ЭЦП на сотрудника с правом подписи с 1 сентября 2024 года выпускается только как сертификат физического лица: сертификатов «сотрудник юридического лица» удостоверяющие центры больше не выдают. Полномочия подтверждает машиночитаемая доверенность, которую руководитель подписывает своей УКЭП и регистрирует в распределённом реестре ФНС. Порядок работы такой: сотрудник получает квалифицированный сертификат в аккредитованном удостоверяющем центре, руководитель выпускает МЧД с кодами полномочий, к документу прикладываются оба файла. Главное различие задаёт адресат документа: для внутренних кадровых документов достаточно УНЭП или ПЭП внутри системы КЭДО и приказа о праве подписи, для внешнего документооборота нужны УКЭП физлица плюс МЧД.
Разберём три сценария права подписи и тот единственный, где МЧД не нужна вовсе. Покажем, какие данные обязательно попадают в XML доверенности и почему её нельзя отредактировать после выпуска. Отдельно сравним носители: eSmart, Рутокен и JaCarta работают в разных режимах, а КриптоПро CSP 5.0 R2 и R3 поддерживают разные форматы контейнеров. Дальше идёт журнал учёта ЭЦП: что фиксировать, чтобы при проверке было видно, кто и чем подписывал документ. Стоимость подключения, форматы файлов p7s, sig и sgn, порядок действий при утрате токена и ответы на частые вопросы — во второй половине статьи.
Какая подпись нужна сотруднику с правом подписи: три сценария
Право подписи и электронная подпись — разные сущности. Право подписи даёт приказ, доверенность или должностная инструкция. Электронная подпись — техническое средство, которым это право реализуется. Сотрудник может иметь право подписи и не иметь ни одного сертификата, и наоборот.
От того, кому уходит документ, зависит и вид подписи, и основание полномочий, и место выпуска сертификата.
| Сценарий | Вид подписи | Чем подтверждаются полномочия | Где выпускается |
|---|---|---|---|
| Внутренние кадровые документы: приказы, ознакомление с ЛНА, заявления | УНЭП работодателя или ПЭП внутри системы КЭДО | Приказ о праве подписи и ЛНА о ведении КЭДО | Внутри системы КЭДО, без похода в удостоверяющий центр |
| Документы контрагентам: договоры, УПД, акты | УКЭП физического лица | МЧД, подписанная УКЭП руководителя | Аккредитованный удостоверяющий центр |
| Отчётность в ФНС и другие ведомства | УКЭП физического лица | МЧД с кодами полномочий из классификатора | Аккредитованный удостоверяющий центр |
| Подписывает сам руководитель или ИП | УКЭП организации на имя руководителя | Сведения в ЕГРЮЛ, доверенность не нужна | Удостоверяющий центр ФНС или доверенные лица УЦ ФНС |
Единственный сценарий без МЧД — подпись руководителя собственным сертификатом. Как только документ подписывает не он, доверенность нужна, и её отсутствие превращает подписание в действие без подтверждённых полномочий.
Мария Ж, специалист по цифровой подписи и КЭДО: «Сертификат физического лица — это обычная квалифицированная подпись, но без привязки к организации: сведений о работодателе внутри неё нет. Поэтому бухгалтер на аутсорсе, который раньше держал три сертификата на три компании, теперь обходится одним сертификатом и тремя машиночитаемыми доверенностями. Прежде чем заказывать сертификат, проверьте, нет ли у сотрудника личной подписи: выпускать вторую не нужно.»
МЧД: какие данные попадают в доверенность и что ломает подпись
Машиночитаемая доверенность — это XML-файл, а не PDF со сканом печати. Формат закреплён приказом Минцифры № 858, состав сведений — приказом № 857, порядок формирования классификатора полномочий — приказом № 856. Читаемая версия в PDF существует, но юридически работает именно XML, подписанный электронной подписью руководителя.
В доверенность вносятся сведения о доверителе, сведения о доверенном лице, перечень полномочий, срок действия и уникальный 36-символьный номер. Этот номер и есть та зацепка, по которой контрагент проверяет доверенность: на сервисе ФНС нужны три параметра — номер МЧД, ИНН доверителя и СНИЛС доверенного лица. Если все три известны, сервис покажет статус доверенности и её полномочия. Проверить и создать доверенность можно в сервисе ФНС по машиночитаемым доверенностям: там же XML загружается в распределённый реестр, после чего доверенность видна другим операторам ЭДО.
Полномочия указываются кодом из классификатора либо текстом. Классификатор наполняется медленно, поэтому текстовая формулировка остаётся рабочим вариантом. Компания вправе направить свой перечень полномочий в Минцифры: на рассмотрение отводится 10 дней, при положительном решении коды присваиваются и включаются в классификатор в течение трёх рабочих дней.
Лайфхак: любое изменение XML ломает подпись под доверенностью. Если сотруднику через полгода добавили полномочия, старую МЧД не правят — выпускают новую. При настроенной интеграции учётной системы это делается хоть каждый день.
МЧД для филиала и передоверие
Нормы Гражданского кодекса о передоверии на МЧД распространяются полностью. Нотариальное удостоверение не требуется в двух случаях: когда доверенность выдаётся от юридического лица юридическому лицу и когда цепочка идёт через руководителя обособленного филиала. Все остальные варианты передоверия внутри компании — от главного бухгалтера бухгалтеру, от главного юриста юристу — удостоверяются нотариально.
На практике это означает, что сотруднику филиала доверенность проще выдавать напрямую от юридического лица, а не выстраивать цепочку через руководителя подразделения. Ехать к нотариусу тогда не нужно совсем.
Внимание: при передоверии нотариусу нужны паспортные данные нового уполномоченного лица и актуальная выписка из ЕГРЮЛ, а сам нотариус должен быть технически оснащён для работы с электронной доверенностью. В небольших городах это до сих пор узкое место.
Что проверить до выпуска сертификата
Половина срывов при выпуске подписи связана не с удостоверяющим центром, а с неподготовленным рабочим местом и незакрытыми вопросами внутри компании. Перед тем как отправлять сотрудника за сертификатом, пройдите короткий список.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
- Есть ли у сотрудника действующий сертификат физлица. Личная подпись не привязана к работодателю и подходит для работы от имени компании вместе с МЧД.
- Оформлено ли право подписи документально. Приказ о делегировании подписи и указание на подписание электронной подписью в должностной инструкции снимают вопрос о полномочиях внутри компании.
- Собрано ли согласие на обработку персональных данных. Удостоверяющий центр обрабатывает паспортные данные и СНИЛС работника, и это отдельное основание обработки по 152-ФЗ.
- Выбран ли носитель и режим ключа. От этого зависит, какая версия криптопровайдера подойдёт и можно ли будет использовать ключ на других рабочих местах.
- Готово ли рабочее место. Драйверы носителя, КриптоПро CSP версии 5.0 R2 сборки 12000 или выше, КриптоПро ЭЦП Browser Plug-in, корневые сертификаты Минцифры и удостоверяющего центра, расширение плагина в браузере.
Проверьте действующую подпись сотрудника на любом документе
Проверка электронной подписи
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
2 Загрузите документ и файл подписи:
Документ
Файл подписи (.sig)
Нужно подписать документ?
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Проверка на реальном файле отвечает сразу на несколько вопросов: действителен ли сертификат, не отозван ли он, кто указан владельцем и какой удостоверяющий центр его выдал. Если подпись не проходит проверку, выпуск нового сертификата ничего не решит, пока не разобрались с причиной. В практике Добыто эта проверка стоит первым пунктом чек-листа перед подключением сотрудника к маршрутам подписания.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Документы для выпуска подписи и оформления полномочий
Комплект собирается в два слоя: заявление и согласие уходят в удостоверяющий центр, приказ и реестр остаются у работодателя; начинать удобнее с приказа о делегировании подписи.
| Документ | Скачать |
|---|---|
| Приказ: ответственный за КЭДО и делегирование права подписи | Скачать |
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Согласие на обработку персональных данных для выпуска сертификата | Скачать |
| Шаблон машиночитаемой доверенности в формате XML | Скачать |
| Реестр сертификатов сотрудников | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
Как выпустить ЭЦП на сотрудника с правом подписи
Последовательность одинакова для бухгалтера, юриста и специалиста по кадрам. Меняется только объём полномочий в доверенности.
Как оформить ЭЦП на сотрудника: пошаговая инструкция
- Шаг 1. Издайте приказ о делегировании права подписи с перечнем видов документов и сроком действия полномочий. Приказ — основание для всего, что будет дальше.
- Шаг 2. Соберите с работника письменное согласие на обработку персональных данных для выпуска сертификата и заявление в удостоверяющий центр.
- Шаг 3. Выберите аккредитованный удостоверяющий центр и сверьтесь с его регламентом: перечень документов и срок выпуска каждый центр устанавливает сам.
- Шаг 4. Пройдите идентификацию. Личная явка остаётся базовым вариантом, но удалённая идентификация через подтверждённую учётную запись на Госуслугах доступна и заметно сокращает срок.
- Шаг 5. Запишите ключ на носитель в выбранном режиме и получите сертификат. Для руководителя сертификат выдаёт удостоверяющий центр ФНС, для сотрудника как физического лица — коммерческий аккредитованный центр.
- Шаг 6. Настройте рабочее место: драйверы носителя, КриптоПро CSP, корневые сертификаты Минцифры и удостоверяющего центра, личный сертификат из контейнера, браузерный плагин.
- Шаг 7. Сформируйте МЧД: заполните сведения о доверителе и представителе, укажите полномочия, подпишите XML подписью руководителя и загрузите в распределённый реестр ФНС.
- Шаг 8. Внесите сертификат и доверенность в журнал учёта, подпишите пробный документ и проверьте подпись до того, как отдавать её в реальный процесс.
В сервисе Добыто внутренние кадровые документы закрываются иначе: ПЭП и УНЭП для сотрудников выпускаются внутри платформы, а маршрут подписания задаётся заранее, поэтому документ уходит нужному подписанту без ручной пересылки файлов.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Не пытайтесь выпустить подписи сразу на всех, кто когда-либо что-то подписывал. Мы закладываем пилотную группу: один сотрудник, который работает с несколькими организациями, проходит весь путь от сертификата до подписанного документа. За эту неделю вылезают вопросы, которых не видно на бумаге, и дальше остальные идут по готовому маршруту.»
Носитель и криптопровайдер: eSmart, Рутокен, JaCarta и КриптоПро CSP
Ключи делятся на две группы. Извлекаемые генерирует программный криптопровайдер, а токен работает как защищённое пин-кодом хранилище: при подписании закрытый ключ ненадолго попадает в оперативную память компьютера. Неизвлекаемые ключи генерируются внутри криптоядра токена и его память не покидают, скопировать их нельзя.
Извлекаемые ключи бывают экспортируемыми и неэкспортируемыми. Флаг ставится при генерации или копировании контейнера. В удостоверяющем центре ФНС по регламенту выдаётся только неэкспортируемый контейнер, скопировать его не получится.
| Режим ключа | Что требуется | Когда выбирать |
|---|---|---|
| Извлекаемый, пассивный носитель | КриптоПро CSP 4.0 и выше, Рутокен Лайт и другие пассивные токены | Ключ будет использоваться на разных рабочих местах, где стоят разные версии криптопровайдера |
| Неизвлекаемый, ФКН с защитой канала | КриптоПро CSP 5.0 R2 и выше, активный токен с криптоядром | Нужен максимальный уровень защиты: ключ не покидает токен, канал между токеном и провайдером шифруется |
| Неизвлекаемый, формат PKCS#11 | КриптоПро CSP 5.0 R2 и выше либо генератор запросов из состава драйверов токена | Работа в ЕГАИС для производителей и поставщиков алкоголя, совместимость со сторонним софтом |
Практическое следствие простое: если сотрудник будет подписывать с одного рабочего места, берите неизвлекаемый ключ. Если токен будет кочевать между офисом, ноутбуком и удалённым рабочим местом, где может стоять старая версия провайдера, безопаснее пассивный контейнер.
Важный нюанс из практики: режим ключа задаётся один раз, при создании контейнера, и переключить его потом нельзя — только перевыпустить сертификат. Поэтому вопрос «где сотрудник будет подписывать» мы задаём до визита в удостоверяющий центр, а не после.
Для eSmart, JaCarta и Рутокен драйверы ставятся до установки криптопровайдера, иначе КриптоПро CSP просто не увидит считыватель. Версия 5.0 R3 добавила выбор режима PKCS#11 в общем выпадающем списке при создании контейнера и починила работу таких ключей в терминальных сценариях Windows, где раньше были проблемы.
Факт: на токене со 128 КБ защищённой памяти помещается до 31 контейнера в формате КриптоПро CSP. Но если удостоверяющий центр дописывает в сертификат расширения и цепочки, один контейнер занимает до 12 КБ, и реально влезает около десяти.
Мария Ж, юрист со стажем более 20 лет: «Встроенная криптография на токене — это не встроенная лицензия на КриптоПро CSP. Лицензия либо покупается отдельно, либо зашивается удостоверяющим центром внутрь сертификата и живёт ровно столько, сколько живёт сам сертификат. Если вы планируете генерировать запросы на сертификат на своём рабочем месте и работать с ключами других центров, закладывайте полную лицензию.»
Форматы файла подписи: p7s, sig и sgn
Подпись бывает присоединённой и открепленной. Присоединённая упаковывается вместе с документом в один файл, откреплённая лежит рядом отдельным файлом. Базовый контейнер — PKCS#7, он же CMS; усовершенствованные форматы семейства CAdES добавляют метку доверенного времени и сведения о статусе сертификата.
Расширения p7s, sig и sgn обозначают один и тот же контейнер подписи, различие только в имени файла. В настройках Инструментов КриптоПро расширение выбирается из выпадающего списка вместе с форматом CAdES-BES. Площадка или контрагент задают расширение своим регламентом, и если приёмная система ждёт .sig, а вы отдали .sgn, файл не примут по формальному признаку — при этом сама подпись корректна.
Мария Ж, судебный эксперт по трудовому праву: «Штамп «Подписано электронной подписью» в PDF сам по себе юридической силы не несёт: он нарисован, и проверить по нему подпись невозможно. Юридически значим электронный оригинал с файлом подписи. Если вы отправляете подписанное письмо контрагенту или в ведомство, передавайте пару файлов — документ и подпись, а распечатку используйте только для ознакомления.»
Журнал учёта ЭЦП: что фиксировать
Журнал учёта электронных подписей нормативной формы не имеет, но без него компания не может ответить на базовый вопрос проверяющего: кто именно и на каком основании подписал документ. Практический минимум — две связанные таблицы: реестр сертификатов и реестр выданных носителей.
В реестре сертификатов фиксируются ФИО владельца, серийный номер сертификата, удостоверяющий центр-издатель, даты начала и окончания действия, вид подписи и перечень систем, где она применяется. В реестре носителей — модель токена, инвентарный номер, дата выдачи, подпись работника о получении и отметка о возврате. Номер МЧД, дата её выпуска и срок действия связывают обе таблицы с полномочиями.
Отдельная строка, которую забывают чаще всего, — дата и основание аннулирования. Именно она закрывает вопрос, действовала ли подпись на момент подписания конкретного документа. В практике Добыто мы заводим реестр сертификатов до выпуска первой подписи: после того как в компании появилось 30 сертификатов, восстановить историю по почте и памяти уже не получается.
Полезно знать: срок действия сертификата и срок действия МЧД между собой не связаны. Доверенность выдаётся, например, на 5 лет, и за этот период сотрудник может сменить несколько сертификатов — перевыпускать МЧД при этом не нужно.
Ошибки, цена ошибки и что делать при утрате подписи
Самая частая ошибка — передача токена другому человеку. Руководитель отдаёт носитель помощнику, чтобы тот подписал документы. Часть 1 статьи 10 63-ФЗ обязывает участника электронного взаимодействия не допускать использование своего ключа без его согласия, но подпись под документом при этом остаётся подписью владельца сертификата, а не помощника. Ответственность за содержание документа несёт владелец ключа, и оспорить авторство он практически не сможет.
Вторая ошибка — подписание без МЧД там, где она нужна. Оператор ЭДО не обязан блокировать такой документ: проверка полномочий контрагента — обязанность принимающей стороны. Документ уйдёт, но при споре по сделке отсутствие полномочий превращается в риск оспаривания, и цена такой ошибки привязана к сумме сделки, а не к стоимости переоформления файла. Гражданский кодекс оставляет выход: руководитель вправе одобрить действие сотрудника уже после подписания, и тогда сделка считается совершённой уполномоченным лицом.
Третий сценарий — работник забыл токен дома, потерял его или уволился, не сдав носитель. Порядок действий одинаков: если есть подозрение, что конфиденциальность ключа нарушена, владелец обязан уведомить удостоверяющий центр и других участников взаимодействия, а сертификат отзывается и попадает в список отозванных. Копиями ключа, если такие существуют, пользоваться нельзя: выпускаются новые ключи и новый сертификат. Параллельно отзывается МЧД — без этого полномочия формально продолжают действовать.
Важный нюанс из практики: увольнение сотрудника с правом подписи закрывается тремя действиями, а не одним. Возврат носителя фиксируется в обходном листе, сертификат отзывается заявлением в удостоверяющий центр, МЧД отменяется отдельно. Мы ставим все три пункта в один чек-лист увольнения: если разнести их по разным процессам, отмена доверенности теряется чаще всего.
Когда выпускать ЭЦП на сотрудника не нужно
Квалифицированный сертификат на работника нужен не всегда: в трёх ситуациях он избыточен.
- Сотрудник подписывает только внутренние кадровые документы. Для ознакомления с ЛНА, заявлений и приказов внутри системы КЭДО хватает ПЭП или УНЭП, которые выпускает сама система. Тратить бюджет на УКЭП и токен в этом случае незачем.
- Объём документов на подпись небольшой, а руководитель доступен. Пока сотрудников с правом подписи один-два и поток документов измеряется десятками в месяц, документы спокойно подписывает руководитель своим сертификатом. Ограничений на это нет.
- Работник отказывается получать личный сертификат. Обязанность оформить подпись физлица законом не установлена, и если в трудовом договоре такого условия нет, работник вправе не соглашаться на дополнение. Здесь вопрос решается не выпуском подписи, а перераспределением обязанностей.
Отдельно стоит помнить про терминальные сценарии. Протокол удалённого рабочего стола не умеет работать с токеном, физически подключённым к другой машине: носитель должен быть в руках у того, кто подписывает, и пробрасываться в сессию по защищённому каналу.
Стоимость подключения КЭДО и выпуска подписей для сотрудников
Стоимость складывается из численности сотрудников, набора видов подписи и потребности в интеграциях. Данные приведены на дату публикации.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» (50 сотрудников) | 30 000 ₽ в год | период 12 месяцев |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | рассчитывается индивидуально |
| Получение УКЭП через партнёров-удостоверяющих центров | по запросу | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговый счёт зависит от численности и от того, нужны ли кастомные шаблоны, интеграция с 1С и электронный архив. Состав каждого тарифа и условия перехода между ними разобраны на странице тарифов ДОБЫТО КЭДО.
Тариф меняется в любой момент: при повышении разница пересчитывается пропорционально оставшемуся периоду, поэтому начинать с «Старта» и переходить на «Бизнес» после пилота финансово безопасно.
Выводы
Выпуск подписи для сотрудника с правом подписи распадается на две независимые задачи: получить сертификат физического лица и подтвердить полномочия. Первая закрывается аккредитованным удостоверяющим центром и настроенным рабочим местом, вторая — приказом для внутренних документов и машиночитаемой доверенностью для внешних. Носитель и режим ключа выбираются под сценарий работы сотрудника, а учёт сертификатов и токенов заводится до выпуска первой подписи, пока историю ещё легко восстановить.
Мы в Добыто ведём этот путь с обеих сторон: внутренние кадровые документы закрываются подписями, которые выпускает сама платформа, а для внешнего контура остаются УКЭП и МЧД с понятным реестром полномочий. Пилотная группа перед раскаткой на всю компанию снимает основную часть вопросов, которые иначе всплывают уже на боевых документах.
Частые вопросы
Можно ли выпустить одну подпись на отдел и передавать токен по смене?
Технически носитель можно передавать из рук в руки, и в круглосуточных производствах так делают: сотрудник приходит на смену, подключает токен к рабочему месту, после смены забирает с собой. Но подпись под документом останется подписью владельца сертификата, а не того, кто фактически нажал кнопку. Часть 1 статьи 10 63-ФЗ требует не допускать использование ключа без согласия владельца, и ответственность за все подписанные документы несёт он. Для потокового подписания правильнее выделять отдельный сертификат под этот процесс и описывать порядок доступа к нему в локальном акте.
Нужно ли перевыпускать МЧД, когда у сотрудника закончился сертификат?
Нет. Реквизиты сертификата в доверенность не вносятся, а реквизиты доверенности — в сертификат. Проверяется соответствие персональных данных: доверенность выдана Иванову Ивану Ивановичу, значит и подпись должна быть его. За пятилетний срок действия МЧД сотрудник может сменить несколько сертификатов, доверенность продолжит работать.
Как оформить право подписи для сотрудника обособленного филиала?
Доверенность выдаётся от юридического лица напрямую сотруднику — нотариус в этом случае не нужен. Цепочка через руководителя обособленного филиала тоже проходит без нотариального удостоверения, это второе законное исключение. А вот передоверие внутри одного подразделения, когда главный бухгалтер передаёт полномочия бухгалтеру, требует нотариуса.
Обязан ли работник получать сертификат физического лица, если в трудовом договоре этого нет?
Обязанности оформить электронную подпись закон на работника не возлагает, и требовать её выпуска нельзя. Условие о подписании документов электронной подписью добавляется в трудовой договор дополнительным соглашением, а согласие на это работник даёт добровольно. Если он не согласен, вопрос решается перераспределением полномочий: документы подписывает другой уполномоченный сотрудник или руководитель.
Что делать, если сертификат отозван, а документы им уже подписаны?
Документы, подписанные до включения сертификата в список отозванных, сохраняют силу. Проблема возникает с документами, подписанными после отзыва: при проверке подпись даст отрицательный результат. Для долгого хранения таких документов нужна метка доверенного времени: она фиксирует момент подписания и позволяет проверить подпись, когда срок действия сертификата давно истёк.
Можно ли подписывать документы через удалённый рабочий стол?
Протокол удалённого рабочего стола не поддерживает работу со смарт-картой или токеном, подключённым к другой машине: это ограничение самого протокола, а не криптопровайдера. Носитель должен быть физически у подписанта и пробрасываться в терминальную сессию, а сам канал — защищаться сертифицированным средством. Схема, при которой токен постоянно воткнут в сервер в офисе, а сотрудник подключается снаружи, безопасной не считается.
Чем отличаются форматы МЧД и нужно ли перевыпускать старые доверенности?
Форматы менялись: версии 001 и 002 сменил единый формат 003, рассчитанный и на документооборот с контрагентами, и на взаимодействие с ведомствами. Новые доверенности выпускаются только в актуальном формате, а выпущенные раньше действуют до окончания указанного в них срока. Массово перевыпускать их из-за смены формата не нужно.
