Электронная подпись оформляется под конкретный сценарий: кадровые документы у работодателя, сдача отчётности, обмен документами с контрагентами. От сценария зависят вид подписи, место её получения и набор программ на компьютере. Работнику для кадровых документов чаще всего покупать ничего не нужно: ПЭП и УНЭП выпускает работодатель, а УНЭП ЕСИА бесплатно выдаёт мобильное приложение Госключ, и по части 2 статьи 22.3 ТК РФ соглашение об использовании такой подписи с работником подписывать не требуется. Своя УКЭП нужна тем, кто подписывает документы от имени организации: к сертификату физического лица прикладывается машиночитаемая доверенность. Главное различие, которое определяет весь порядок действий: подписываете вы за себя или за компанию.
Разберём, какая подпись закрывает вашу задачу, что собрать до обращения в удостоверяющий центр и какие программы ставятся на рабочее место: драйвер ключевого носителя, КриптоПро CSP, корневые сертификаты Минцифры и УЦ ФНС. Покажем, чем извлекаемый ключ отличается от неизвлекаемого и почему подпись из УЦ ФНС нельзя скопировать на второй носитель. Форматы файла подписи p7s и sig, порядок действий при забытом пароле и отозванном сертификате, образцы заявлений на выпуск и аннулирование сертификата, стоимость и сроки на 2026 год — во второй половине статьи.
Какая подпись вам нужна: разбор по сценариям
Виды электронных подписей закреплены в 63-ФЗ «Об электронной подписи»: простая (ПЭП), усиленная неквалифицированная (УНЭП) и усиленная квалифицированная (УКЭП). Технически механизм подписания у УНЭП и УКЭП одинаковый. Разница юридическая: УНЭП может выпустить сам работодатель, а УКЭП выдаёт только удостоверяющий центр, прошедший аккредитацию ФСБ и Минцифры.
Простой электронной подписью вы пользуетесь давно, даже если не оформляли её отдельно: код из SMS при подтверждении операции в банковском приложении и учётные данные для входа в корпоративную систему работают как ПЭП. На портале «Работа в России» применяется ПЭП ЕСИА, для которой нужна подтверждённая учётная запись на Госуслугах. После подписания на документе появляется штамп Федеральной службы по труду и занятости с номером сертификата и сроком его действия: он подтверждает, что документ дополнительно подписан усиленной подписью портала и не менялся после вашего подписания.
Работодатели уходят от ПЭП по одной причине: она идентифицирует подписанта, но не позволяет подтвердить момент подписания и неизменность документа после него. Именно поэтому для трудовых договоров, допсоглашений и приказов используют усиленные подписи.
| Вид подписи | Где получает работник | Что нужно для выпуска | Особенность |
|---|---|---|---|
| ПЭП | У работодателя, в его учётной системе | Учётные данные для входа | Не подтверждает момент подписания и неизменность документа |
| ПЭП ЕСИА | Портал «Работа в России» | Подтверждённая учётная запись на Госуслугах, СНИЛС и паспортные данные | Документ дополнительно заверяется штампом Роструда |
| УНЭП по соглашению сторон | У работодателя или в удостоверяющем центре | Подписанное соглашение об использовании подписи | Без соглашения такая подпись не признаётся сторонами |
| УНЭП ЕСИА (Госключ) | Мобильное приложение Госключ | Подтверждённая учётная запись на Госуслугах | Соглашение с работником не требуется, часть 2 статьи 22.3 ТК РФ |
| УКЭП в Госключе | Мобильное приложение Госключ | Биометрический загранпаспорт нового образца и смартфон с NFC | Закрытый ключ хранится на самом телефоне |
| УКЭП на носителе | Аккредитованный удостоверяющий центр, для руководителя и ИП — УЦ ФНС | Ключевой носитель, комплект документов УЦ, идентификация | Требует установки криптопровайдера и драйверов на компьютер |
Из таблицы видно практическое правило для первого раза: подписи, привязанные к подтверждённой учётной записи на Госуслугах, выпускаются без визита и без покупки оборудования, а всё, что требует ключевого носителя, тянет за собой отдельную настройку рабочего места. Нерезидентам РФ учётную запись подтверждают только в МФЦ: в банке в подтверждении откажут, и это регулярно останавливает оформление на первом же шаге.
Мария Ж, специалист по цифровой подписи и КЭДО: «Первый вопрос, который стоит задать себе перед оформлением, звучит так: что именно я буду подписывать и для кого. Если это кадровые документы с собственным работодателем, отдельная покупка подписи почти всегда лишняя: подписи ПЭП и УНЭП выпускает работодатель, а УНЭП ЕСИА из Госключа не требует соглашения с работником по части 2 статьи 22.3 ТК РФ. Начинайте с того, чтобы уточнить в кадровой службе, какой вид подписи закреплён в вашем положении о КЭДО.»
Когда своя электронная подпись работнику не нужна
Оформлять УКЭП на носителе стоит только тогда, когда вы подписываете документы от имени организации: отчётность, договоры с контрагентами, заявки на торговых площадках. Для внутреннего кадрового документооборота достаточно того вида подписи, который выбрал работодатель, а для приёма на удалённую работу — Госключа, который позволяет подписать пакет документов без явки в офис. Покупка токена «на всякий случай» даёт лишние расходы и лишнее рабочее место для настройки: срок действия сертификата обычно составляет год, и по его окончании подпись придётся перевыпускать независимо от того, пользовались вы ею или нет.
Что подготовить до обращения за первой подписью
Подготовка занимает больше времени, чем сам выпуск. Соберите комплект заранее, тогда оформление уложится в один визит или один вечер:
- Подтверждённая учётная запись на Госуслугах. Нужна для ПЭП ЕСИА, для Госключа и для дистанционной идентификации в коммерческих удостоверяющих центрах. Если запись удалена, её придётся восстанавливать до всех остальных шагов.
- Паспорт, СНИЛС и ИНН. Базовый набор для любого удостоверяющего центра. Конкретный перечень документов устанавливает сам центр, поэтому список стоит запросить у него до визита.
- Биометрический загранпаспорт нового образца и смартфон с NFC. Требуются, если вы планируете выпускать в Госключе именно УКЭП. Для УНЭП ЕСИА они не нужны.
- Понимание, кто платит и кто выпускает. Для руководителя организации и ИП сертификат выдаёт УЦ ФНС, для остальных работников как для физических лиц — коммерческий аккредитованный удостоверяющий центр.
- Ключевой носитель. Токен или смарт-карта, если подпись будет храниться на устройстве. Модель нужно согласовать с удостоверяющим центром: не любой носитель подойдёт под нужный формат ключа.
- Согласие на обработку персональных данных. Выпуск сертификата означает передачу ваших персональных данных удостоверяющему центру, и это оформляется письменно.
Внимание: закрытый ключ подписи из Госключа хранится на вашем телефоне. Если удалить приложение или забыть пароль от него, доступа к подписи не остаётся ни у вас, ни у Минцифры: придётся выпускать новую подпись с новым сроком действия, прежняя не восстанавливается.
В практике Добыто на этапе подготовки чаще всего спотыкаются не на документах, а на учётной записи Госуслуг: работник помнит логин, но не помнит, подтверждал ли он запись и в каком статусе она сейчас. Мы просим проверить статус записи до старта оформления, потому что восстановление занимает больше времени, чем сам выпуск подписи.
Важный нюанс из практики: у работников, оформленных в компаниях с иностранными сотрудниками, подтверждение учётной записи через банк заканчивается отказом. Подтверждение проходит через МФЦ, после чего УНЭП в Госключе выпускается и работает штатно.
Три пути получения первой подписи и что выбрать новичку
Мобильное приложение Госключ выпускает и УНЭП, и УКЭП, работает от подтверждённой учётной записи и не требует ни токена, ни программ на компьютере. Порядок создания и использования сертификата ключа проверки УНЭП описан в постановлении Правительства РФ от 1 декабря 2021 года № 2152, а условия выпуска и перечень доступных действий приведены на странице Госключа на портале Госуслуг. Для работника, которому подпись нужна быстро и только под кадровые документы, это самый короткий путь.
Второй путь — аккредитованный удостоверяющий центр. Сюда идут за УКЭП на физическое лицо, если предстоит подписывать документы от имени работодателя. Порядок получения устанавливает сам центр, но идентификация без личного присутствия сегодня возможна и завязана на Госуслуги. Третий путь, УЦ ФНС, доступен только руководителю организации и индивидуальному предпринимателю, для рядового работника он закрыт.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Ваш сценарий | Что критично | Что вторично |
|---|---|---|
| Подписываю только свои кадровые документы | Подтверждённая учётная запись на Госуслугах, вид подписи из положения о КЭДО | Модель токена, криптопровайдер, форматы файлов подписи |
| Оформляюсь дистанционно, в офис не приеду | Госключ и работающая биометрия или подтверждение через МФЦ | Наличие рабочего компьютера, версия операционной системы |
| Подписываю документы от имени компании | УКЭП на физическое лицо и оформленная МЧД с нужными полномочиями | Место хранения ключа, облако или токен |
| Использую подпись на нескольких компьютерах | Формат ключа и совместимость с версией КриптоПро CSP на каждой машине | Дизайн интерфейса программы подписания |
| Работаю в филиале или обособленном подразделении | Кто подписывает МЧД и оформлено ли передоверие у нотариуса | Город получения сертификата |
Сценарии из левого столбца определяют не только вид подписи, но и объём работы: путь через Госключ заканчивается за один вечер, путь с токеном и МЧД растягивается на несколько дней согласований внутри компании.
Проверьте свою первую подпись до того, как отправите документ
Добыто · Проверка подписи
Что за файл пришёл с документом
Загрузите файл — определим по расширению и содержимому: присоединённая это подпись или откреплённая, чем открыть и куда идти дальше. Архивы раскрываем и смотрим, что внутри.
Файл остаётся на вашем устройстве — мы его не получаем и не хранимНет файла под рукой? Выберите расширение вручную:
Мы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся. Закройте страницу — и от файла не останется следов.
Если вы работодатель и читаете этот раздел с мыслью, что подписи сотрудникам придётся выпускать вручную, штатный удостоверяющий центр для этого не нужен: в сервисе Добыто подписи ПЭП и УНЭП выпускаются в самом сервисе, а Госключ подключается через интеграцию.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Токен, КриптоПро CSP и драйверы: что ставится на компьютер
Комплект программ для работы с подписью на носителе выглядит одинаково почти для всех информационных систем. На рабочем месте должны стоять драйверы используемого ключевого носителя, СКЗИ КриптоПро CSP версии 5.0 R2 сборки 12000 или выше, плагин КриптоПро ЭЦП Browser Plug-in, корневые сертификаты Минцифры России и удостоверяющего центра, личный сертификат ключа подписи, расширение криптоплагина для вашего браузера и плагины конкретных информационных систем, если они требуются.
Драйвер выбирается по типу носителя, и определить тип нужно до скачивания: Рутокен, JaCarta и eSmart ставят разные пакеты, скачанные с сайтов производителей. Установка идёт в режиме по умолчанию, компьютер в процессе может перезагрузиться. Корневые сертификаты Минцифры и УЦ ФНС публикуются отдельно: файлы guc_22.cert и CA_FNS_Russia_2022_01.cert лежат в разделе корневых сертификатов удостоверяющего центра ФНС, и устанавливать нужно оба, причём в разные хранилища.
Как подготовить компьютер к работе с электронной подписью: пошаговая инструкция
- Шаг 1. Определите тип ключевого носителя визуально или по документам от удостоверяющего центра и скачайте драйвер с сайта производителя: Рутокен, JaCarta или eSmart.
- Шаг 2. Установите драйвер в режиме по умолчанию и дождитесь завершения установки.
- Шаг 3. Установите КриптоПро CSP версии 5.0 R2 сборки 12000 или выше. Дистрибутив вместе с плагином доступен на сайте производителя СКЗИ.
- Шаг 4. Установите корневой сертификат Минцифры России в хранилище доверенных корневых центров сертификации, а корневой сертификат удостоверяющего центра — в промежуточные центры сертификации.
- Шаг 5. Подключите носитель к USB-порту, откройте КриптоПро CSP, вкладку «Сервис», нажмите «Просмотреть сертификаты в контейнере», выберите контейнер и установите личный сертификат.
- Шаг 6. Установите КриптоПро ЭЦП Browser Plug-in, включите расширение в браузере и проверьте его работу на странице проверки плагина.
- Шаг 7. Подпишите тестовый файл и проверьте результат: подпись должна читаться, а сертификат отображаться как действительный.
Ключи на токене делятся на две группы, и от группы зависит, что вы сможете делать дальше. Извлекаемые ключи генерирует криптопровайдер, а токен работает как защищённое пин-кодом хранилище: в момент подписания закрытый ключ ненадолго попадает в оперативную память компьютера. Неизвлекаемые ключи создаются внутри криптоядра самого устройства и никогда не покидают его память, скопировать их невозможно. Рутокен Лайт криптоядра не имеет и работает только как пассивное хранилище, Рутокен ЭЦП 3.0 генерирует неизвлекаемые ключи внутри устройства.
Отсюда следует практический вопрос, который новички задают редко, а сталкиваются с ним почти все: на скольких компьютерах вы собираетесь работать. Извлекаемый ключ совместим со старыми версиями криптопровайдера, включая КриптоПро CSP 4.0, а ключ с защитой канала работает только с версией 5.0 и выше. Если подпись будет использоваться на нескольких машинах с разными версиями, выбор формата нужно обсудить с удостоверяющим центром до выпуска, а не после.
Факт: по регламенту удостоверяющего центра ФНС извлекаемый ключ выдаётся только в неэкспортируемом контейнере. Скопировать такую подпись на второй носитель нельзя, это сделано для повышения безопасности.
Мария Ж, юрист со стажем более 20 лет: «Распространённое заблуждение звучит так: раз криптография встроена в токен, значит КриптоПро CSP на компьютер ставить не нужно. Это разные вещи. Если информационная система работает через КриптоПро CSP, программу придётся установить и ввести лицензию. В рамках пилотного проекта удостоверяющего центра ФНС лицензия вшивается внутрь сертификата и действует ровно столько, сколько действует сам сертификат подписи, поэтому отдельно её покупать не нужно.»
Образцы заявлений и согласий для выпуска сертификата
Комплект для первого обращения в удостоверяющий центр, начинать удобнее с заявления на выпуск квалифицированного сертификата.
| Документ | Скачать |
|---|---|
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Согласие на обработку персональных данных для выпуска сертификата ЭП | Скачать |
| Доверенность на получение сертификата ЭП | Скачать |
| Соглашение об использовании ПЭП и НЭП | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
| Реестр сертификатов сотрудников для журнала учёта | Скачать |
Форматы файла подписи: p7s, sig и что отправлять второй стороне
Подписанный документ существует в двух вариантах, и от выбора зависит, что именно вы отправите получателю. Присоединённая подпись упаковывается вместе с документом в один файл: терять нечего, но открыть исходный документ без специальной программы не получится. Открепленная подпись создаёт рядом с документом второй файл, поэтому договор в PDF открывается обычной программой, а для проверки нужно загрузить оба файла: и документ, и файл подписи.
Расширение этого второго файла выбирается в настройках программы подписания. В инструментах КриптоПро доступны варианты p7s, sig и sgn, формат подписи при этом остаётся CAdES-BES. Расширение не меняет содержимое: p7s и sig — это одна и та же структура подписи, названная по-разному, и получатель откроет её любой совместимой программой.
Лайфхак: штамп «Подписано цифровой подписью» на PDF — это визуализация для человека, юридической силы он не несёт. В спорной ситуации предъявляют исходный документ и файлы подписи, поэтому храните их вместе и не пересохраняйте PDF после подписания.
Отдельная задача — переписка. Обмениваться подписанными письмами удобно программами со встроенным почтовым клиентом: КриптоАРМ ГОСТ 3 позволяет подписывать и передавать не только файлы, но и сами письма, поддерживает подпись с МЧД и объединение подписанных данных с файлом доверенности в один архив. Для работы с PDF есть отдельные решения с проверкой подписи внутри документа и защитой после подписания.
Мария Ж, судебный эксперт по трудовому праву: «Срок действия сертификата обычно составляет год, и через год возникает вопрос, когда именно был подписан документ. Штамп времени от доверенной службы фиксирует момент подписания и хэш документа, а ответы службы статусов подтверждают, что сертификат не был отозван на этот момент. Если вам предстоит хранить подписанный документ дольше срока действия сертификата, спрашивайте у второй стороны, добавляется ли штамп времени.»
МЧД: когда подписи физического лица недостаточно
С 1 сентября 2023 года сертификаты, в которых указывалась должность работника и наименование компании, больше не выпускаются. Работник получает сертификат на себя как на физическое лицо, а полномочия подтверждает машиночитаемая доверенность. Подписывает документ либо руководитель организации своей квалифицированной подписью, либо работник своей подписью с приложением МЧД.
Машиночитаемая доверенность — это XML-файл, который читает не человек, а программа. Она может выглядеть как обычная доверенность, если выгрузить её в PDF, но работать с ней без компьютера и специальных программ невозможно. Полномочия в ней задаются кодами из классификатора, который размещён в Единой системе нормативной и справочной информации: каждое полномочие имеет код, дату и уникальный идентификационный номер, и именно код включается в доверенность. Алгоритм на стороне получателя автоматически проверяет, подходит ли доверенность для конкретного документа и есть ли у подписанта нужные права.
Создать МЧД для налоговых действий можно в сервисе ФНС «Создание и проверка доверенности в электронной форме»: заполняются данные доверителя, представителя и полномочий, сервис формирует XML-файл, который вы сохраняете и прикладываете к подписываемым документам. Ограничение сервиса: доверенности, созданные в нём, рассчитаны на использование в налоговой.
Работникам филиалов и обособленных подразделений стоит уточнить порядок заранее. Доверенность подписывает руководитель юридического лица или индивидуальный предприниматель. Если полномочия передаются дальше по цепочке, оформляется передоверие, и здесь без нотариуса не обойтись: нужны паспорт нового уполномоченного лица, его паспортные данные и актуальная выписка из ЕГРЮЛ, а сам нотариус подписывает новую доверенность своей квалифицированной подписью и выгружает её в информационную систему. Техническая оснащённость нотариусов различается, и в небольших городах этот шаг занимает больше времени.
Полезно знать: компания может направить перечень своих полномочий в Минцифры для включения в классификатор. На рассмотрение отводится 10 дней, на присвоение кодов после положительного решения — три рабочих дня.
Мария Ж, HR-эксперт с 13-летним стажем: «Когда работник выпускает подпись на себя как на физическое лицо, у него появляется личный актив, за который отвечает он сам. Проверяйте, какие полномочия указаны в МЧД и на какой срок она выдана: подпись без действующей доверенности документ от имени компании не подтвердит. Уточните это до того, как подпишете первый документ, а не после того, как его вернут.»
Что делать, если подпись не работает или пароль забыт
Самая частая ошибка начинающих не связана с самой подписью. Криптопровайдер сообщает, что не найден корневой сертификат, и работа останавливается. Причина в разрыве цепочки сертификатов: у квалифицированной подписи цепочка доверенная и устанавливается по умолчанию вместе с сертификатом, а у неквалифицированной корневые сертификаты не ставятся автоматически, потому что система не может доверять всем сертификатам подряд. Решение простое: открыть сертификат, посмотреть цепочку и установить недостающие звенья вручную. Читайте, что именно вы устанавливаете: после установки доверенного корневого сертификата система будет доверять всему, что им подписано.
Второй сценарий — сертификат отозван. Окно информации о подписи прямо покажет статус «Сертификат недействителен, сертификат отозван» с серийным номером и данными издателя. Отзыв возможен и до окончания срока действия, поэтому подписывать таким сертификатом бессмысленно: документ окажется недействительным с юридической точки зрения.
Забытый пароль разбирается по-разному в зависимости от места хранения ключа. Пароль от контейнера на токене восстанавливает удостоверяющий центр, выдавший подпись, по своему регламенту. С Госключом иначе: другого доступа, кроме пароля, который вы задали при входе в приложение, не существует, и восстановить его нельзя. При переустановке приложения или потере пароля подпись выпускается заново, и это будет уже другая подпись со своим сроком действия.
При увольнении подпись нужно отзывать самому. Работодатель этого не сделает, а удаление сертификата из реестра компьютера не отменяет его действия. Заявление на аннулирование подаётся в тот удостоверяющий центр, который выдал сертификат, и подать его в интересах владельца подписи. Отдельно проверьте статус МЧД: если доверенность выпущена на физическое лицо без указания должности, формально она продолжает существовать после вашего ухода.
Кейс из практики: в производственной компании на 400 сотрудников уволенные работники не отзывали свои сертификаты, и в реестре сертификатов копились действующие подписи бывших работников. После того как отзыв сертификата и проверка статуса МЧД были включены в обходной лист, число действующих подписей у уволенных снизилось до нуля в течение одного квартала.
Сколько стоит ошибка на старте
Ошибки при первом оформлении стоят не денег за перевыпуск, а времени и юридических последствий. Неверно выбранный формат ключа означает, что подпись не заработает на второй рабочей машине, и вы вернётесь в удостоверяющий центр за новым сертификатом. Отсутствие штампа времени приводит к тому, что после окончания срока действия сертификата момент подписания подтвердить нечем. Подписание документа, который вы не прочитали, заканчивается спорами: в судебной практике есть дело, где работник считал, что подписывает заявление на оплату больничного, а подписал заявление об увольнении по собственному желанию, увольнение признали незаконным, работника восстановили в должности и взыскали в его пользу средний заработок и компенсацию морального вреда.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Суд в спорах о подписании смотрит не на штамп в PDF, а на комплект: локальные акты, вводящие электронный документооборот, факт передачи именно этого документа на подписание и действие сертификата в момент подписания. Мы храним исходный документ, файл подписи и журнал действий пользователя вместе. Проверьте, что ваш работодатель отдаёт вам по запросу не картинку с отметкой, а исходный файл и файл подписи.»
Стоимость подключения к КЭДО и электронных подписей для сотрудников
Стоимость складывается из тарифа на кадровый электронный документооборот и способа выпуска подписей: ПЭП и УНЭП входят в тариф, а УКЭП выпускается через удостоверяющие центры.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт», до 25 сотрудников | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес», неограниченно сотрудников | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация», выделенный сервер и SLA 99.9% | по запросу | рассчитывается индивидуально |
| Выпуск подписей ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | рассчитывается индивидуально |
| Получение УКЭП через партнёров-удостоверяющих центров | по запросу | рассчитывается индивидуально |
| Интеграция с 1С:ЗУП, готовый модуль | входит в тариф «Бизнес» | установка и настройка за один день |
Итоговая сумма зависит от численности и выбранного тарифа: на «Старте» считают по фактическому числу сотрудников до 25 человек, на «Бизнесе» действует минимальная оплата за 50 сотрудников. Полный состав функций каждого тарифа, включая кастомные шаблоны, электронный архив и приоритетную поддержку, приведён на странице тарифов ДОБЫТО КЭДО.
Переход между тарифами возможен в любой момент, при повышении разница пересчитывается пропорционально оставшемуся периоду. Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ о персональных данных.
Выводы
Оформление первой электронной подписи начинается с ответа на вопрос, что и от чьего имени вы подписываете. Для собственных кадровых документов работнику обычно хватает подписи, которую выпускает работодатель, либо УНЭП ЕСИА из Госключа, не требующей отдельного соглашения. УКЭП на носителе нужна тем, кто действует от имени компании, и тянет за собой драйверы, КриптоПро CSP, корневые сертификаты и машиночитаемую доверенность с кодами полномочий. Формат ключа, наличие штампа времени и порядок отзыва сертификата стоит определить до выпуска, а не после первого спора.
В практике Добыто первая подпись у работника чаще всего появляется в момент оформления на работу, поэтому мы собираем согласия, положение о КЭДО и выпуск подписей в один процесс и обкатываем его на пилотной группе до раскатки на всю компанию. Это снимает основную часть вопросов, с которых начинается статья.
Частые вопросы
Можно ли иметь две электронные подписи одновременно: от ФНС и на физическое лицо
Да, это не запрещено. Подпись, выпущенная на токене, и подпись, записанная в реестр компьютера, существуют параллельно и не отменяют друг друга. Важно другое: подписывать документ по машиночитаемой доверенности нужно именно той подписью, данные которой указаны в МЧД, иначе подтвердить полномочия подписанта не получится.
Сколько подписей помещается на один токен
Актуальные модели линейки Рутокен ЭЦП 3.0 имеют 128 килобайт защищённой памяти. По результатам тестирования на носитель помещается до 31 контейнера в формате КриптоПро CSP. Реальное число меньше, если удостоверяющий центр записывает в контейнер большие сертификаты и дополнительные цепочки: на один такой контейнер может уходить порядка 12 килобайт.
Нужна ли отдельная лицензия КриптоПро, если подпись получена в УЦ ФНС
В рамках пилотного проекта удостоверяющего центра ФНС лицензия на КриптоПро CSP вшивается внутрь сертификата и действует столько же, сколько сам сертификат. Отдельно ставить её не нужно, в том числе на компьютере с истёкшей лицензией. Полная лицензия понадобится, если вы генерируете запросы на сертификат самостоятельно или используете на этой машине другие ключи.
Какая сертификация нужна ключевому носителю
Если носитель хранит извлекаемые ключи и работает как защищённое пин-кодом хранилище, достаточно сертификации ФСТЭК. Если устройство само генерирует ключи внутри криптоядра и участвует в формировании подписи, у него должна быть сертификация ФСБ: без неё подпись не будет считаться квалифицированной.
Что делать, если требуется работать с подписью на мобильном устройстве
Для мобильной работы есть два пути. Госключ хранит закрытый ключ прямо на телефоне, доступ защищён паролем приложения. Второй вариант — система электронной подписи с мобильным приложением подтверждения и носителем с NFC: документ уходит в сервис, вы получаете выжимку для ознакомления, подтверждаете подписание на телефоне, а подпись формируется на стороне сервиса и возвращается в информационную систему.
Обязательно ли подписывать соглашение об использовании подписи
Для УНЭП по соглашению сторон — да, без него подпись не признаётся сторонами. Для УНЭП, выданной с использованием инфраструктуры электронного правительства, соглашение не требуется: доверие к ней следует из самой процедуры выдачи через подтверждённую учётную запись на Госуслугах. Порядок создания и использования такого сертификата установлен постановлением Правительства РФ от 1 декабря 2021 года № 2152.
Как хранить подписанные документы, чтобы они пригодились в споре
Храните исходный файл документа и файл подписи вместе, в одной папке и с одинаковыми именами. Если подпись открепленная, для проверки понадобятся оба файла сразу. Не пересохраняйте PDF после подписания: любое изменение файла делает подпись недействительной при проверке.
