Блокировка ЭЦП уволенного сотрудника в большинстве случаев означает не отзыв сертификата, а отзыв полномочий и закрытие доступов: квалифицированный сертификат выдан на физическое лицо, и прекратить его действие вправе только сам владелец или удостоверяющий центр. В день увольнения работодатель отзывает машиночитаемую доверенность через реестр ФНС, блокирует учётную запись в КЭДО и смежных системах, снимает сотрудника с маршрутов подписания и изымает ключевой носитель по акту. Сведения о прекращении действия сертификата удостоверяющий центр вносит в реестр в течение 12 часов, и подпись перестаёт действовать с момента этой записи. Порядок действий определяет одно различие: чем подписывал сотрудник — ПЭП или УНЭП, выпущенной работодателем или оператором КЭДО, либо УКЭП физлица из аккредитованного удостоверяющего центра.
Ниже разобрано, что закрывается за 15 минут, что занимает сутки, а что не закрывается вовсе. Есть порядок срочных действий, форма отзыва МЧД в реестре ФНС и способ проверить, действует ли сертификат и когда подписан спорный документ. Отдельно — что происходит с документами, подписанными до отзыва, и почему они не становятся недействительными задним числом. Сценарная таблица по типам увольняемых, цена ошибки в деньгах, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.
Что именно блокируется при увольнении: подпись, полномочия, доступ
За словами «заблокировать ЭЦП» скрываются четыре разных действия с разными исполнителями и сроками: прекращение действия сертификата, отзыв машиночитаемой доверенности, блокировка учётной записи в информационной системе и изъятие ключевого носителя. Работодатель управляет напрямую только двумя последними и отзывом доверенности. Сертификатом распоряжается его владелец.
Виды ЭЦП здесь важны не как теория, а как развилка. Простая электронная подпись и усиленная неквалифицированная подпись в корпоративной системе КЭДО выпускаются оператором сервиса по соглашению с работником, поэтому администратор компании отключает их вместе с учётной записью. Усиленная квалифицированная подпись выпускается аккредитованным удостоверяющим центром на физическое лицо и живёт отдельно от трудовых отношений: увольнение само по себе её не прекращает.
Разложим по исполнителям и срокам. Таблица собрана по требованиям 63-ФЗ и практике работы с корпоративными системами подписания.
| Что блокируется | Кто вправе это сделать | Срок |
|---|---|---|
| ПЭП в корпоративной системе КЭДО | Администратор компании в сервисе | Минуты |
| УНЭП, выпущенная оператором КЭДО | Оператор сервиса по заявке работодателя | В день обращения |
| УКЭП физлица из аккредитованного УЦ | Владелец сертификата или удостоверяющий центр | Запись в реестр сертификатов в течение 12 часов |
| Машиночитаемая доверенность | Доверитель: руководитель организации или ИП | С момента регистрации отзыва в реестре |
| Учётная запись в КЭДО, ЭДО, личных кабинетах | Администратор системы | Минуты |
| Ключевой носитель с контейнером | Работник передаёт по акту, компания принимает | Последний рабочий день |
Из таблицы следует практический вывод: единственный рычаг, который полностью в руках компании и при этом реально закрывает возможность действовать от её имени, — отзыв доверенности. Всё остальное либо технически, либо юридически лежит вне зоны работодателя.
Мария Ж, специалист по цифровой подписи и КЭДО: «Изъятый токен не равен заблокированной подписи. Если ключ создавался как извлекаемый и экспортируемый, контейнер копируется, и вы получаете обратно носитель, но не контроль над ключом. Неизвлекаемый ключ рождается и остаётся внутри криптоядра токена и наружу не выходит, скопировать его нельзя. Прежде чем принимать носитель, посмотрите, в каком режиме создавался контейнер: от этого зависит, достаточно ли изъятия или нужно прекращать действие сертификата.»
Срочный порядок действий в день увольнения
Сначала — короткая диагностика. Пока не понятно, какими подписями и полномочиями располагал человек, любые действия будут выборочными и часть каналов останется открытой.
- Список подписей. Какие сертификаты на сотрудника выпускались: корпоративная ПЭП, УНЭП сервиса КЭДО, УКЭП из удостоверяющего центра.
- Список доверенностей. Все действующие МЧД: для налоговой отчётности, для взаимодействия с контрагентами, для филиальных полномочий.
- Список систем. КЭДО, ЭДО с контрагентами, банк-клиент, порталы государственных органов, корпоративная почта.
- Носители. Сколько токенов и смарт-карт числится за работником, где они физически находятся.
- Незакрытые маршруты. Документы, где уволенный стоит согласующим или подписантом и без него процесс встанет.
Как заблокировать ЭЦП уволенного сотрудника: пошаговая инструкция
- Шаг 1. Отзовите все машиночитаемые доверенности, выданные работнику. Заявление на отзыв подписывает руководитель своей УКЭП, отзыв регистрируется в реестре ФНС.
- Шаг 2. Заблокируйте учётную запись в системе КЭДО и уберите сотрудника из шаблонов маршрутов согласования, иначе документы будут уходить на подпись в пустоту.
- Шаг 3. Отключите доступы в смежных системах: ЭДО с контрагентами, банк-клиент, личные кабинеты на порталах государственных органов, корпоративная почта, к которой привязано подтверждение операций.
- Шаг 4. Примите ключевой носитель по акту с указанием модели, серийного номера токена и серийного номера сертификата, отметьте возврат в журнале учёта ключевых носителей.
- Шаг 5. Направьте в удостоверяющий центр письмо о прекращении полномочий работника и оформите заявление на аннулирование сертификата, если сертификат выпускался по заявке компании и правила центра допускают такое обращение.
- Шаг 6. Если подпись использовалась во внешнем обмене, отправьте контрагентам письмо о том, что с указанной даты сотрудник не уполномочен подписывать документы от имени организации.
- Шаг 7. Зафиксируйте в реестре сертификатов дату отзыва доверенности, дату блокировки доступов и дату возврата носителя. Это ваш единственный доказательный след, если позже появится документ, подписанный после увольнения.
Порядок именно такой, а не обратный. МЧД идёт первой, потому что она даёт внешние полномочия: пока доверенность активна, у бывшего сотрудника сохраняется техническая возможность отправить отчётность или подписать документ контрагенту, даже если корпоративная учётная запись уже отключена. В сервисе Добыто добавлять и отключать сотрудников может пользователь с правами администратора, поэтому в регламенте увольнения полезно заранее назначить второго администратора: если единственный администратор сам увольняется, компания остаётся без управления доступами.
Лайфхак: после исполнения документы уходят во вкладку «Архив» и остаются доступными сотрудникам, у которых есть право доступа к электронному архиву. Блокируя учётную запись увольняемого, отдельно проверьте, не остался ли у него доступ к архиву: это разные права.
Как проверить, что подпись больше не работает
Проверка идёт по двум разным вопросам: действует ли сертификат прямо сейчас и когда именно был подписан спорный документ. Первый вопрос решается статусом сертификата в реестре удостоверяющего центра, второй — содержимым самого файла подписи.
Проверьте статус сертификата и дату подписания документа
Добыто · Проверка подписи
Что за файл пришёл с документом
Загрузите файл — определим по расширению и содержимому: присоединённая это подпись или откреплённая, чем открыть и куда идти дальше. Архивы раскрываем и смотрим, что внутри.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Нет файла под рукой? Выберите расширение вручную:
Мы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся. Закройте страницу — и от файла не останется следов.
Файл откреплённой подписи — это отдельный файл рядом с документом, чаще всего с расширением p7s, sig или sgn. Внутри лежат сведения о подписанте, серийный номер сертификата, издатель и время подписания. Именно эти данные нужны, чтобы говорить с удостоверяющим центром предметно: заявление на прекращение действия сертификата подаётся не по фамилии, а по серийному номеру.
Отдельная тема — документы, подписанные до отзыва. Они не превращаются в недействительные: подпись оценивается на момент её создания. Но проверить это через год получится не всегда. Обычная подпись без дополнительных доказательств после прекращения действия сертификата покажет статус отозванного сертификата, и разбираться придётся вручную. Усовершенствованная подпись содержит штамп времени и ответ службы о статусе сертификата на момент подписания, поэтому проверяется автоматически и спустя годы.
Факт: штамп времени, ответ об актуальном статусе сертификата на момент создания подписи и архивная метка, заверяющая обе предыдущие метки, позволяют проверить подпись после того, как срок действия сертификата истёк. Для кадровых документов с длительными сроками хранения это единственный рабочий вариант.
Мария Ж, юрист со стажем более 20 лет: «Кадровые документы живут дольше сертификатов. Если электронный архив собирается из обычных подписей, через несколько лет вы получите пачку документов со статусом отозванного или истёкшего сертификата, и подлинность придётся подтверждать экспертизой. Переводите архив на усовершенствованные форматы со штампом времени, пока подписи ещё проверяются штатными средствами.»
Отзыв МЧД: главный рычаг работодателя
Машиночитаемая доверенность заменила бумажную доверенность на сотрудника и стала обязательным приложением к подписи физлица, когда человек действует от имени компании. Данные МЧД включают сведения о доверителе, представителе, перечень полномочий и срок действия, а сам документ представляет собой XML-файл, который проверяется программно, а не глазами.
Отзыв оформляется через тот же сервис, где доверенность создавалась, заявление на отзыв подписывается квалифицированной подписью руководителя, а сведения уходят в реестр ФНС. Создать, зарегистрировать и проверить доверенность можно в сервисе ФНС для работы с машиночитаемыми доверенностями: там же по номеру проверяется, активна доверенность или уже отозвана. Единые требования к форме доверенности утверждены приказом Минцифры России от 18.08.2021 № 857.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Полезно знать: полномочия в доверенности кодируются по классификатору, размещённому в Единой системе нормативной и справочной информации, каждое полномочие имеет код, дату и уникальный идентификационный номер. Компания вправе направить перечень собственных полномочий в Минцифры: заявку рассматривают 10 дней, после положительного решения на присвоение кодов отводится три рабочих дня.
Отдельно проверьте МЧД филиала и передоверие. Если уволенный руководитель филиала передоверял полномочия дальше по цепочке, отзыв основной доверенности нужно сопровождать проверкой всех выданных на её основе. Передоверие оформляется нотариально: нотариус проверяет данные, создаёт новую доверенность, подписывает её своей квалифицированной подписью и выгружает в информационную систему. Восстановить картину по такой цепочке без запроса нотариусу сложно, поэтому реестр выданных доверенностей ведут заранее, а не в день увольнения.
Важный нюанс из практики: в практике Добыто чаще теряется не сертификат, а именно доверенность. Компания аккуратно отключает учётные записи, а МЧД для налоговой отчётности продолжает висеть активной, потому что выпускал её бухгалтер, а не кадровая служба. Реестр доверенностей с датами и полномочиями закрывает этот разрыв.
Образцы документов для отзыва подписи и учёта сертификатов
Комплект под срочную блокировку: начните с реестра сертификатов, он покажет, какие ещё документы понадобятся.
| Документ | Скачать |
|---|---|
| Реестр сертификатов сотрудников (XLSX) | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
| Машиночитаемая доверенность: образец и структура XML | Скачать |
| Соглашение об использовании ПЭП и НЭП | Скачать |
| Протокол проверки электронной подписи (образец) | Скачать |
| Доверенность на получение сертификата ЭП | Скачать |
Токен, контейнер и журнал ЭЦП: что делать с носителем
Токен — это защищённое пин-кодом хранилище, а не сама подпись. ESMART Token ГОСТ, Рутокен и другие носители с российской криптографией отличаются тем, в каком режиме на них создан ключ, и именно режим определяет, что даёт возврат устройства.
Программный ключ генерируется криптопровайдером, при подписании ненадолго попадает в оперативную память компьютера и потому называется извлекаемым. Такой ключ бывает экспортируемым, и тогда контейнер копируется на другой носитель штатными средствами. Аппаратный ключ генерируется внутри криптоядра токена, никогда его не покидает и скопирован быть не может. Разница практическая: в первом случае копия ключа могла остаться на домашнем компьютере уволенного, во втором — нет.
Внимание: ключи, полученные в удостоверяющем центре ФНС, выдаются только в неэкспортируемом контейнере — по регламенту центра копировать их нельзя. Ключ, созданный в режиме обратной совместимости с КриптоПро CSP 4.0, может оказаться экспортируемым, и тогда возврат токена ничего не гарантирует.
Журнал ЭЦП — обычная кадровая дисциплина, которая экономит часы в день увольнения. В журнале учёта фиксируются модель и серийный номер носителя, серийный номер сертификата, срок его действия, дата выдачи работнику и дата возврата. На одном токене помещается несколько контейнеров, у одного человека может быть и рабочая подпись, и подпись для другой системы, поэтому запись «выдан токен» без перечня контейнеров бесполезна.
Важный нюанс из практики: учёт удобнее вести не в свободной таблице, а по календарю перевыпуска: сертификаты заканчиваются пачками, и компания, которая планирует перевыпуск заранее, обычно и увольнения проходит без авралов. В Добыто реестр сертификатов ведётся рядом с карточкой сотрудника, поэтому блокировка учётной записи и сверка выданных подписей выполняются в одном окне.
Мария Ж, HR-эксперт с 13-летним стажем: «Кадровая служба редко знает, сколько подписей у человека на руках. Мы закладываем в регламент увольнения одну строку: перед выдачей обходного листа сверить работника с реестром сертификатов и списком доверенностей. Пять минут сверки снимают недели последующих разбирательств с тем, кто и чем подписал документ.»
Что критично при разных сценариях увольнения
Универсальный порядок действий существует, но приоритеты в нём меняются: у грузчика и у бухгалтера с доверенностью на отчётность разные точки риска.
| Сценарий | Что критично | Что вторично |
|---|---|---|
| Линейный сотрудник, подписи только в КЭДО | Блокировка учётной записи, снятие с маршрутов | Обращение в удостоверяющий центр |
| Бухгалтер с МЧД для отчётности | Отзыв доверенности в реестре, выпуск новой на преемника | Изъятие носителя, если ключ неизвлекаемый |
| Руководитель филиала с правом передоверия | Проверка всей цепочки передоверия, запрос нотариусу | Смена пин-кодов на носителях |
| Дистанционный работник, носитель на руках | Отзыв МЧД и доступов, письменное требование вернуть токен | Физическое изъятие в день увольнения |
| Конфликтное увольнение с доступом к банк-клиенту | Одновременное закрытие всех каналов, письмо контрагентам и в банк | Плановый перевыпуск сертификатов |
Логика простая: чем шире внешние полномочия человека, тем раньше в списке стоит отзыв доверенности и тем менее значимо физическое владение токеном.
Когда срочная блокировка не нужна
Спешка избыточна, если сотрудник работал только в КЭДО с ПЭП, не имел ни одной доверенности и не был подписантом во внешних системах: достаточно штатной блокировки учётной записи в последний рабочий день. Не нужно требовать от человека прекращения действия личной УКЭП, если он получал её самостоятельно и использовал для собственных задач: это его сертификат, и требование выходит за пределы трудовых отношений. Не нужно и перевыпускать все сертификаты после каждого увольнения. Сертификат организации перевыпускается тогда, когда сменился указанный в нём человек или есть основания считать ключ скомпрометированным.
Цена ошибки: во что обходится незакрытая подпись
Прямой обязанности отзывать сертификат уволенного ни Трудовой кодекс, ни 63-ФЗ не устанавливают. Ответственность возникает не за отсутствие отзыва, а за последствия использования полномочий: обязанность своевременно отозвать доверенность лежит на организации-доверителе, и оспаривать документ, подписанный по действующей МЧД, компании придётся самостоятельно.
Считать стоит по трём статьям. Первая — оспаривание документа: судебные расходы и время юриста на дело, где вторая сторона добросовестно полагалась на действующую доверенность в реестре. Вторая — кадровые нарушения, которые вскрываются при разборе: за нарушение трудового законодательства часть 1 статьи 5.27 КоАП РФ предусматривает штраф на юридическое лицо от 30 000 до 50 000 рублей. Третья — хранение: кадровые документы, законченные делопроизводством после 1 января 2003 года, хранятся 50 лет, и подпись в них должна проверяться все эти годы, а не до ближайшего отзыва сертификата.
Отдельный риск — увольнение по электронному заявлению, поданному чужой подписью. Практика по КЭДО показывает, что работодателю приходится доказывать не только факт подписания, но и то, что волеизъявление исходило от работника. Отсюда рабочее правило: приказ об увольнении и ознакомление с ним оформляются на бумаге, поскольку статья 22.3 ТК РФ выводит из электронного документооборота приказ об увольнении, акт о несчастном случае на производстве и документы о прохождении инструктажей по охране труда.
Стоимость КЭДО и электронных подписей для сотрудников
Стоимость складывается из численности штата, набора нужных видов подписи и требований к интеграции с учётной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата на тарифе «Бизнес» за 50 сотрудников | 30 000 ₽ в год | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API | по запросу | рассчитывается индивидуально |
| Выпуск подписей ПЭП и УНЭП для сотрудников | входит в тариф | в рамках подключения |
| УКЭП через партнёров-удостоверяющих центров | по запросу | рассчитывается индивидуально |
| Интеграция с 1С:ЗУП готовым модулем | входит в тариф «Бизнес» | установка за один день |
Итоговая сумма зависит от численности и выбранного набора функций: электронный архив, кастомные шаблоны и приоритетная поддержка входят в тариф «Бизнес», выделенный сервер и персональный менеджер — в «Корпорацию». Состав каждого тарифа и условия перехода между ними приведены на странице тарифов ДОБЫТО КЭДО.
Для расчёта под конкретную численность имеет значение минимальный порог: на тарифе «Бизнес» оплата начинается с 50 сотрудников за 30 000 ₽ в год, поэтому компаниям до 25 человек обычно подходит «Старт».
Выводы
Срочная блокировка подписи уволенного сводится к трём действиям в правильном порядке: отозвать машиночитаемую доверенность, закрыть доступы во всех системах, принять носитель по акту и зафиксировать даты. Сертификат физического лица работодатель не отзывает, это делает владелец или удостоверяющий центр, вносящий запись в реестр в течение 12 часов. Документы, подписанные до отзыва, сохраняют силу, но проверяются через годы только тогда, когда подпись содержит штамп времени и сведения о статусе сертификата на момент подписания.
Мы в Добыто выстраиваем увольнение как часть жизненного цикла подписи: реестр сертификатов, роли администраторов, маршруты согласования и электронный архив ведутся так, чтобы отключение сотрудника не ломало документооборот и не оставляло открытых полномочий.
Частые вопросы
Обязана ли компания отзывать сертификат уволенного по закону?
Прямой обязанности нет ни в Трудовом кодексе, ни в 63-ФЗ: квалифицированный сертификат принадлежит физическому лицу, и работодатель не может им распорядиться. Обязательным является другое действие — отзыв машиночитаемой доверенности, поскольку ответственность за своевременный отзыв несёт организация-доверитель.
Сотрудник забыл вернуть токен и не выходит на связь. Что делать?
Отзовите все доверенности и заблокируйте доступы: без действующей МЧД подпись физлица не работает от имени компании. Затем направьте письменное требование вернуть носитель с описанием модели и серийного номера, а факт невозврата зафиксируйте актом. Если ключ создавался как неизвлекаемый, скопировать его нельзя, и риск ограничивается самим устройством.
Можно ли отозвать МЧД, выданную руководителю филиала?
Да, отзыв оформляет доверитель через сервис, где доверенность создавалась. Сложность возникает при передоверии: доверенности, выданные в порядке передоверия, оформляет нотариус и выгружает в информационную систему, поэтому цепочку нужно проверять отдельно, а не считать её закрытой автоматически.
Останутся ли действительными документы, подписанные до отзыва?
Да, подпись оценивается на момент её создания, а прекращение действия сертификата работает на будущее: оно наступает с момента внесения записи в реестр сертификатов. Вопрос не в юридической силе, а в проверяемости: после отзыва обычная подпись будет показывать статус недействительного сертификата, поэтому значимые документы стоит усовершенствовать штампом времени.
Как понять, какие подписи вообще были у сотрудника?
Сведения берутся из трёх источников: реестр сертификатов компании, свойства самого сертификата на носителе с полями владельца, издателя, серийного номера и срока действия, и файлы подписи с расширением p7s, sig или sgn рядом с подписанными документами. По серийному номеру удостоверяющий центр однозначно определяет, о какой подписи идёт речь.
Нужно ли писать письмо контрагентам об увольнении подписанта?
Если сотрудник подписывал документы во внешнем обмене, письмо направляется в день увольнения: в нём указывается дата прекращения полномочий и данные нового подписанта. Это снимает вопрос о добросовестности контрагента, который иначе продолжит принимать документы, подписанные по знакомой ему схеме.
Что делать, если сертификат выпускался на организацию по старой схеме?
Такие сертификаты содержали и фамилию сотрудника, и наименование юридического лица, поэтому при увольнении указанного в сертификате человека организация обращается в удостоверяющий центр за прекращением действия и выпуском нового сертификата. Действующая схема другая: подпись выдаётся физическому лицу, а полномочия подтверждает машиночитаемая доверенность.
