Дополнительная ЭЦП сотруднику нужна не всегда: сертификат принадлежит физическому лицу, а не должности, и полномочия действовать от имени компании подтверждает машиночитаемая доверенность, а не отдельный ключ. Сертификаты с реквизитами юрлица на сотрудников не выдаются с 1 сентября 2023 года, а выданные до 31 августа 2023 года действовали до конца своего срока, но не дольше 31 августа 2024 года. Две действующие подписи у одного человека законом не запрещены. Главное различие в другом: для внешнего документооборота от имени компании работнику достаточно одного сертификата физлица плюс МЧД на каждое юрлицо, а для кадровых документов внутри системы КЭДО работнику выпускают отдельную УНЭП в самой системе, и расходы на её получение и использование несёт работодатель по статье 22.2 ТК РФ.
Покажем, как за несколько минут определить, годится ли имеющаяся подпись под конкретную задачу, и в каких четырёх случаях второй ключ действительно придётся заводить: неэкспортируемый контейнер УЦ ФНС, требования отдельных государственных систем к формату ключа, одновременная работа на нескольких рабочих местах и разделение личной и рабочей подписи. Дадим порядок оформления, реестр учёта сертификатов и разбор ситуации, когда сотрудник забыл пароль от Госключа или PIN-код токена. Тарифы и стоимость подключения на 2026 год, образцы заявлений и согласий, ответы на частые вопросы кадровиков собраны во второй половине статьи.
Когда сотруднику хватает имеющейся подписи, а когда нужна вторая
Электронная подпись выдаётся физическому лицу и следует за человеком, а не за его должностью. После 1 сентября 2023 года удостоверяющие центры выпускают сотрудникам сертификат физлица, в котором нет сведений о принадлежности к организации. Полномочия подтверждаются машиночитаемой доверенностью, подписанной УКЭП руководителя. Классический пример: бухгалтер на аутсорсе, обслуживающий три компании, раньше покупал три сертификата, теперь ему нужен один сертификат физлица и три МЧД.
Прежде чем оформлять заявку в удостоверяющий центр, ответьте на четыре вопроса о том ключе, который у сотрудника уже есть: кем выдан сертификат, до какой даты он действует, где физически лежит закрытая часть ключа и какие документы им допустимо подписывать. Ответы на первые два вопроса видны в самом сертификате, третий определяется носителем, четвёртый — видом подписи и вашим локальным нормативным актом.
Таблица сводит виды подписи, которые встречаются у работников, и показывает, закрывает ли каждая из них задачу без выпуска второго ключа.
| Что уже есть у работника | Где выпускается | Что закрывает | Нужен ли второй ключ |
|---|---|---|---|
| ПЭП: учётные данные информационной системы, ПЭП ЕСИА на портале «Работа в России» | учётная запись работодателя, подтверждённая учётная запись Госуслуг | ознакомление с ЛНА, обмен кадровыми документами на портале «Работа в России» | да, если нужны трудовой договор или внешний ЭДО |
| УНЭП, выпущенная в системе КЭДО | удостоверяющий центр оператора или сам работодатель | кадровые документы внутри системы при подписанном соглашении об использовании подписи | нет для кадровых документов, да для документооборота с контрагентами |
| УНЭП в Госключе, созданная с использованием инфраструктуры электронного правительства | мобильное приложение Госключ, правила установлены постановлением Правительства от 01.12.2021 № 2152 | кадровые документы без отдельного соглашения сторон о признании подписи | нет |
| УКЭП физлица из аккредитованного удостоверяющего центра | коммерческий УЦ, аккредитованный Минцифры | документы от имени компании при действующей МЧД, работа с госпорталами | нет, вместо второго ключа оформляется МЧД |
| УКЭП руководителя из УЦ ФНС | УЦ ФНС, первичная выдача лично, один сертификат на организацию | подписание от имени юрлица без доверенности | передать сотруднику нельзя, ключ записывается без права копирования |
| УКЭП в Госключе | приложение Госключ, нужны биометрический загранпаспорт нового образца и телефон с NFC | тот же объём документов, что и УКЭП на токене | нет |
Из таблицы следует практический вывод для кадровика: заявка в удостоверяющий центр оправдана только в двух нижних строках, а в остальных случаях задача решается доверенностью или подключением работника к системе.
Когда вторая подпись не нужна
Ключ не заводят, если работник уже подписывает кадровые документы УНЭП внутри системы КЭДО, а от него хотят получить подпись на дополнительном соглашении или приказе того же работодателя. Не нужна вторая подпись и при переходе сотрудника в другое подразделение или на другую должность внутри той же компании: сертификат физлица к должности не привязан. Наконец, истечение срока действия МЧД не требует нового сертификата, а истечение сертификата не требует новой МЧД: эти документы между собой не связаны.
Полезно знать: в реквизитах сертификата не указывается МЧД, а в реквизитах МЧД не указывается сертификат. Доверенность выдаётся на срок до 5 лет, и за это время работник может сменить несколько сертификатов: перевыпускать из-за этого доверенность не требуется.
Как разобраться, какая подпись у сотрудника уже есть
Работник редко может внятно ответить, какая у него подпись. Формулировки вида «мне ЭЦП в налоговой делали» и «у меня подпись в телефоне» встречаются чаще, чем точное название сертификата. Разбирать приходится по трём следам: файл подписи на документе, содержимое носителя и запись в реестре компании.
Файл подписи говорит о многом. Присоединённая подпись означает, что документ и подпись лежат в одном файле, и открыть исходный документ без криптографического приложения не получится. Отсоединённая подпись создаёт рядом с документом отдельный файл, и на проверку нужно подавать оба. Расширение при этом ни на что не влияет юридически: в параметрах подписания КриптоАРМ ГОСТ доступны пять вариантов имени файла подписи, включая sig, p7s, sgn, sign и bin, а содержимое остаётся структурой CAdES.
Проверьте действующий сертификат сотрудника до подачи заявки
Проверка файла подписи показывает, кем и когда подписан документ и действует ли сертификат на дату проверки. Этого достаточно, чтобы понять, есть ли смысл выпускать второй ключ или хватит продления существующего.
Добыто · Проверка подписи
Что за файл пришёл с документом
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Загрузите файл — определим по расширению и содержимому: присоединённая это подпись или откреплённая, чем открыть и куда идти дальше. Архивы раскрываем и смотрим, что внутри.
Файл остаётся на вашем устройстве — мы его не получаем и не хранимНет файла под рукой? Выберите расширение вручную:
Мы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся. Закройте страницу — и от файла не останется следов.
Отдельная причина ошибок при проверке связана не с самой подписью, а с цепочкой сертификатов. Для УКЭП цепочка доверенная и корневые сертификаты устанавливаются вместе с сертификатом. Для УНЭП корневые сертификаты автоматически не ставятся, поэтому криптопровайдер сообщает, что не найден корневой сертификат. Разрыв цепочки лечится установкой корневого сертификата, а не выпуском новой подписи.
Мария Ж, специалист по цифровой подписи и КЭДО: «Перед тем как согласовывать сотруднику новый сертификат, я прошу прислать любой недавно подписанный им файл вместе с файлом подписи. За пять минут видно, кем выдан сертификат, до какой даты он действует и годится ли он под задачу. В половине обращений выясняется, что подпись рабочая, а проблема была в неустановленном корневом сертификате.»
Один сертификат и несколько компаний: как работает МЧД
Машиночитаемая доверенность — это электронный документ в формате XML, который подписывает своей УКЭП руководитель организации. Состав сведений и формат закреплены приказами Минцифры № 857 и № 858, порядок формирования классификатора полномочий — приказом № 856. Доверенность подтверждает, что конкретное физическое лицо вправе подписывать документы от имени компании, и заменяет прежний сертификат сотрудника с реквизитами юрлица.
Проверить действующую доверенность можно по её номеру: сведения хранятся в распределённом реестре машиночитаемых доверенностей ФНС. Для получения полных сведений нужны три параметра: 36-значный номер доверенности, ИНН доверителя и СНИЛС доверенного лица. По этим данным видно, активна доверенность или её действие прекращено, и какие полномочия в ней указаны.
Филиалы и передоверие: где без нотариуса не обойтись
Нормы Гражданского кодекса о передоверии действуют для МЧД так же, как для бумажной доверенности. Нотариальное удостоверение не требуется в двух случаях: когда доверенность оформляется от юрлица в адрес другого юрлица и когда цепочка идёт через руководителя обособленного подразделения. Во всех остальных ситуациях, включая передачу полномочий внутри одной организации от главного бухгалтера к бухгалтеру, передоверие удостоверяется нотариально. Для филиальной сети это означает, что схему полномочий нужно проектировать заранее, а не по факту первой срочной отгрузки.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Расширение полномочий действующей доверенности невозможно: любое изменение XML-файла ломает подпись под ним. Добавили сотруднику новое полномочие — выпускается новая МЧД, старая остаётся действовать до отзыва или до окончания срока.
Мария Ж, юрист со стажем более 20 лет: «Просьба «выпустите человеку ещё одну подпись на вторую фирму» обычно означает, что в компании не завели МЧД. Один сертификат физлица плюс отдельная доверенность на каждое юрлицо закрывают этот сценарий полностью. Проверьте по списку своих организаций, на какие из них у сотрудника есть действующая доверенность: недостающие оформляются за один день.»
Четыре технические причины завести сотруднику второй ключ
Первая причина — неэкспортируемый контейнер. Ключ, выданный УЦ ФНС, записывается на токен без права копирования, и по регламенту такой контейнер скопировать нельзя. Если руководителю нужно, чтобы подписание шло с двух рабочих мест одновременно, вторым ключом становится сертификат физлица на отдельном носителе, а не копия ключа ФНС.
Внимание: в УЦ ФНС сертификат руководителя выдаётся один на организацию, первичная выдача проходит лично, доверенности на получение не принимаются. Планируйте выпуск заранее: получить ключ «за сотрудника» по доверенности не выйдет.
Вторая причина — требования конкретной информационной системы к формату ключа. Для участников алкогольного рынка, которые отчитываются через ЕГАИС, подходит только формат PKCS#11, а такой ключ генерируется на модели токена со встроенным криптоядром. Ключ в формате КриптоПро CSP, пригодный для отчётности и торгов, в этой системе не заработает.
Третья причина — совместимость с версией криптопровайдера. Извлекаемые ключи в режиме обратной совместимости работают со всеми версиями КриптоПро CSP, начиная с 4.0. Ключи в защищённых форматах требуют версии не ниже 5.0 R2. Если сотрудник работает на нескольких машинах с разными версиями провайдера, вопрос решается выбором режима при генерации, а не вторым сертификатом.
Четвёртая причина — разделение личной и рабочей подписи. Работник вправе иметь и личный сертификат, и рабочий: две действующие подписи на одно физлицо законом не запрещены. Подписывать при этом нужно тем сертификатом, данные владельца которого совпадают с данными в МЧД или в соглашении об использовании подписи.
Отдельно стоит вопрос, нужен ли под второй сертификат отдельный носитель. Не нужен: на токене с 128 КБ защищённой памяти помещается несколько контейнеров.
Факт: на носителе с 128 КБ защищённой памяти в формате КриптоПро CSP помещается до 31 контейнера. Реальная ёмкость ниже: один контейнер с полной цепочкой сертификатов занимает до 12 КБ, то есть таких контейнеров умещается около десяти.
Сертификация носителя определяется тем, как он используется. Если токен служит защищённым PIN-кодом хранилищем для извлекаемых ключей, достаточно сертификата ФСТЭК. Если токен сам формирует подпись, для признания подписи квалифицированной нужна сертификация ФСБ.
Как оформить дополнительную ЭЦП сотруднику
Порядок ниже рассчитан на ситуацию, когда решение о втором ключе уже принято осознанно: имеющаяся подпись задачу не закрывает. Расходы на получение и использование электронной подписи работника для кадрового документооборота несёт работодатель, это прямая норма статьи 22.2 ТК РФ.
Как выпустить сотруднику вторую электронную подпись: пошаговая инструкция
- Шаг 1. Зафиксируйте задачу письменно: какие документы и в какой системе будет подписывать работник. От этого зависит вид подписи, а не наоборот.
- Шаг 2. Проверьте действующий сертификат работника: кем выдан, до какой даты, какой носитель. Если срок истекает в ближайшие два месяца, продление закроет вопрос дешевле выпуска.
- Шаг 3. Обновите локальный нормативный акт о КЭДО, если появляется новый вид подписи. В положении перечисляются система, виды подписи и перечень документов, которые ими подписываются.
- Шаг 4. Соберите документы: заявление работника на выпуск сертификата, согласие на обработку персональных данных для удостоверяющего центра, при необходимости доверенность на получение носителя.
- Шаг 5. Выпустите сертификат. УНЭП для кадровых документов создаётся внутри системы КЭДО, работник сам задаёт пароль. УКЭП физлица оформляется в аккредитованном удостоверяющем центре, идентификация возможна дистанционно через подтверждённую учётную запись Госуслуг.
- Шаг 6. Проверьте вид подписи по маршруту документа: со стороны работодателя кадровые документы подписываются УКЭП, со стороны работника — УНЭП. В сервисе Добыто УНЭП работнику выпускается прямо в системе, поход в удостоверяющий центр для кадровых документов не требуется.
- Шаг 7. Оформите МЧД, если работник будет подписывать документы от имени компании. Доверенность подписывает руководитель своей УКЭП, после чего её регистрируют в распределённом реестре.
- Шаг 8. Внесите сертификат и носитель в реестр учёта, укажите срок действия и ответственного. Без этого шага через год никто не вспомнит, у кого какой ключ на руках.
Образцы заявлений, согласий и реестров для выпуска подписи
Комплект собран под выпуск и учёт сертификатов: начните с заявления на выпуск, дальше по списку.
| Документ | Скачать |
|---|---|
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Согласие на обработку персональных данных для выпуска сертификата ЭП | Скачать |
| Доверенность на получение сертификата ЭП | Скачать |
| Машиночитаемая доверенность: образец и структура XML | Скачать |
| Реестр сертификатов сотрудников | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
Учёт подписей: журнал, отзыв и ситуация «сотрудник забыл ЭЦП»
Реестр сертификатов ведут по одной причине: подписи живут дольше, чем память кадровой службы. В журнале фиксируются владелец, вид подписи, удостоверяющий центр, дата выдачи и дата окончания, тип носителя, номер связанной МЧД и отметка об отзыве. Такой реестр отвечает на вопрос «сколько у нас ключей и у кого они на руках» без обхода отделов. В Добыто КЭДО организации группы ведутся в одном аккаунте, поэтому сотрудник, оформленный в двух юрлицах, не заводит два разных кабинета и не путается, где какой документ подписывать.
Отдельная строка реестра — отзыв. Удаление сертификата из хранилища на компьютере подпись не отзывает: ключ остаётся действительным до окончания срока или до аннулирования. Отзыв оформляется заявлением в тот удостоверяющий центр, который выдал сертификат, и подаёт его владелец подписи.
Лайфхак: при увольнении проверяйте два объекта, а не один: сам сертификат и связанную с ним МЧД. Доверенность, в которой указано только физическое лицо без должности, продолжает действовать после ухода работника, пока её не отозвали.
Формулировка «забыл ЭЦП» на практике означает три разные ситуации. Забыт пароль от приложения Госключ: закрытая часть ключа хранится на телефоне работника, другого доступа нет, поэтому подпись выпускается заново, и это будет уже другая подпись со своим сроком действия. Забыт PIN-код токена: он разблокируется в панели управления носителем PIN-кодом администратора, а при исчерпании попыток носитель форматируется вместе с ключами. Забыто, где вообще лежит сертификат: здесь помогает реестр и проверка последнего подписанного файла.
Мария Ж, HR-эксперт с 13-летним стажем: «Госключ удобен ровно до момента, пока сотрудник не переустановил приложение. Пароль восстановлению не подлежит, подпись выпускается заново, а вместе с ней перевыпускается и вся очередь неподписанных документов. Мы предупреждаем об этом на этапе подключения и просим не удалять приложение при смене телефона.»
Цена ошибки: чем оборачивается лишний или неверный ключ
Подписание сертификатом сотрудника с реквизитами юрлица после окончания переходного периода юридической силы не имеет, даже если технически такой ключ ещё срабатывает. Документ, подписанный без надлежащих полномочий, оспаривается, и риск здесь несёт хозяйствующий субъект.
Вторая группа рисков относится к кадровым документам. Судебная практика по КЭДО пока небольшая, но показательная. В деле против крупного банка работник заявил, что не подписывал соглашение об увольнении: подписи выпускались на токенах, которые хранились в сейфе, и суд встал на сторону работника, признав увольнение незаконным и взыскав компенсацию. В другом деле разнорабочий магазина был уверен, что подписывает заявление на оплату больничного, а подписал заявление об увольнении по собственному желанию: суд восстановил его в должности и взыскал средний заработок и компенсацию морального вреда.
Из обоих дел следует практическое требование к процессу: суд проверяет не картинку штампа на PDF, а исходный документ и файлы подписи. Визуальный штамп юридической силы не несёт, поэтому архив выгружается вместе с файлами подписи. Отдельно проверяется, действовал ли сертификат на момент подписания, и здесь помогает штамп времени от доверенной службы: без него подтвердить момент подписания после истечения сертификата сложно.
Третья статья расходов — организационная. Каждый лишний ключ означает ещё одну строку в реестре, ещё один срок продления и ещё один носитель, который сотрудник может потерять. В практике Добыто мы закладываем пилотную группу перед раскаткой на всю компанию и на ней проверяем, хватает ли одного вида подписи: это дешевле, чем перевыпускать сертификаты всему штату.
Мария Ж, соучредитель сервиса КЭДО Добыто: «В положении о КЭДО можно перечислить несколько видов подписи, и закон это допускает. На практике проще закрепить один вид для основной массы документов: сотрудники перестают путаться, какой подписью что подписывать, а кадровая служба не разбирает отказы из-за не той подписи. Проверьте, сколько видов подписи упомянуто в вашем действующем положении.»
Стоимость дополнительной подписи и подключения сотрудника к КЭДО
Стоимость зависит от численности сотрудников, выбранного тарифа и от того, нужна ли работнику квалифицированная подпись помимо той, что выпускается внутри системы.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника в месяц | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения по числу сотрудников, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника в месяц | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | годовой период |
| Выпуск ПЭП и УНЭП сотрудникам | бесплатно на всех тарифах | в рамках подключения |
| УКЭП для сотрудника через партнёров-удостоверяющие центры | по запросу | по регламенту УЦ |
| Интеграция с 1С:ЗУП готовым модулем | входит в тариф «Бизнес» | 1 день на установку и настройку |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
Итоговая сумма складывается из численности подключаемых сотрудников и набора функций: электронный архив, кастомные шаблоны и интеграция с 1С входят в тариф «Бизнес», а выделенный сервер и SLA считаются отдельно. Актуальные условия по каждому пакету и состав функций перечислены на странице тарифов ДОБЫТО КЭДО.
Отдельная строка бюджета на подписи для рядовых работников при этом не появляется: ПЭП и УНЭП выпускаются бесплатно на всех тарифах, платной остаётся только УКЭП, которую оформляют через партнёров-удостоверяющие центры.
Выводы
Второй ключ сотруднику нужен реже, чем кажется. Сертификат принадлежит человеку, а не должности, поэтому смена подразделения, работа на несколько юрлиц группы и подписание документов от имени компании закрываются одним сертификатом физлица и машиночитаемыми доверенностями. Реальных оснований для выпуска второго ключа четыре: неэкспортируемый контейнер УЦ ФНС, требования отдельной государственной системы к формату ключа, одновременная работа на разных рабочих местах и разделение личной и рабочей подписи. Всё остальное решается доверенностью, продлением сертификата или установкой корневого сертификата.
Мы в Добыто подключаем работников к кадровому документообороту так, чтобы подпись для кадровых документов выпускалась внутри системы и не требовала похода в удостоверяющий центр, а учёт сертификатов и сроков вёлся в одном месте вместе с маршрутами подписания и электронным архивом.
Частые вопросы
Может ли у одного работника быть две действующие электронные подписи одновременно?
Да, ограничения на количество сертификатов у одного физического лица нет. Работник может одновременно иметь УКЭП на токене и подпись, выпущенную в информационной системе, и обе будут действительны. Подписывать конкретный документ нужно тем сертификатом, данные владельца которого совпадают со сведениями в МЧД или в соглашении об использовании подписи, иначе полномочия подтвердить не получится.
Работник отказывается получать электронную подпись. Что делать кадровику?
Обязанности получить подпись у работника нет. Сотрудники, принятые на работу после 31 декабря 2021 года, и те, для кого это первая работа, уведомляются о переходе на КЭДО, и отдельное согласие от них не требуется. Принятые ранее дают письменное согласие, и отказ не может быть основанием для увольнения или иных санкций: с такими работниками документооборот продолжают вести на бумаге.
Нужно ли перевыпускать МЧД, если у сотрудника закончился сертификат?
Нет. Сертификат и доверенность между собой не связаны: в реквизитах МЧД сертификат не указывается. Доверенность выдаётся на срок до 5 лет, и за этот период работник может сменить несколько сертификатов. Перевыпуск нужен в другой ситуации: когда меняются полномочия, потому что любое изменение XML-файла делает подпись руководителя под доверенностью недействительной.
Можно ли записать вторую подпись на тот же токен, что и первую?
Да, если хватает памяти и формат ключей совместим. На носителе с 128 КБ защищённой памяти помещается до 31 контейнера в формате КриптоПро CSP, но при полной цепочке сертификатов один контейнер занимает до 12 КБ, поэтому практический предел ближе к десяти. Исключение — ключ УЦ ФНС: он записывается без права копирования, перенести его на другой носитель нельзя.
Нужна ли отдельная лицензия КриптоПро CSP под вторую подпись?
Если сертификат выпущен удостоверяющим центром, который включил лицензию в состав сертификата, отдельная установка лицензии не требуется, и такой ключ работает даже на машине с истёкшей лицензией провайдера. Полная лицензия понадобится, если на этом же рабочем месте используются другие ключи или если запросы на сертификат формируются самостоятельно.
Кто оплачивает выпуск подписи для кадрового документооборота?
Расходы на получение работником электронной подписи и на её использование в кадровом документообороте несёт работодатель, это установлено статьёй 22.2 ТК РФ. Требовать от сотрудника купить подпись за свой счёт для подписания кадровых документов неправомерно. Личная подпись, которую работник получил для собственных целей, к этой норме отношения не имеет.
Обязательно ли отзывать подпись сотрудника при увольнении?
Отзыв сертификата оформляет его владелец заявлением в удостоверяющий центр, который выдал подпись, поэтому обязать уволенного работника отозвать личный сертификат работодатель не может. Что находится в зоне ответственности компании: отозвать выданную ему машиночитаемую доверенность, закрыть доступ в систему и внести отметку в реестр сертификатов, иначе доверенность без указания должности продолжит действовать.
