté de réactions négatives de la part des exploitants, qui ont compris qu’il était dans leur intérêt de faire la transition vers des éléments plus fiables et intégrés de manière permanente dans leurs réseaux. Je pense que ce changement avait été anticipé, et les entreprises de télécommunications ont elles‑mêmes reconnu que la directive émanant du gouvernement constituait la meilleure voie à suivre.

Nous avons le mandat et le devoir, tant au Sénat qu’au gouvernement, de veiller à ce que la décision d’un seul exploitant ne puisse pas nuire à tous les autres exploitants qui composent notre écosystème, surtout dans un contexte de grande interconnexion. Nous ne pouvons pas le permettre. C’est pourquoi tous ont compris qu’il fallait agir. 28-10-2024 Sécurité nationale, défense et anciens combattants 63:17

To your point about the smaller operators, there was not much of Huawei and ZTE equipment in the 5G network. It was more in the 4G, for which we left a bit of time to ensure that everyone could replace that equipment safely, proactively and in the best interests of the ecosystem. En ce qui concerne les petits exploitants, il n’y avait pas beaucoup de matériel provenant de Huawei et de ZTE dans le réseau 5G.

Ce matériel se trouvait plutôt dans le réseau 4G, et pour lequel nous avons accordé un délai supplémentaire afin que le remplacement des éléments visés puisse se faire de manière sûre et proactive tout en veillant à assurer le bon fonctionnement de l’écosystème. In my interactions with the leaders of the telecom companies in the country, they understand we are doing this because we have at heart the best interests of everyone. First and foremost, I would say economic security is national security today.

We cannot allow someone to compromise everyone else, and that’s why we adopted the directive at the time and we’re going to back it by legislation with Bill C-26. Lors de mes échanges avec les dirigeants des entreprises de télécommunications du pays, ils ont compris que nous agissions dans le but de servir au mieux les intérêts de tous. Avant toute chose, je dirais qu’aujourd’hui, la sécurité économique fait

partie de la sécurité nationale. Nous ne pouvons pas permettre à un seul des maillons de la chaîne de mettre en péril tous les autres, c’est pourquoi nous avons adopté cette directive à ce moment et que nous entendons l’inscrire dans la loi par le biais du projet de loi C-26. Senator Batters: I have so many questions, but not enough time with both of you. La sénatrice Batters : J’ai bien des questions à vous poser, mais pas assez de temps.

Minister LeBlanc, Bill C-26 imposes some significant requirements for cybersecurity for small- and medium-sized Canadian businesses without really acknowledging that those requirements could be a lot more onerous for smaller enterprises than for massive organizations. Monsieur le ministre LeBlanc, le projet de loi C-26 impose aux petites et moyennes entreprises canadiennes de prendre des mesures importantes en matière de cybersécurité, sans toutefois reconnaître que ces mesures pourraient être beaucoup plus onéreuses pour de petites entreprises que pour de très grandes organisations.

Today, to follow up on what Senator Carignan was asking about, we saw an alarming news

article about a huge cyberattack on a branch of your government, the Canada Revenue Agency, with serious implications for Canadian taxpayers involving millions of dollars. We also see in that report that Minister Bibeau was advised about that major cyberattack on the Canada Revenue Agency many months ago, and she was provided with media lines and messages to respond to any questions, but the

article notes, “In the end, the public was never alerted to the scheme.” Minister LeBlanc, why didn’t your government tell Canadian taxpayers about this? As Public Safety Minister, with the responsibility for cybersecurity, were you also notified about this major cyberattack? If so, why didn’t you insist Canadians were told about it? Permettez-moi de rebondir sur une question qu’a posé le sénateur Carignan. Aujourd’hui, nous avons appris dans les médias une nouvelle alarmante.

Un organisme dirigé par votre gouvernement, l’Agence du revenu du Canada, a été la cible d’une cyberattaque de grande ampleur qui aura de graves conséquences pour les contribuables et où des millions de dollars sont en cause. Nous apprenons également que la ministre Bibeau avait été informée de cette cyberattaque majeure il y a de cela des mois. On lui a fourni des réponses toutes faites aux questions qui lui seraient posées, mais le public n’a jamais été mis au courant du stratagème employé par les malfaiteurs. Comment se fait-il, monsieur le ministre, que le gouvernement n’en ait rien dit aux contribuables?

Vous êtes le ministre de la Sécurité publique et vous êtes responsable de la cybersécurité. Avez-vous été informé de cette grave cyberattaque? Et si oui, pourquoi n’avez-vous pas insisté pour que les Canadiens en soient mis au courant. Mr. LeBlanc: Senator, thank you for the question. M. LeBlanc : Merci, sénatrice, de me poser cette question. I agree entirely that this legislation can’t create an undue burden on small- and medium-sized enterprises. We don’t believe that’s the case.

It is intended to ensure that small businesses and all Canadians, for the reasons that Minister Champagne and others enunciated, can rely on some of these larger providers essential for their business activities. Only federally regulated operators who deliver services in the system, which would be vital to national security or public safety like, to Senator Kutcher’s point, health, safety, security and economic Je suis tout à fait d’accord avec vous. Il importe que ce projet de loi n’accable pas les petites et moyennes entreprises. Nous ne croyons pas qu’il ait de telles conséquences.

Le projet de loi vise, pour les raisons énoncées par le ministre Champagne et d’autres, à ce que les petites entreprises et tous nos concitoyens puissent s’appuyer sur les gros fournisseurs, sans qui ces entreprises et les particuliers ne pourraient mener leurs activités commerciales. Seuls les exploitants sous réglementation fédérale, dont les services sont essentiels pour la sécurité 63:18 National Security, Defence and Veterans Affairs 28-10-2024

well-being of Canadians, would be captured. I totally agree that we have to be careful not to create that burden on small and medium-sized businesses. We’ll be sensitive as the legislation and regulations are adopted that we look at the effects of some of these potential orders and so on, to be conscious of that. publique ou nationale, auraient à se conformer aux nouvelles exigences. Comme l’a indiqué le sénateur Kutcher, je pense aux exploitants qui sont actifs dans les domaines de la santé, de la sécurité et du bien-être économique.

Il faut effectivement veiller à ne pas imposer un fardeau aux petites et moyennes entreprises. Je suis tout à fait de votre avis. Nous serons attentifs aux conséquences de la réglementation et des éventuelles ordonnances sur les PME. With respect to the breach, I personally was not aware until today of the circumstances that I read about publicly with respect to the Canada Revenue Agency.

I’m told that the agency would have, perhaps, talked to officials in our department — obviously, the Centre for Cyber Security, and there is an important element of the Department of National Defence and the Communications Security Establishment, but I’m not aware of the details of how officials at Canada Revenue Agency would have spoken to officials either in our department or at National Defence with respect to this breach. Au sujet de la cyberattaque contre l’Agence du revenu, je n’en étais pas au courant. J’en ai eu connaissance aujourd’hui dans les médias.

On me dit que l’agence aurait peut-être eu des discussions avec des fonctionnaires de notre ministère, mais je ne suis pas au fait des échanges qu’auraient eus les fonctionnaires de l’agence avec ceux de notre ministère ou celui de la Défense nationale. Le Centre canadien pour la cybersécurité, le ministère de la Défense nationale et le Centre de la sécurité des télécommunications ont évidemment un rôle important à jouer dans ces circonstances. Separate and apart from the specific circumstances at Revenue Canada that I’m not in a position to talk about, there is a balance.

I have seen this with provincial and municipal governments and talked informally with large private sector operators around the transparency of telling their shareholders, their partners — and in the case of public governments, municipalities, provinces and territories their taxpayers — about preserving the confidence that people have in the system or also not giving a road map for the next potential negative or hostile actor to identify a vulnerability until the vulnerability is fixed. I have been in meetings where people say, “This has happened to our province.

We’re not going to discuss it publicly until we have been able to build a backbone” — that was the phrase I heard — “to ensure that somebody won’t come right in behind them,” and then I think that particular provincial government talked about it publicly. That’s just one circumstance I was in. De façon générale, et mises à

part les circonstances à Revenu Canada, dont je ne peux parler, il y a plusieurs choses à prendre en considération dans de telles situations. J’en ai discuté avec des gouvernements provinciaux et municipaux et de façon informelle avec de grandes entreprises du secteur privé. Les gouvernements, qu’ils soient provinciaux, territoriaux ou municipaux, ont des comptes à rendre à leurs contribuables, et les grandes entreprises, à leurs actionnaires et partenaires.

Ces entités sont toutefois soucieuses de préserver la confiance du public et de ne pas permettre au prochain acteur hostile d’exploiter une faille dans le système avant qu’elle n’ait été corrigée. J’ai assisté à des réunions où une province déclare avoir été victime d’un incident, mais décide de ne pas l’annoncer au public avant d’avoir pris des mesures correctives, pour éviter d’être de nouveau victime d’un acte malveillant. Je pense que le gouvernement provincial en question en avait ensuite parlé publiquement. C’est une situation parmi d’autres, dont j’ai été témoin.

Senator Batters: I don’t really understand how that applies here, given that the minister had lines ready to give. La sénatrice Batters : Je ne vois pas en quoi ces éléments sont pertinents, étant donné que la ministre avait déjà en main des réponses aux questions des journalistes. Minister LeBlanc, this bill has been a long time in coming. The Trudeau government first held public consultations on it back in 2016. In 2018, your government released a National Cyber Security Strategy, and took it another four years, until 2022, for you to draft and introduce this bill in Parliament.

It then two more years to work its way through the House of Commons, which included major amendments at the committee stage which basically overhauled this bill. Even after it passes the Senate, it will take another two years in the regulatory phase before much of the impact of the legislation even comes into effect. Minister, all of this means that this cybersecurity bill will take your government a full decade to bring protections on this critical topic into effect. Why this extreme delay? Monsieur le ministre LeBlanc, cela fait longtemps que nous attendons ce projet de loi.

Le gouvernement Trudeau a d’abord lancé des consultations publiques en 2016. Deux ans plus tard, en 2018, votre gouvernement a annoncé une stratégie nationale de cybersécurité, puis il a fallu quatre ans de plus pour que vous présentiez ce projet de loi au Parlement, soit en 2022. La Chambre des communes a ensuite eu besoin de deux ans pour examiner ce texte de loi. Des amendements y ont été apportés en comité, ce qui a eu pour effet de changer le projet de loi du tout au tout. Même après son adoption au Sénat, il faudra attendre encore deux ans pour que les règlements soient pris et que la loi entre en vigueur.

Monsieur le ministre, au bout du compte, il aura fallu une décennie à votre gouvernement pour instaurer des 28-10-2024 Sécurité nationale, défense et anciens combattants 63:19

mesures de protection dans ce domaine d’une importance critique. Pourquoi ce délai démesuré? The Chair: I am going to ask the minister to reflect on that, because we have gone a minute over. We will go to Senator Dasko now, and if there is time, perhaps you can address that later. Le président : Sénatrice Batters, votre temps est écoulé depuis déjà une minute. Je vais demander au ministre de réfléchir à la réponse à votre question. Monsieur le ministre, s’il reste du temps, vous pourriez y répondre plus tard. Je vais donner la parole à la sénatrice Dasko.

Senator Dasko: Thank you to the ministers for being here today. La sénatrice Dasko : Merci aux ministres d’avoir accepté notre invitation. I want to get back to the topic of the overall landscape, this being the cybercrime side of the issue. You mentioned, minister, that there are both state and non-state actors. I am interested in who they are. Who are the state actors, and who are the non-state actors? Are the non-state actors mainly foreign actors? I’m talking about the perpetrators, those who are committing these crimes, and their motivation. It sounds like there may be mixed motivations.

You mentioned extortion in one example. Is this a main motivation of the perpetrators? Is it information gathering? Is it disruption of our services? There are all kinds of potential motivations. Je voudrais vous poser quelques questions sur la cybercriminalité en général. Vous avez parlé, monsieur le ministre, d’acteurs étatiques et non étatiques. J’aimerais savoir qui sont ces acteurs. Les acteurs non étatiques sont-ils surtout étrangers? Je m’intéresse aux auteurs, à ceux qui commettent ces crimes. Qu’est-ce qui les motive à les commettre? On dirait qu’ils ont plus d’un motif à la fois.

Vous avez parlé d’extorsion par exemple. Est-ce la principale motivation des auteurs de ces crimes? Cherchent-ils à recueillir de l’information, à perturber nos systèmes? Il y a tout un éventail de motifs, il me semble. My second question is about the remedies, this being a crime. It sounds like the remedies are for us to secure our systems, but what about sanctions? Are there sanctions against these perpetrators? Is that viable? How does that work? What are they? Ma deuxième question porte sur les recours, puisqu’il s’agit de crimes.

On dirait que la solution, c’est de protéger nos systèmes, mais qu’en est-il des sanctions? A-t-on imposé des sanctions aux auteurs de ces crimes? Est-ce une solution viable? Comment fonctionnent les sanctions et en quoi consistent-elles? Then, can we repel these actors? I’m thinking of cyber wars — maybe I have seen too many movies — but there is a possibility of repelling them, at least potentially. Those are my questions. Et pour finir, peut-on repousser ces acteurs? Je pense aux guerres cybernétiques. Je m’inspire peut-être trop du cinéma, mais il est possible de les repousser, non?

Ce sont les questions que je souhaitais vous poser. Mr. LeBlanc: Thank you, senator. That is a series of very thoughtful and appropriate questions. M. LeBlanc : Merci, sénatrice. Vos questions sont tout à fait pertinentes et appropriées. You began by asking us to reflect on hostile state and non‑state actors. That’s the phrase that we often use or in meetings that I am in that people use.

A great deal of this, of course, is classified intelligence or police information if there are ongoing investigations, but it is a well-known, public fact, for example, that Russia is very active in many of these disinformation and potential cyberattacks. There have been public comments around China. But, again, I’m just going with what has been in the public space. I sometimes see briefings where other state actors are quite active. Votre première question portait sur les acteurs hostiles étatiques et non étatiques. Ce sont les expressions que nous entendons couramment et que j’entends dans mes réunions.

Je ne peux trop vous en dire toutefois, car bien entendu ces renseignements sont classifiés ou alors ils sont entre les mains de la police si une enquête est en cours. Cela étant dit, il est bien connu du public que la Russie, par exemple, mène des campagnes de désinformation et éventuellement des cyberattaques. La Chine est également mentionnée dans les débats publics sur le sujet. Je vous dis simplement ce qui est connu du public. Je suis parfois informé de situations où d’autres acteurs étatiques sont assez actifs.

Many of the threats that would come from nonhostile state actors are organized crime networks operating, again, in some of the countries that themselves perpetrate some of these attacks or countries that may not have extradition treaties. You can think of countries that wouldn’t have extradition treaties with the United Les acteurs hostiles non étatiques, quant à eux, sont souvent des réseaux criminels organisés qui sont actifs dans les pays qui commettent eux-mêmes ces attaques ou dans des pays qui n’ont pas de traité d’extradition avec les États-Unis, le Canada et les pays d’Europe.

Il est possible de trouver certains de ces réseaux 63:20 National Security, Defence and Veterans Affairs 28-10-2024

States, European countries and Canada. You may find some of these organized criminal networks that do these ransomware attacks or extortions based there. criminels, qui mènent des cyberattaques pour ensuite exiger une rançon, dans des pays dépourvus de traités d’extradition. The threat is evolving all the time. A lot of it increasingly — this has been publicly commented on by the Communications Security Establishment — becomes a source of funding for organized crime.

Large transnational criminal networks may have a branch that does this kind of activity from country X, and it can be quite lucrative in what we take as the public reporting of large companies or public sector entities that have paid ransoms. Some are paid that we don’t know about and are never reported publicly, for obviously understandable reasons as well. That is the threat landscape, and I think there is more we could say in terms of the countries.

La menace évolue constamment et devient de plus en plus souvent — et cela a été dit publiquement par le Centre de la sécurité des télécommunications — une source de financement pour le crime organisé. Les grands réseaux criminels transnationaux peuvent avoir une filiale qui se livre à ce type d’activité à partir d’un pays X, et cela peut s’avérer très lucratif, comme le rapportent les grandes entreprises ou les entités du secteur public qui ont payé des rançons. Certaines rançons sont payées sans que nous le sachions, et ne sont jamais rendues publiques pour des raisons évidemment compréhensibles.

Voilà des exemples de menaces, et nous pourrions en dire plus sur les pays. I’ll conclude with this: You asked why they would do this. I’m not a criminal profiler, but a lot of these hostile state actors, these countries, do it precisely to shake people’s confidence in public institutions — in banking, telecommunications, in your local health authority. They seek to disrupt confidence in large Western democracies. Some of it can be designed by ideologically motivated violent extremists who are also seeking to create a context where they can recruit in certain communities. It is a vast myriad of reasons why.

I see it in some of the intelligence reporting some of these elements, but they are as vast as are the attacks. Je conclurai par ceci : vous avez demandé quelles sont leurs motivations. Je ne suis pas un spécialiste du profilage criminel, mais un grand nombre de ces acteurs étatiques hostiles agissent précisément pour ébranler la confiance des gens dans les institutions publiques, dans les banques, les télécommunications, les autorités sanitaires locales. Ils cherchent à ébranler la confiance dans les grandes démocraties occidentales.

Certains de ces actes peuvent être posés par des extrémistes violents qui sont motivés par une idéologie et qui cherchent à créer un contexte leur permettant de recruter dans certaines communautés. Il peut y avoir une multitude de raisons. Je vois certains de ces éléments dans les rapports des services de renseignement, mais ils sont aussi nombreux que les attaques. The Chair: Thank you very much. Le président : Merci beaucoup. Ministers, I’m doing a time check here. It is closing in on 5:00. I’m going to ask if you would have 11 or 12 minutes remaining to cover off four senators who have questions.

We’ll give them three minutes each, if you are agreeable. Messieurs les ministres, je vérifie l’heure. Il est presque 17 heures. Je vais vous demander si vous pouvez rester encore 11 ou 12 minutes pour répondre aux quatre sénateurs qui ont des questions à poser. Nous leur accorderons trois minutes chacun, si vous êtes d’accord. Mr. LeBlanc: Yes, absolutely, but I have a meeting at 5:30 with two of my cabinet colleagues at the Marriott hotel, which has been planned for a number of months. We’re meeting a group of Indigenous leaders from the Jay Treaty Border Alliance. M.

LeBlanc : Oui, bien sûr, mais j’ai une réunion à 17 h 30 avec deux de mes collègues du Cabinet à l’hôtel Marriott, qui est prévue depuis plusieurs mois. Nous rencontrons un groupe de dirigeants autochtones de la Jay Treaty Border Alliance. The Chair: We will be quick. Le président : Nous ferons vite. Senator Patterson: Thank you, ministers. La sénatrice Patterson : Merci. Minister LeBlanc, this is for you. It follows up on Senator Kutcher’s question.

There is a federal health care system, the Canadian Armed Forces, and they do have an electronic system that must reach into provinces and territories to exchange information. While information has been held in a repository, we already know there was accidental deletion of massive amounts of data. Why does this matter? Because the health of our troops is also a definite cyber target for nefarious actors out there. I J’ai une question pour le ministre LeBlanc. Elle fait suite à la question du sénateur Kutcher.

Nous avons un réseau de soins de santé fédéral, c’est-à-dire au sein des Forces armées canadiennes, et il dispose d’un système électronique qui est connecté comme il se doit aux provinces et aux territoires pour échanger des renseignements. Ces données sont conservées dans un répertoire, mais nous savons que des quantités massives de données ont été supprimées accidentellement. Pourquoi est-ce important? Parce 28-10-2024 Sécurité nationale, défense et anciens combattants 63:21

wanted to add that to it. My question is also related to Indigenous Services, which is outside provincial and territorial jurisdictions. When you’re looking at vital services and vital systems — the Department of National Defence has an un‑classed stake in this as well — how will that be addressed by this bill? que la santé de nos troupes est aussi, assurément, une cybercible pour des acteurs malveillants. Je voulais le mentionner. Ma question porte également sur Services aux Autochtones, dont le champ de compétence se situe en dehors de celui des provinces et des territoires.

Comment les services et les réseaux vitaux sont-ils pris en compte dans ce projet de loi? Le ministère de la Défense nationale a également un intérêt particulier dans ce domaine. Mr. LeBlanc: Senator, you are right. The RCMP is also provided some medical services, like people who serve in the Armed Forces. Correctional Service Canada has 13,500 federally sentenced inmates who need health care. You’re absolutely right.

We have a responsibility to protect that data and its reliability for a person offering treatment to those persons and to do so in a way that would not compromise their security in the case of serving members of the Armed Forces or the RCMP. If you will, Mr. Boucher may be able to provide a specific answer in the context of how that operates. M. LeBlanc : Sénatrice, vous avez raison. Les agents de la GRC bénéficient également de certains services médicaux, à l’instar des membres des forces armées. Service correctionnel du Canada fournit des soins de santé à 13 500 détenus sous responsabilité fédérale.

Vous avez tout à fait raison. Nous avons la responsabilité de protéger ces données et leur fiabilité pour les fournisseurs de soins et de le faire d’une manière qui ne compromettrait pas leur sécurité dans le cas des membres actifs des forces armées ou de la GRC. Si vous le voulez bien, M. Boucher pourra peut-être apporter des précisions sur le fonctionnement.

Patrick Boucher, Senior Assistant Deputy Minister, National and Cyber Security Branch, Public Safety Canada: As the minister alluded to earlier, there was extensive engagement with various stakeholders from across the country — provinces, territories, Indigenous organizations and the private sector. That was all to get baseline information on how to define vital systems.

Patrick Boucher, sous-ministre adjoint principal, Direction de la sécurité nationale et de la cybersécurité, Sécurité publique Canada : Comme le ministre y a fait allusion plus tôt, des discussions importantes ont été tenues avec diverses parties prenantes de tout le pays — les provinces, les territoires, les organisations autochtones et le secteur privé —, et tout cela pour obtenir des informations de base sur la manière de définir les systèmes vitaux.

As the minister said earlier on the question of small to medium-sized enterprises, chances are that these vital systems will be held by the major corporations, the big telcos that are out there. There was a methodology applied to start identifying those vital systems, and we will continue to work with industry, with partners, to zero in through the regulatory process to lock those down and, through the regulatory process, to ensure we have the flexibility to update them, because it will evolve. The threat will evolve.

New vital systems may be needed to be protected under this act, so the regulatory framework will allow us to do that. Comme le ministre l’a dit plus tôt en réponse à la question sur les petites et moyennes entreprises, il y a de fortes chances que ces systèmes vitaux soient détenus par les grandes entreprises, les grandes sociétés de télécommunications.

Une méthodologie a été appliquée pour commencer à recenser ces systèmes vitaux, et nous continuerons à travailler avec l’industrie et avec nos partenaires, dans le cadre du processus réglementaire, pour les inclure et avoir la flexibilité nécessaire pour mettre à jour la liste, parce que la situation évoluera. La menace évoluera. Il se peut que de nouveaux systèmes vitaux doivent être protégés dans cette loi, et le cadre réglementaire nous permettra de le faire. Senator Duncan: I thank the ministers for being here. La sénatrice Duncan : Je remercie les ministres d’être ici.

The physical threat in the North is twofold. There are threats from climate change and equipment failure, and this occurs more often than we care to count. It was evident this spring when Yukon lost all communications for a period of time. The Government of Yukon has made significant investments in redundancy for the future. Does there exist — I think Mr. Boucher touched on this — a realistic account or analysis of the infrastructure throughout the North, particularly identifying the gaps?

One of those threats is the physical critical infrastructure, where it exists, how vulnerable it is and where it doesn’t exist. Those are the gaps. The other concern is when the equipment failed, many Yukoners turned to Starlink. Starlink is La menace physique dans le Nord est double. Il y a les menaces liées aux changements climatiques et aux pannes d’équipement, qui se produisent plus souvent qu’on ne le pense. On a pu le constater au printemps dernier lorsque le Yukon a perdu toutes ses communications pendant un certain temps.

Le gouvernement du Yukon a fait d’importants investissements dans la redondance pour l’avenir. Existe-t-il — je pense que M. Boucher en a parlé — un rapport ou une analyse réaliste qui porte sur l’infrastructure dans tout le Nord, en particulier pour recenser les lacunes? L’une de ces menaces est l’infrastructure physique essentielle, où elle existe, à quel point elle est vulnérable, et où elle n’existe pas. Ce sont les lacunes. L’autre 63:22 National Security, Defence and Veterans Affairs 28-10-2024

evident everywhere. How secure is it? It’s used by government agencies. What is its level of security, and how do we intend to address that? Does Bill C-26 address the issue of security in cyberspace communications? préoccupation est que, lorsque l’équipement est tombé en panne, de nombreux Yukonnais se sont tournés vers Starlink. Starlink est présent partout. Quel est son niveau de sécurité? Il est utilisé par les organismes gouvernementaux. Quel est son niveau de sécurité et comment entendons-nous aborder cette question?

Le projet de loi C-26 aborde-t-il la question de la sécurité des communications dans le cyberespace? Mr. Champagne: I will try to do justice to your question, but we would need to talk for an hour to go over all of that. M. Champagne : Je vais essayer de répondre à votre question, mais il nous faudrait une heure pour en faire le tour. The fact that we will promote security resilience and reliability in the network is key now. I am mindful of the situation you are describing because I was very much involved when Yukoners lost connectivity.

You may have seen Telesat’s recent investment in low-Earth-orbit satellites to make sure we would be covered. I would say it has much to do with national security and resiliency because, to your point, I don’t think we should outsource national security when it comes to the Northwest Passage, aviation for maritime services, law enforcement and others. We are tasked, obviously, to protect the North, but we also have our NATO obligations. I think this was a wise investment that will allow us to support a Canadian company and have the equipment there to help the resiliency of communications in the North.

I am happy to have a longer discussion, but I see that the chair would like me to offer only a brief response. Le fait que nous allons promouvoir la sécurité, la résilience et la fiabilité du réseau est un élément clé aujourd’hui. Je suis conscient de la situation que vous décrivez, car j’ai été très impliqué lorsque les habitants du Yukon ont perdu leur connectivité. Vous avez peut-être vu les récents investissements de Télésat dans des satellites en orbite basse pour garantir la couverture.

Je dirais que cela a beaucoup à voir avec la sécurité nationale et la résilience, car, pour répondre à votre question, je ne pense pas que nous devrions externaliser quoi que ce soit qui concerne le passage du Nord-Ouest, l’aviation pour les services maritimes, l’application de la loi, etc. Nous sommes chargés, évidemment, de protéger le Nord, mais nous avons aussi nos obligations envers l’OTAN. Je pense qu’il s’agit d’un investissement judicieux qui nous permettra de soutenir une entreprise canadienne et de disposer de l’équipement nécessaire pour contribuer à la résilience des communications dans le Nord.

Je serais heureux de pouvoir en discuter plus longuement, mais je vois que le président souhaite que je sois bref. Senator Al Zaibak: Thank you, ministers, for being here, and my apologies for missing the first part of your statements. Le sénateur Al Zaibak : Je vous remercie, messieurs les ministres, de votre présence et je m’excuse d’avoir manqué la première

partie de vos déclarations. Mr. LeBlanc: They were fantastic. Your colleagues were absolutely captured. It was a seminal performance. M. LeBlanc : Elles étaient formidables. Vos collègues ont été totalement conquis. C’était une performance très originale. Senator Al Zaibak: I am sure. Le sénateur Al Zaibak : Je n’en doute pas. In my humble view, neither technology alone nor legislative power alone can provide a viable solution to the questions we have and the threats we are facing, especially when it comes to cybersecurity.

I believe cybersecurity requires a concerted effort between the federal government and private industry, the stakeholders, as private industry stakeholders often own the telecommunications and IT infrastructure. À mon humble avis, ni la technologie seule ni le pouvoir législatif seul ne peuvent apporter une solution viable aux questions que nous nous posons et aux menaces auxquelles nous faisons face, en particulier lorsqu’il s’agit de cybersécurité.

Je crois que la cybersécurité exige un effort concerté entre le gouvernement fédéral et l’industrie privée, les parties prenantes, car les parties prenantes de l’industrie privée sont souvent propriétaires de l’infrastructure des télécommunications et des technologies de l’information. Bill C-26 appears to create obligations for the telecommunications providers, yet optimal implementation requires strong public-private partnership.

What frameworks or incentives within Bill C-26, in your view, could foster effective collaboration between the federal government and private telecommunications companies to ensure long-term viable cybersecurity solutions? Le projet de loi C-26 semble créer des obligations pour les