Электронную подпись в России регулирует Минцифры России: постановлением Правительства РФ от 28.11.2011 № 976 именно это министерство определено федеральным органом, уполномоченным в сфере использования электронной подписи. Оно аккредитует удостоверяющие центры, ведёт перечень аккредитованных УЦ и выполняет функции головного удостоверяющего центра. Требования к средствам электронной подписи, к средствам удостоверяющего центра и к форме квалифицированного сертификата устанавливает ФСБ России — приказы от 27.12.2011 № 795 и № 796. Сами сертификаты отдельным категориям заявителей выдают УЦ ФНС России, УЦ Федерального казначейства и УЦ Банка России по статьям 17.2-17.4 63-ФЗ. Различие, от которого зависит маршрут обращения: статус удостоверяющего центра и аккредитация — зона Минцифры, криптография и сертификация средств подписи — зона ФСБ, выдача конкретного сертификата — зона того УЦ, который закреплён за вашей категорией заявителя.
Ниже разобрано, какое полномочие закреплено за каждым органом и какой нормой это подтверждается, включая пороги статьи 16 63-ФЗ, по которым удостоверяющий центр получает и теряет аккредитацию. Отдельно показано, почему Роскомнадзор регулированием подписи не занимается. Во второй половине — сценарная таблица «какой вопрос в какой орган», пошаговая проверка сертификата по цепочке доверия, образцы документов и стоимость перевода кадровых документов в электронный вид.
Распределение полномочий: какой орган за что отвечает
Единого ведомства, которое отвечало бы за электронную подпись целиком, в российской модели нет. Полномочия разложены по трём осям: нормативное регулирование и допуск участников на рынок, криптографические требования и подтверждение соответствия средств подписи, выдача сертификатов конкретным категориям заявителей. Юристу это важно для практического действия: обращение не по адресу возвращается через месяц с рекомендацией обратиться в другой орган.
| Орган | Что закреплено | Норма |
|---|---|---|
| Правительство РФ | Определяет уполномоченный федеральный орган, устанавливает виды подписи для органов власти и требования к совместимости средств подписи | Статья 8 63-ФЗ, постановление № 976 от 28.11.2011 |
| Минцифры России | Аккредитация удостоверяющих центров, проверки, перечень аккредитованных УЦ, функции головного удостоверяющего центра, формы машиночитаемых доверенностей | Статьи 8 и 16 63-ФЗ, приказ Минцифры № 857 от 18.08.2021 |
| ФСБ России | Требования к средствам электронной подписи и средствам удостоверяющего центра, требования к форме квалифицированного сертификата, подтверждение соответствия средств | Приказы ФСБ России от 27.12.2011 № 795 и № 796 |
| ФНС России | Выдача квалифицированных сертификатов руководителям юридических лиц и индивидуальным предпринимателям, реестр машиночитаемых доверенностей | Статья 17.2 63-ФЗ |
| Федеральное казначейство | Выдача квалифицированных сертификатов должностным лицам органов власти и бюджетных организаций | Статья 17.3 63-ФЗ |
| Банк России | Выдача квалифицированных сертификатов кредитным и некредитным финансовым организациям | Статья 17.4 63-ФЗ |
| Минтруд России и Роструд | Правила применения видов подписи в кадровом документообороте, портал «Работа в России», надзор через ГИТ | Статьи 22.1-22.3 ТК РФ, 377-ФЗ |
Из таблицы следует практический вывод для представителя: спор о том, действителен ли сертификат, разрешается в плоскости аккредитации выдавшего его УЦ, а спор о том, годится ли конкретный носитель или программа для квалифицированной подписи, разрешается в плоскости сертификации по линии ФСБ. Это две разные проверки с разными доказательствами.
Минцифры России: аккредитация УЦ и головной удостоверяющий центр
Аккредитация удостоверяющего центра выдаётся на срок три года, если в решении не указан более короткий срок. Пороги допуска на рынок закреплены статьёй 16 63-ФЗ и они высокие: минимальный размер собственных средств (капитала) — не менее двух миллиардов рублей. Порог снижается до одного миллиарда рублей, если у центра есть филиалы или представительства не менее чем в трёх четвертях субъектов Российской Федерации либо если он выдаёт сертификаты со сроком действия двенадцать лет и более. Финансовое обеспечение ответственности за убытки третьим лицам — не менее ста миллионов рублей плюс пятьсот тысяч рублей за каждое место осуществления деятельности, а для центров, которые хранят ключи электронной подписи клиентов, — не менее двухсот миллионов рублей плюс те же пятьсот тысяч за каждое место.
Вторая функция Минцифры техническая по форме и решающая по последствиям: министерство работает как головной удостоверяющий центр в отношении аккредитованных УЦ. Сертификат каждого аккредитованного центра подписан вышестоящим сертификатом, и цепочка доверия любой квалифицированной подписи в конечном счёте упирается в корневой сертификат Минцифры. Актуальный состав перечня аккредитованных удостоверяющих центров и решения о приостановлении аккредитации публикует само министерство: раздел об аккредитации удостоверяющих центров на сайте Минцифры — первое место, куда стоит зайти, если контрагент прислал документ, подписанный незнакомым УЦ.
Внимание: удостоверяющие центры, не прошедшие аккредитацию, прекращают деятельность, а выданные ими ключи перестают действовать. Проверять аккредитацию нужно на дату выпуска сертификата, а не на дату спора.
Мария Ж, юрист со стажем более 20 лет: «В цепочке сертификатов квалифицированной подписи на верхнем уровне всегда стоит Минцифры, ниже — аккредитованный удостоверяющий центр, ниже — владелец. У неквалифицированной подписи такой цепочки нет: вверху стоит сам выдавший центр. Поэтому, когда вам присылают документ и говорят, что подпись усиленная, откройте сертификат и посмотрите иерархию издателей — это занимает минуту и сразу показывает, с каким видом подписи вы имеете дело.»
Проверьте, кто выдал сертификат на вашем документе
Проверка электронной подписи
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
2 Загрузите документ и файл подписи:
Документ
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Файл подписи (.sig)
Нужно подписать документ?
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Важный нюанс из практики: самая частая причина, по которой корректная квалифицированная подпись показывает ошибку, — на рабочем месте не установлен корневой сертификат Минцифры России и промежуточный сертификат выдавшего УЦ. Корневой сертификат министерства ставится в хранилище «Доверенные корневые центры сертификации», сертификат УЦ ФНС России — в «Промежуточные центры сертификации». В практике Добыто мы закрываем эту цепочку до начала массового подписания, иначе первая же волна отказов проверки уходит в поддержку как претензия к сервису.
ФСБ России: средства подписи, форма сертификата и сертификация СКЗИ
Требования к средствам электронной подписи и к средствам удостоверяющего центра установлены приказом ФСБ России от 27.12.2011 № 796, требования к форме квалифицированного сертификата — приказом от 27.12.2011 № 795. Для квалифицированной подписи это означает жёсткое условие: и программа, которой создаётся подпись, и средство удостоверяющего центра должны пройти подтверждение соответствия, то есть сертификацию по линии ФСБ. Сертификат на средство подписи имеет срок: у решений на базе КриптоПро CSP сертификаты выдаются на конкретные версии, и после окончания срока эксплуатация требует перехода на актуальную сертифицированную сборку.
Здесь же лежит развилка, на которой чаще всего ошибаются при закупке носителей. Если токен используется только как защищённое пин-кодом хранилище извлекаемого ключа, а криптографические операции выполняет программный криптопровайдер, достаточно сертификации ФСТЭК. Если ключ неизвлекаемый и подпись формируется внутри самого устройства, для признания подписи квалифицированной нужна сертификация ФСБ на само устройство. Формально требования применять неизвлекаемые ключи 63-ФЗ не содержит: закон требует обеспечить конфиденциальность ключа, а способ выбирает владелец.
Полезно знать: встроенная криптография на токене не заменяет программный продукт КриптоПро CSP. Если информационная система требует этот криптопровайдер, его всё равно нужно установить на рабочее место и активировать лицензию; в рамках проекта УЦ ФНС России лицензия вшивается в сертификат и действует столько же, сколько сам сертификат.
Мария Ж, специалист по цифровой подписи и КЭДО: «Средство подписи для работы с квалифицированной подписью поставляется с формуляром и правилами пользования, и именно в этих документах указан предельный срок действия ключа, который средство обеспечивает. Удостоверяющий центр назначает срок действия сертификата, опираясь на них. Если вам нужно понять, почему у одного сертификата год, а у другого больше, начните с регламента УЦ: он публикуется и его полезно прочитать до заключения договора.»
Кто фактически выдаёт квалифицированные сертификаты
После унификации 2021-2023 годов сертификаты на сотрудников организации больше не выпускаются: сертификат выдаётся на физическое лицо, а полномочия подтверждаются машиночитаемой доверенностью. Точка выдачи определяется категорией заявителя. Руководитель юридического лица и индивидуальный предприниматель получают квалифицированный сертификат в УЦ ФНС России бесплатно. Должностные лица органов власти и бюджетных организаций — в УЦ Федерального казначейства. Кредитные и некредитные финансовые организации — в УЦ Банка России. Все остальные, включая рядовых работников, обращаются в коммерческие аккредитованные удостоверяющие центры, и порядок выдачи там определяет регламент конкретного центра.
Отдельная конструкция — усиленная неквалифицированная подпись, созданная с использованием инфраструктуры электронного правительства. Порядок её создания и использования установлен постановлением Правительства РФ от 1 декабря 2021 года № 2152, а выпускается она в мобильном приложении Госключ по подтверждённой учётной записи на Госуслугах. Для кадровых документов это принципиально: часть 2 статьи 22.3 ТК РФ допускает применение работником такой подписи, и отдельное соглашение об использовании УНЭП с работником заключать не требуется. Для обычной УНЭП, выпущенной корпоративным центром, такое соглашение обязательно.
Кейс из практики: во внедрениях КЭДО на 1100 сотрудников подписание по одному кадровому процессу занимает 15-30 минут вместо нескольких недель на бумаге, около 70% работников выбирают именно УНЭП через Госключ, а годовая экономия на выпуске и обслуживании подписей достигает 0,5 млн рублей. Основное ограничение конструкции техническое: обезличенный сертификат для интеграции выпускает генеральный директор и перевыпускает лично раз в год.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Образцы рабочих документов по электронной подписи
Комплект для юриста и кадровой службы: начните с протокола проверки подписи — именно он превращает результат проверки в документ, который можно приложить к переписке или к делу.
| Документ | Скачать |
|---|---|
| Протокол проверки электронной подписи | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Машиночитаемая доверенность: образец и структура XML | Скачать |
| Реестр сертификатов сотрудников | Скачать |
| Регламент двустороннего обмена документами | Скачать |
Машиночитаемая доверенность: полномочия Минцифры и роль ФНС
Единые требования к формам доверенностей, необходимых для использования квалифицированной подписи, утверждены приказом Минцифры России от 18.08.2021 № 857. Сама доверенность — это XML-файл, подписанный квалифицированной подписью доверителя; PDF-визуализация доверенности документом не является. Проверяет её не человек, а алгоритм на стороне принимающей системы, поэтому полномочия кодируются через классификатор, размещённый в Единой системе нормативной и справочной информации. Каждое полномочие в классификаторе имеет код, дату и уникальный идентификационный номер, и в доверенность включается именно код.
Лайфхак: если нужного полномочия в классификаторе нет, участник электронного взаимодействия вправе направить свой перечень в Минцифры. На рассмотрение и решение о включении либо мотивированный отказ отводится 10 дней, при положительном решении на присвоение кодов и включение в классификатор — 3 рабочих дня.
Практический разрыв между нормой и жизнью здесь заметен. Сервис ФНС России «Создание и проверка доверенности в электронной форме» формирует доверенности для налоговых правоотношений, и это самый массовый сценарий; для остальных сфер классификатор наполняется постепенно, а на переходный период полномочия допускается вписывать текстом. Передоверие оформляется только через нотариуса: он проверяет данные, подписывает новую доверенность своей квалифицированной подписью и выгружает её в информационную систему.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Машиночитаемая доверенность закрывает вопрос полномочий, но не закрывает вопрос увольнения. Если в доверенности не указана должность, а только данные физического лица, после увольнения работника такая доверенность формально продолжает жить. Проверяйте при выдаче МЧД два реквизита: срок и привязку к должности, и вносите отзыв доверенности в лист прощания вместе с отзывом сертификата.»
Кто регулирует подпись в кадровых документах
Для кадрового электронного документооборота действует второй контур регулирования. Порядок применения видов подписи для конкретных кадровых документов установлен статьями 22.1-22.3 ТК РФ в редакции 377-ФЗ, надзор ведёт государственная инспекция труда, методическую позицию формирует Роструд. На портале «Работа в России» работник подписывает документы простой электронной подписью через подтверждённую учётную запись Госуслуг, а сам портал дополнительно заверяет результат подписью Федеральной службы по труду и занятости с указанием номера сертификата и срока действия.
Роскомнадзор в регулировании электронной подписи не участвует. Его зона — обработка персональных данных по 152-ФЗ, и она пересекается с подписью в одной точке: при выпуске сертификата и передаче данных работника оператору КЭДО обрабатываются персональные данные, а значит нужны законное основание и корректно оформленное согласие там, где основания в законе нет. Обращение в Роскомнадзор с вопросом о статусе удостоверяющего центра результата не даст.
Мария Ж, судебный эксперт по трудовому праву: «Штамп об электронной подписи на распечатке юридической силы не имеет: это визуализация для человека. В спор нужно нести электронный оригинал и файл подписи, чтобы её можно было проверить. Суды по кадровым спорам смотрят не на штамп, а на то, действовал ли сертификат в момент подписания и тот ли документ был передан на подписание, поэтому выгружайте из системы весь комплект, а не PDF с картинкой.»
Важный нюанс из практики: в двух известных спорах по кадровому электронному документообороту суды восстановили работников, потому что работодатель не смог подтвердить, что подписан был именно тот документ, который работник видел, и что подпись применялась по установленному регламенту. Оба решения вынесены в пользу работников с взысканием среднего заработка и компенсации морального вреда. Если вы работодатель и читаете этот раздел, проверку регламента и выгрузки удобнее закладывать до раскатки на всю компанию: мы в Добыто сначала прогоняем пилотную группу и на ней смотрим, что реально выгружается из системы по запросу проверяющих.
Куда идти юристу с конкретным вопросом
Сценарная таблица снимает основную часть ошибок маршрутизации. Слева типовая ситуация, справа — орган и предмет обращения.
| Ситуация | Куда идти | Что готовить |
|---|---|---|
| Сомнение в статусе удостоверяющего центра контрагента | Минцифры России, перечень аккредитованных УЦ | Наименование УЦ из поля «Издатель» сертификата, дата выпуска |
| Спор, годится ли программа или носитель для квалифицированной подписи | ФСБ России, подтверждение соответствия средства подписи | Формуляр и правила пользования средством, реквизиты сертификата соответствия |
| Нужен сертификат руководителю или индивидуальному предпринимателю | УЦ ФНС России | Сертифицированный носитель, документы по регламенту УЦ |
| Полномочия сотрудника не проходят проверку в информационной системе | Классификатор полномочий, при отсутствии кода — Минцифры России | XML-файл доверенности, перечень требуемых полномочий |
| Работник оспаривает подписание кадрового документа | ГИТ и суд, нормы статей 22.1-22.3 ТК РФ | Электронный оригинал, файл подписи, ЛНА о КЭДО, журнал операций |
| Сомнение в правомерности передачи данных работника оператору | Роскомнадзор, 152-ФЗ | Согласие на обработку персональных данных, договор с оператором |
Обратите внимание на последнюю строку: она единственная, где Роскомнадзор уместен, и предмет там персональные данные, а не подпись.
Как проверить, что сертификат выпущен уполномоченным субъектом: пошаговая инструкция
- Шаг 1. Откройте файл подписи и посмотрите поле «Издатель» в сертификате: там указано наименование выдавшего удостоверяющего центра.
- Шаг 2. Постройте цепочку сертификации до корневого сертификата. Для квалифицированной подписи вершиной цепочки будет Минцифры России, для неквалифицированной — сам выдавший центр.
- Шаг 3. Сверьте наименование издателя с перечнем аккредитованных удостоверяющих центров на дату выпуска сертификата, а не на текущую дату.
- Шаг 4. Проверьте, не отозван ли сертификат: по списку отозванных сертификатов и по ответу службы актуальных статусов, адреса которых указаны в самом сертификате.
- Шаг 5. Если подпись сопровождается меткой доверенного времени, зафиксируйте её: она подтверждает момент подписания после истечения срока действия сертификата.
- Шаг 6. Результат оформите протоколом проверки и приложите к нему исходный документ и файл подписи.
Когда обращение к регулятору вопрос не решает
Регулятор отвечает за статус участников и требования к средствам, но не разбирает частные споры о конкретном документе. Минцифры не подтвердит, что документ подписал именно ваш контрагент, и не восстановит утраченный ключ. ФСБ не даст заключение по вашей ситуации: подтверждение соответствия проводится в отношении средства подписи, а не отдельного случая его применения. Онлайн-ресурса, по которому можно узнать владельца ключа по подписи, тоже не существует: сведения о владельце содержатся в самом сертификате, приложенном к подписи.
Отзыв сертификата производит выдавший его удостоверяющий центр или УЦ ФНС по заявлению владельца, а не министерство. Удаление сертификата из хранилища на компьютере отзывом не является: пока запись не внесена в список отозванных сертификатов, ключ остаётся рабочим. При увольнении сотрудника с выпущенным на него сертификатом нужно последовательно отозвать сертификат в УЦ, аннулировать МЧД и зафиксировать оба действия.
Сколько стоит ошибка в выборе подписи и точки её выдачи
Первый слой цены — переоформление. Сертификат, выпущенный не в аккредитованном центре, к квалифицированной подписи не приравнивается, и все подписанные им документы приходится переподписывать заново по всей цепочке контрагентов. Второй слой процессуальный: документ, подписанный неподходящим видом подписи, теряет доказательственную силу в споре, а восстановление работника через суд оборачивается взысканием среднего заработка за период вынужденного прогула и компенсации морального вреда.
Третий слой связан со сроками. Аккредитация выдаётся на три года, и когда центр её не продлевает, выданные им ключи прекращают действовать: организация с сотнями сотрудников получает остановку подписания в момент, который она не выбирала. Планировать перевыпуск разумно за квартал до конца срока аккредитации центра, а не по факту отказа систем.
Стоимость перевода кадровых документов в электронный вид
Стоимость зависит от численности сотрудников, набора видов подписи и того, нужна ли интеграция с учётной системой. Электронные подписи ПЭП и УНЭП для сотрудников входят в тариф и выпускаются бесплатно, УКЭП оформляется через партнёров — удостоверяющие центры.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | годовой период |
| Интеграция с 1С:ЗУП готовым модулем | входит в тариф «Бизнес» | установка и настройка за один день |
| Выпуск подписей ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | по мере подключения |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
Итоговая сумма складывается из численности, выбранного набора подписей и требований к интеграции и уровню поддержки. Действующие условия по каждому пакету и состав функций опубликованы на странице тарифов ДОБЫТО КЭДО; переход между тарифами возможен в любое время, при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Регулирование электронной подписи в России держится на разделении ролей. Минцифры России отвечает за допуск удостоверяющих центров на рынок, ведёт их перечень и работает головным удостоверяющим центром. ФСБ России устанавливает требования к средствам подписи и к форме квалифицированного сертификата и подтверждает соответствие этих средств. Сертификаты выдают УЦ ФНС, Казначейства, Банка России и коммерческие аккредитованные центры — каждый своей категории заявителей. Кадровое применение подписи закрыто отдельным контуром: статьи 22.1-22.3 ТК РФ, надзор ГИТ, персональные данные по линии Роскомнадзора.
Мы в Добыто ежедневно работаем на стыке этих контуров: подбираем допустимый вид подписи под конкретный кадровый документ, закрываем цепочку доверия на рабочих местах и собираем выгрузку, которая выдерживает проверку. Это та часть задачи, где нормы 63-ФЗ превращаются в рабочий процесс кадровой службы.
Частые вопросы
Нужна ли аккредитация для выдачи неквалифицированных сертификатов?
Аккредитация по статье 16 63-ФЗ требуется для выдачи квалифицированных сертификатов. Выпускать неквалифицированные сертификаты организация может своими средствами, развернув удостоверяющий центр внутри компании либо обратившись к внешнему центру, который оказывает такую услугу. Ограничения на программное обеспечение и алгоритмы здесь нет, но юридическая значимость обеспечивается не законом, а соглашением сторон, где описаны порядок создания и проверки подписи и порядок разбора конфликтных ситуаций.
Может ли иностранный гражданин получить электронную подпись в России?
Да. Ключевое условие — подтверждённая учётная запись на Госуслугах. Для нерезидентов подтверждение записи проходит в центрах обслуживания, банковский способ подтверждения им недоступен. С подтверждённой записью такой работник выпускает УНЭП в приложении Госключ и подписывает кадровые документы наравне с остальными.
Что делать, если удостоверяющий центр лишился аккредитации после выпуска моего сертификата?
Сопоставьте дату выпуска сертификата с датой прекращения аккредитации центра. Документы, подписанные до прекращения аккредитации и имеющие метку доверенного времени, сохраняют доказательственную позицию. Для дальнейшей работы потребуется новый сертификат в действующем аккредитованном центре; переподписание ранее оформленных документов оформляется письмом контрагенту либо актом о невозможности переподписания.
Обязательно ли использовать метку доверенного времени?
Прямого требования применять штамп времени 63-ФЗ не содержит. При этом без него нельзя однозначно установить момент подписания, а сертификат действует ограниченный срок, чаще всего год. Службы штампов времени работают у аккредитованных удостоверяющих центров и у ФНС России, и подключение такой службы закрывает риск спора о дате подписания.
Можно ли передать свой ключ подписи другому сотруднику с письменного согласия?
Часть 1 статьи 10 63-ФЗ обязывает не допускать использование ключа без согласия владельца, но передачу ключа третьим лицам закон не регламентирует. На практике это создаёт правовой тупик: подпись под документом остаётся подписью владельца сертификата, и ответственность за содержание документа несёт он. Корректный путь для делегирования — отдельный сертификат физического лица на сотрудника и машиночитаемая доверенность с кодом полномочия.
Какие форматы файлов подписи считаются корректными?
Отсоединённая подпись хранится отдельным файлом рядом с документом, присоединённая включается внутрь документа. Технически применяются контейнеры формата PKCS#7 (он же CMS) и усовершенствованные форматы CAdES; расширение файла при этом может быть p7s, sig или sgn, оно задаётся настройкой программы подписания и на юридическую силу не влияет. Для проверки отсоединённой подписи в сервис загружаются оба файла: документ и файл подписи.
Кто отвечает за компрометацию ключа, если он хранится в облаке удостоверяющего центра?
При облачном хранении закрытая часть ключа находится на стороне удостоверяющего центра, и ответственность за доступ к ней и расследование инцидента лежит на центре. При хранении ключа на токене или в мобильном приложении ответственность несёт владелец. В любом случае при подозрении на компрометацию владелец обязан уведомить удостоверяющий центр и других участников взаимодействия и добиться отзыва сертификата.
