Что такое ЭЦП простыми словами и зачем она нужна каждому

ЭЦП — это устаревшее название электронной подписи: аббревиатура осталась от закона 2002 года, а действующий 63-ФЗ от 06.04.2011 знает только термин «электронная подпись» и три её вида. Простая подпись (ПЭП) — это логин с паролем или код из SMS. Усиленная неквалифицированная (УНЭП) и усиленная квалифицированная (УКЭП) построены на криптографии: закрытый ключ создаёт подпись, открытый ключ и сертификат позволяют её проверить, а любая правка в файле после подписания ломает проверку. Для работника главное различие такое: трудовой договор, договор о материальной ответственности, ученический договор и заявление об увольнении подписываются только усиленной подписью, а для ознакомления с локальными нормативными актами и внутренних уведомлений хватает простой.

Разберём, чем ПЭП отличается от УНЭП и УКЭП, какие документы закон запрещает переводить в электронный вид, где сотрудник получает подпись бесплатно и почему рядом с договором лежит второй файл с расширением p7s или sig. Покажем, что записать себе в журнал ЭЦП, чтобы не искать данные сертификата при увольнении. Сценарная таблица типовых сбоев, порядок действий при забытом пароле контейнера, требования к данным МЧД для филиала и тарифы на 2026 год — во второй половине статьи.

Что такое ЭЦП простыми словами и почему в законе такого термина уже нет

Аббревиатура ЭЦП пришла из закона № 1-ФЗ «Об электронной цифровой подписи», который давно утратил силу. Сейчас всё регулирует 63-ФЗ «Об электронной подписи», и в нём есть только «электронная подпись». В разговоре ЭЦП, ЭП и электронная подпись означают одно и то же. В документах формулировка другая: инспектор ГИТ и суд смотрят, какой именно вид подписи по 63-ФЗ стоит на конкретном документе.

Электронная подпись — не картинка с росчерком и не синяя печать в углу PDF. Усиленная подпись собирается из трёх связанных частей:

• Закрытый ключ. Секретная часть, которой формируется подпись. Доступ к ней должен быть только у владельца.
• Открытый ключ. Публичный набор символов, по которому кто угодно проверяет: подпись сделана парным закрытым ключом и документ после подписания не менялся.
• Сертификат. Электронный документ, который связывает открытый ключ с человеком. В нём указано, кому выдана подпись, какой удостоверяющий центр её выдал и в какой период она действует.

Подписывается не сам файл целиком, а его хеш — короткая контрольная сумма содержимого. Поменяли в документе один символ, дату или сумму — хеш стал другим, и проверка покажет расхождение. Именно поэтому подписанный электронный документ нельзя «поправить»: любая правка превращает его в неподписанный.

Отдельная путаница возникает из-за штампа, который многие сервисы рисуют на первой странице PDF. Этот штамп нужен человеку, чтобы глазами увидеть отметку о подписании. Юридической силы он не несёт. В спорной ситуации смотрят исходный электронный файл и файл подписи, а не изображение штампа.

Мария Ж, специалист по цифровой подписи и КЭДО: «Самая частая ошибка сотрудника — распечатать документ со штампом подписи и считать, что оригинал у него на руках. Оригинал электронный. Штамп на PDF нужен для наглядности, а доказательством служит связка исходного файла, файла подписи и сведений о сертификате. Если вам прислали только распечатку, запросите у кадровой службы выгрузку самих файлов.»

В практике Добыто это самый частый вопрос от сотрудников после первого подписания: где мой экземпляр и что показывать, если попросят подтвердить. Экземпляр лежит в личном кабинете и доступен работнику всё время действия трудовых отношений.

Виды ЭЦП: чем ПЭП, УНЭП и УКЭП отличаются друг от друга

63-ФЗ делит подписи на простую и усиленную, а усиленную — на неквалифицированную и квалифицированную. Механизм создания у УНЭП и УКЭП технически одинаковый, различия лежат в юридической плоскости: кто выпустил сертификат и нужно ли отдельное соглашение сторон, чтобы подпись признавали.

Из таблицы следует практический вывод для сотрудника: ПЭП работает только внутри той системы, где вы завели учётную запись, и только по договорённости с работодателем. УКЭП принимают везде без дополнительных соглашений, но и получить её сложнее.

У УНЭП есть подвид, который часто путают с обычной неквалифицированной подписью. Это УНЭП, созданная с использованием инфраструктуры электронного правительства: её выпускают в приложении Госключ по правилам постановления Правительства РФ от 01.12.2021 № 2152. Такая подпись не требует отдельного соглашения об её признании: доверие к ней заложено в самом порядке выдачи, потому что личность подтверждена учётной записью на Госуслугах.

Проверьте подпись на своём документе прямо сейчас

Добыто · Проверка подписи

Что за файл пришёл с документом

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Загрузите файл — определим по расширению и содержимому: присоединённая это подпись или откреплённая, чем открыть и куда идти дальше. Архивы раскрываем и смотрим, что внутри.

Файл остаётся на вашем устройстве — мы его не получаем и не храним

Перетащите файл сюда или выберите на устройстве

.sig · .sgn · .p7s · .p7m · .pdf · .xml · .docx · .zip и другие. Ничего никуда не отправляется: файл читается кодом страницы прямо в вашем браузере.

Нет файла под рукой? Выберите расширение вручную:

.sig .sgn .p7s .pdf .xml .docx .zip

Проверить подпись онлайн в Добыто

Мы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся. Закройте страницу — и от файла не останется следов.

Какие кадровые документы чем подписывают и что нельзя перевести в электронный вид

Статья 22.3 ТК РФ прямо перечисляет случаи, когда простой подписи недостаточно. При заключении трудового договора, договора о материальной ответственности, ученического договора и договора на получение образования, а также при подписании согласия на перевод и заявления об увольнении работник использует усиленную подпись: квалифицированную либо неквалифицированную. Работодатель в этих же случаях подписывает документы своей УКЭП.

Исключение сделано для портала «Работа в России». Там работник вправе подписывать те же документы простой электронной подписью, ключ которой получен при личной явке по правилам, установленным Правительством РФ для получения госуслуг. Технически это ваша подтверждённая учётная запись на Госуслугах. Дополнительно система ставит на документ отметку Федеральной службы по труду и занятости с номером сертификата и сроком его действия: она подтверждает, что после вашего подписания документ не менялся.

Остальные кадровые документы работодатель вправе подписывать УНЭП по соглашению с работником или УНЭП, полученной через инфраструктуру электронного правительства. Выбранный порядок закрепляется в локальном нормативном акте о ведении КЭДО: там указывают, в какой системе ведётся документооборот, какие документы каким видом подписи подписываются и какие варианты доступны сотруднику.

Важный нюанс из практики: в положении о КЭДО компания вправе перечислить несколько допустимых видов подписи, и часть работодателей так и делает: одни документы подписываются облачной подписью, другие через Госключ. Когда вариант остаётся один, обращений от сотрудников заметно меньше: не нужно каждый раз выяснять, чем подписывать именно этот документ.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Часть кадровых документов вообще нельзя вести в электронном виде. Часть 3 статьи 22.1 ТК РФ оставляет на бумаге:

1. Трудовую книжку и формируемые в соответствии с ТК РФ сведения о трудовой деятельности.
2. Акт о несчастном случае на производстве по установленной форме.
3. Приказ (распоряжение) об увольнении работника.
4. Документы, подтверждающие прохождение работником инструктажей по охране труда, включая те, что работник подписывает лично.

Если работодатель прислал вам на подпись в электронном виде приказ об увольнении, это нарушение независимо от того, какой подписью документ подписан. Проверить формулировку нормы и актуальную редакцию статьи можно на сайте Роструда, где ведомство публикует разъяснения по применению трудового законодательства.

Где сотрудник берёт подпись: Госключ, система работодателя и токен

Работнику доступны три сценария, и различаются они тем, где физически лежит закрытый ключ.

Госключ. Мобильное приложение Минцифры, доступное в маркетах для Android, iOS и Huawei. Закрытая часть ключа хранится на самом смартфоне, доступа к ней нет ни у ведомства, ни у работодателя. Порядок выпуска и подписания описан на странице приложения Госключ на портале госуслуг.

Кейс из практики: оформление приказа на отпуск в бумажном виде требует от сотрудника дороги в офис и ожидания у кадровой службы, а у дистанционного работника упирается в курьера. При отправке того же приказа в Госключ путь от нажатия «Отправить сотруднику» до документа с двумя подписями занимает менее минуты: в записи одной из демонстраций весь цикл уложился в 52 секунды при уже установленном приложении.

Подпись, выпущенная работодателем. УНЭП формируется в информационной системе компании или её удостоверяющим центром. Ключ при этом хранится в облаке, а вы подтверждаете операцию в личном кабинете. Ответственность за компрометацию ключей в облачной схеме лежит на стороне, которая их хранит.

Токен. Аппаратный носитель в виде USB-устройства или смарт-карты: Рутокен, JaCarta, ESMART. На токене можно хранить и УКЭП, и УНЭП. Ключи делятся на извлекаемые, которые на время операции подгружаются в память компьютера, и неизвлекаемые, которые формируются внутри криптоядра токена и никогда его не покидают. Скопировать неизвлекаемый ключ невозможно, и это главный аргумент в пользу такого носителя.

Для работы с токеном на компьютере нужен криптопровайдер. В российском контуре это чаще всего CryptoPro CSP: он ставится отдельной программой и требует лицензии. Распространённое заблуждение звучит так: раз в токене есть встроенная криптография, отдельная программа не нужна. Встроенное криптоядро носителя криптопровайдер не заменяет: CryptoPro CSP всё равно устанавливается на компьютер, и в него вводится лицензия.

Если вы работодатель и читаете этот раздел с мыслью, что выдать подписи всем сотрудникам сложно, отдельный штат криптоспециалистов для этого не требуется: в сервисе Добыто ПЭП и УНЭП выпускаются сотруднику из личного кабинета, а заявка на выпуск создаётся автоматически при отправке первого документа на подпись.

Мария Ж, соучредитель сервиса КЭДО Добыто: «Мы всегда закладываем пилотную группу до раскатки на всю компанию. На пилоте видно, у кого не установлено приложение, у кого не подтверждена учётная запись на Госуслугах и кто физически не может выпустить УКЭП из-за старого загранпаспорта. Эти три причины дают основную часть срывов сроков подписания, и закрываются они до старта, а не в день приёма новых сотрудников.»

Образцы заявлений и памяток по электронной подписи

Комплект для сотрудника и кадровой службы: начните с заявления на выпуск сертификата, если подпись оформляется через удостоверяющий центр.

Почему рядом с документом лежит второй файл: p7s, sig и sgn

При подписании возможны два результата, и они выглядят по-разному в папке.

Присоединённая подпись упаковывается в один контейнер вместе с документом. Файлов остаётся столько же, но открыть исходный документ обычными средствами уже нельзя: нужна программа, которая умеет разбирать контейнер. Если документ подписывает вторая сторона, её подпись накладывается на уже сформированный контейнер.

Откреплённая подпись создаёт отдельный файл рядом с документом: договор.pdf и договор.pdf.sig. Расширение зависит от программы: p7s, sig, sgn, реже sign или bin. Содержимое при этом одно и то же — контейнер формата CMS, в котором лежат значение подписи, сведения о подписанте, сертификаты и данные для проверки отзыва. Расширение p7s прямо указывает на стандарт PKCS#7, но это вопрос имени файла, а не другой технологии.

Файл подписи без документа проверить невозможно, документ без файла подписи ничего не доказывает. Пересылают их парой и с исходными именами: после переименования документа программа проверки перестаёт связывать его с подписью.

Как отправить документ с электронной подписью по почте: пошаговая инструкция

1. Шаг 1. Определите, какая подпись у вас получилась. Если рядом с документом появился второй файл, подпись откреплённая. Если файл остался один, но перестал открываться просмотрщиком, подпись присоединённая.
2. Шаг 2. Проверьте подпись до отправки. Загрузите документ и файл подписи в сервис проверки и убедитесь, что сертификат действителен, а подпись соответствует файлу.
3. Шаг 3. Вложите в письмо оба файла при откреплённой подписи и сохраните исходные имена. Переименование документа разрывает пару и вынуждает получателя угадывать соответствие.
4. Шаг 4. Приложите машиночитаемую доверенность и файл её подписи, если подписываете не от своего имени, а от лица компании по доверенности.
5. Шаг 5. Не заменяйте электронный оригинал распечаткой со штампом подписи и не пересылайте документ в архиве с паролем, если получатель не предупреждён: часть почтовых систем такие вложения не пропускает.
6. Шаг 6. Зафиксируйте отправку: дату, адресата, имена обоих файлов и срок действия сертификата. Эта запись пригодится, если получатель скажет, что документ не дошёл или не проверился.

МЧД: когда одной подписи сотруднику мало

Раньше сертификат сотрудника содержал название компании и должность, и этого хватало, чтобы подписывать документы от её имени. Сейчас порядок другой: сертификаты выпускаются на физическое лицо, а полномочия подтверждаются машиночитаемой доверенностью. С 1 сентября 2024 года применение МЧД при подписании электронных документов представителями организаций стало обязательным. Руководитель получает подпись в удостоверяющем центре ФНС, сотрудники — сертификаты физического лица в аккредитованных удостоверяющих центрах.

МЧД похожа на обычную доверенность и даже выгружается в PDF для чтения, но исходно это XML-файл. Требования к содержанию установлены приказом Минцифры России от 18.08.2021 № 857. Данные МЧД включают наименование документа со словом «Доверенность», номер, срок действия, сведения о доверителе и представителе и перечень полномочий. Полномочия задаются кодами из классификатора, который размещён в Единой системе нормативной и справочной информации: у каждого полномочия есть код, дата и уникальный идентификационный номер. Коды нужны, чтобы доверенность читал не человек, а алгоритм приёмной системы и автоматически решал, вправе ли подписант подписывать конкретный документ.

Важный нюанс из практики: классификатор полномочий пока наполнен преимущественно полномочиями государственных органов. Компания вправе направить в Минцифры перечень собственных полномочий: заявку рассматривают в течение 10 дней и принимают решение о включении или мотивированном отказе, а на присвоение кодов и внесение в классификатор отводится три рабочих дня. Пока переходный период не закончен, полномочие допустимо вписывать текстом.

Для сотрудника филиала есть отдельный нюанс: доверителем в МЧД теперь может выступать не только головное юридическое лицо, но и филиал, представительство или иное обособленное подразделение. Это снимает необходимость каждый раз выпускать доверенность от имени головной организации.

Мария Ж, юрист со стажем более 20 лет: «При увольнении сотрудник обычно помнит про пропуск и ноутбук и забывает про сертификат, который остался в реестре рабочего компьютера. Удаление сертификата с машины его не отзывает. Отзыв оформляется заявлением в тот удостоверяющий центр, который выдавал подпись, и подать его заинтересован прежде всего сам владелец: до отзыва ключ формально остаётся действующим.»

Что ломается на практике: забыл пароль, подпись не проходит проверку, истёк сертификат

Самая частая ситуация из тех, что вообще не чинятся, связана с Госключом. Доступ к приложению защищён паролем, который вы задали при входе, и другого способа войти нет. Забыли пароль или удалили приложение — доступ к выпущенной подписи потерян. Придётся выпускать новую подпись, и это будет уже другая подпись со своим сроком действия, а не восстановленная старая. Ранее подписанные документы при этом остаются действительными: проверка опирается на сертификат, действовавший на момент подписания.

Вторая типовая проблема — разрыв цепочки сертификатов. У квалифицированной подписи цепочка доверия выстроена от Минцифры через аккредитованный удостоверяющий центр к вашему сертификату, и корневые сертификаты обычно устанавливаются автоматически при выпуске. У неквалифицированной подписи корневой сертификат в систему сам не попадает: операционная система не доверяет всему подряд. Пока корневой сертификат не установлен вручную как доверенный, подпись создать не получится, а программа будет сообщать, что не найден корневой сертификат.

Третья проблема проявляется отложенно. Сертификат действует, как правило, год. Когда срок истёк, встаёт вопрос: а когда именно был подписан документ и действовал ли сертификат в тот момент? Ответ даёт усовершенствованная подпись, к которой при подписании добавляется штамп доверенной службы времени и ответы службы проверки статуса сертификата. Штамп содержит точное время и хеш подписываемого документа, поэтому и через несколько лет видно, что подпись поставлена в период действия сертификата и он не был отозван заранее.

Что критично и что вторично в зависимости от вашей ситуации

Во что обходится ошибка с электронной подписью

Цена ошибки считается не стоимостью перевыпуска сертификата. В судебной практике по кадровому ЭДО работники оспаривали подписание документов усиленной подписью, и суды вставали на их сторону. В одном деле сотрудник крупного банка заявил, что не подписывал соглашение об увольнении по соглашению сторон: подпись была выпущена на токене, а токены хранились в сейфе, доступ к которому не был закрыт. В другом деле работник розничной сети думал, что подписывает заявление на оплату больничного, а подписал заявление об увольнении по собственному желанию. В обоих случаях увольнение признали незаконным, сотрудника восстановили и взыскали средний заработок за время вынужденного прогула и компенсацию морального вреда.

Суд в таких спорах проверяет не только сам факт наличия подписи. Изучаются документы, которыми в компании введён КЭДО, действовал ли сертификат на момент подписания и подтверждается ли, что на подпись был передан именно тот документ, который оказался подписан. Для работника вывод простой: читайте, что подписываете, и не подтверждайте операцию, пока не открыли документ целиком.

Мария Ж, судебный эксперт по трудовому праву: «В спорах о кадровом ЭДО решает не подпись сама по себе, а полнота комплекта: положение о КЭДО, согласие работника, сведения о сертификате и подтверждение, что подписан был именно переданный документ. Если работодатель не может показать эту цепочку, наличие технически корректной подписи его не спасает. Работнику имеет смысл сразу после подписания выгружать документ вместе с файлом подписи и хранить у себя.»

Журнал ЭЦП: что записывает работодатель и что стоит записать себе

Компания ведёт учёт выданных сертификатов и носителей: кому выдан токен, какой сертификат на нём записан, когда истекает срок, кто и когда его вернул. Это и есть журнал ЭЦП в кадровом смысле. Сотруднику полезно завести себе короткую выписку из четырёх строк: серийный номер сертификата, кто его выдал, дата окончания действия и способ хранения ключа. Эти данные видны в свойствах сертификата и понадобятся при увольнении, при обращении в удостоверяющий центр за отзывом и при любом споре о том, чем именно был подписан документ. В Добыто выгрузка по сотруднику собирается одним архивом: документ, файл подписи и сведения о сертификате идут вместе, поэтому восстанавливать данные по частям не приходится.

Когда электронная подпись вам не нужна

Отдельная подпись не требуется, если вы взаимодействуете с работодателем только через портал «Работа в России»: там достаточно подтверждённой учётной записи на Госуслугах. Не нужна она и в том случае, когда компания не переходила на КЭДО: без утверждённого локального нормативного акта и вашего письменного согласия работодатель не вправе требовать электронного подписания кадровых документов. Отказ от перехода на КЭДО не может быть основанием для отказа в приёме на работу или для увольнения. И, наконец, ни одна электронная подпись не заменит бумагу в четырёх случаях из части 3 статьи 22.1 ТК РФ, перечисленных выше.

Стоимость подключения КЭДО и электронных подписей для сотрудников

Стоимость зависит от численности персонала и от набора функций. Электронные подписи ПЭП и УНЭП для сотрудников входят в тариф и отдельной строкой не оплачиваются.

Итоговая сумма складывается из численности сотрудников и выбранного тарифа: на «Бизнесе» действует минимальный годовой платёж, поэтому компании до 25 человек обычно выгоднее «Старт». Состав функций по каждому тарифу и условия перехода между ними опубликованы на странице тарифов ДОБЫТО КЭДО.

Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ о персональных данных, а тариф можно повысить или понизить в любое время: при повышении разница пересчитывается пропорционально оставшемуся периоду.

Выводы

ЭЦП — разговорное имя электронной подписи, а различает виды подписи закон: простая подтверждает только авторство, усиленная дополнительно фиксирует, что документ после подписания не менялся. Для работника критичны три вещи: какой подписью подписывается конкретный документ по статье 22.3 ТК РФ, где хранится закрытый ключ и что делать, если доступ к нему потерян. Файл с расширением p7s или sig — это не приложение к документу, а вторая половина пары, без которой проверка невозможна. А полномочия подписывать от имени компании с 2024 года подтверждаются машиночитаемой доверенностью, а не записью о должности в сертификате.

Мы в Добыто подключаем компании к кадровому электронному документообороту вместе с выпуском подписей для сотрудников и настраиваем маршруты так, чтобы работник видел документ до подписания, а кадровая служба — статус каждого экземпляра. Разбор спорных ситуаций с подписью и подготовка положения о КЭДО входят в работу по внедрению.

Частые вопросы об ЭЦП

Можно ли одному человеку иметь несколько электронных подписей одновременно?

Да, ограничений нет. Сотрудник может держать сертификат на токене, полученный в удостоверяющем центре, и одновременно подпись в Госключе или сертификат, записанный в реестр рабочего компьютера. Все они действуют параллельно. Важно другое: если вы подписываете документ по машиночитаемой доверенности, использовать нужно ту подпись, чьи данные указаны в самой МЧД, иначе приёмная система не свяжет подписанта с доверенностью.

Что происходит с подписанными документами, когда срок сертификата истёк?

Документы остаются действительными: проверка опирается на статус сертификата в момент подписания, а не на текущий. Но подтвердить этот момент можно только при наличии штампа доверенной службы времени. Если подпись создавалась без штампа, через год после окончания срока сертификата доказывать дату подписания придётся косвенными данными: логами входов и действий в системе.

Работодатель требует перейти на КЭДО, а я не хочу. Могут ли меня уволить?

Нет. Переход на электронный документооборот возможен только с письменного согласия работника, и отказ не является основанием для увольнения или для отказа в приёме на работу. При отказе работодатель продолжает оформлять ваши кадровые документы на бумаге за свой счёт. Согласие оформляется отдельным заявлением, а порядок закрепляется в локальном нормативном акте.

Чем облачная подпись отличается от подписи на токене и что безопаснее?

При облачном хранении закрытый ключ лежит на сервере удостоверяющего центра, и ответственность за его компрометацию несёт центр. Расследование утечки тоже на его стороне. На токене ключ может быть неизвлекаемым: он формируется внутри криптоядра носителя и никогда его не покидает, скопировать такой ключ невозможно. Ограничение облачной схемы в том, что она работает только на сервисах, где интегрировано программное обеспечение конкретного удостоверяющего центра.

Мне прислали файл с расширением sgn. Он зашифрован?

Нет. Sgn, p7s и sig — варианты имени для файла откреплённой подписи, а не признак шифрования. Внутри лежит контейнер с подписью, сертификатом подписанта и данными для проверки. Чтобы прочитать сам документ, он нужен отдельным файлом: подпись его не содержит и не заменяет. Если исходного документа нет, запросите его у отправителя, проверить подпись без него нельзя.

Можно ли подписать электронной подписью само письмо, а не вложение?

Да, для этого используются почтовые клиенты с поддержкой российских криптоалгоритмов: подпись и шифрование накладываются на тело письма. На практике этот сценарий встречается редко, потому что требует настроенного клиента у обеих сторон. В большинстве случаев подписывают вложение, а письмо служит сопроводительным текстом. Если вторая сторона такой клиент не использует, подписанное письмо она прочитать не сможет.

Что делать, если подпись не проходит проверку у получателя?

Начните с проверки пары файлов: получатель мог сохранить документ под другим именем или открыть его и пересохранить, что меняет содержимое и ломает подпись. Дальше проверьте статус сертификата: он мог быть отозван. Третья причина — не установленный у получателя корневой сертификат удостоверяющего центра, из-за чего цепочка доверия обрывается. Порядок проверки удобно вести по чек-листу диагностики и фиксировать результат протоколом проверки подписи.