КЭП от удостоверяющего центра ФНС России отличается от подписи коммерческого УЦ не криптографией, а регламентом выдачи и владения: её получает только руководитель юрлица, индивидуальный предприниматель или руководитель аккредитованного филиала иностранной организации, лично, в единственном экземпляре, бесплатно и на 15 месяцев, а ключ записывается на носитель без права копирования. Сертификат нельзя выпустить на бухгалтера: сотрудник подписывает документы собственной КЭП физического лица и машиночитаемой доверенностью. Носитель и лицензия на криптопровайдер устроены иначе, чем в коммерческом УЦ: токен вы покупаете сами, а лицензия КриптоПро CSP вшивается внутрь сертификата и работает ровно столько, сколько действует сам сертификат.
Ниже сравним УЦ ФНС с коммерческим удостоверяющим центром по восьми параметрам, покажем, кому налоговая подпись не положена вовсе и куда идти вместо неё, и разберём требование Социального фонда России к расширению Key Usage, из-за которого с 1 сентября 2026 года часть отчётности отклоняется автоматически. Отдельно: настройка рабочего места по шагам, чем файл .p7s отличается от .sig и что делать, если пароль от контейнера утерян. Стоимость перевода кадровых документов в электронный вид, комплект скачиваемых форм и ответы на частые вопросы — во второй половине статьи.
Чем КЭП от УЦ ФНС отличается от подписи коммерческого удостоверяющего центра
Криптография у обеих подписей одна и та же: алгоритмы ГОСТ, сертифицированный криптопровайдер, одинаковая юридическая сила по 63-ФЗ «Об электронной подписи». Различия начинаются на уровне регламента: кто вправе получить сертификат, что записано в поле владельца, можно ли скопировать ключ и что входит в комплект.
| Параметр | УЦ ФНС России | Коммерческий аккредитованный УЦ |
|---|---|---|
| Кто получает | Лицо, действующее без доверенности от имени юрлица, ИП, руководитель аккредитованного филиала иностранной организации | Физические лица, в том числе сотрудники организаций |
| Что в сертификате | ФИО руководителя и реквизиты организации, ИНН и ОГРН | Только ФИО и СНИЛС физлица, без привязки к работодателю |
| Стоимость сертификата | Бесплатно, с 01.01.2022 | По тарифам конкретного УЦ |
| Срок действия | 15 месяцев | Устанавливает удостоверяющий центр |
| Первичное получение | Лично в месте выдачи либо дистанционно через приложение Госключ версии не ниже 2.3.5 при подтверждённой биометрии | Личный визит или удалённая идентификация по правилам самого УЦ |
| Копирование ключа | Контейнер неэкспортируемый, скопировать на второй носитель нельзя | Зависит от политики УЦ: флаг экспорта может быть включён |
| Лицензия КриптоПро CSP | Вшита в сертификат и действует по срок сертификата | Оплачивается отдельно либо входит в пакет услуг |
| Носитель | Заявитель приносит свой, сертифицированный ФСТЭК или ФСБ | Обычно продаётся в комплекте с сертификатом |
Для бухгалтерии практический смысл этой таблицы сводится к двум пунктам: подпись руководителя существует в одном экземпляре и физически привязана к токену, а всё, что подписывает бухгалтер, требует отдельного сертификата на его собственное имя.
Мария Ж, специалист по цифровой подписи и КЭДО: «Регламент УЦ ФНС не даёт скопировать контейнер: ключ выдаётся неэкспортируемым, и это сделано для того, чтобы подпись директора не расходилась по компьютерам отдела. Отсюда типовая развилка: либо руководитель подписывает всё сам с одного токена, либо компания выпускает сотрудникам сертификаты физлиц и оформляет машиночитаемые доверенности. Проверьте прямо сейчас, сколько человек в компании фактически подписывает документы, и посчитайте, сколько сертификатов вам нужно.»
Кому УЦ ФНС не выдаст сертификат и куда идти вместо него
Разделение удостоверяющих центров закреплено в 63-ФЗ и не зависит от желания заявителя: если организация относится к поднадзорной Банку России сфере, налоговая инспекция сертификат просто не выпустит. Порядок обращения, перечень мест выдачи и предупреждения о недобросовестных посредниках опубликованы в разделе удостоверяющего центра ФНС России на сайте налоговой службы.
| Кто подписывает | Где получают сертификат | Что дополнительно нужно |
|---|---|---|
| Директор ООО, АО, ИП | УЦ ФНС России или доверенное лицо УЦ ФНС | Свой носитель, паспорт, СНИЛС |
| Бухгалтер, юрист, кадровик | Аккредитованный коммерческий УЦ, сертификат физлица | Машиночитаемая доверенность от руководителя |
| Банк, оператор платёжной системы, некредитная финансовая организация | УЦ Банка России | Порядок выдачи устанавливает Банк России |
| Должностные лица госорганов и бюджетных учреждений | УЦ Федерального казначейства | Заявка через ведомство |
| Нотариус | Фонд «Центр инноваций и информационных технологий» при Федеральной нотариальной палате | Обращение через палату |
| Информационная система, которая подписывает документы автоматически | УЦ ФНС России, обезличенный сертификат | Сертификат привязан к системе, сотрудники им подписывать не могут |
Отдельная строка про обезличенный сертификат закрывает частый запрос бухгалтерии: если счета, квитанции или запросы в госорганы формируются потоком, подписывать их личным ключом директора не нужно. Такой сертификат выдаётся на юрлицо или ИП, привязывается к информационной системе, и подписание идёт без участия человека.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Обезличенный сертификат снимает вопрос «кто нажмёт кнопку» в потоковых операциях, но перечень документов, которые им можно подписывать, ограничен, и сотрудники такой подписью не пользуются. Перед тем как запрашивать его, выпишите, какие именно потоки у вас автоматические, а какие требуют решения конкретного человека.»
Что проверить в сертификате после 1 сентября 2026 года: требование СФР
Социальный фонд России проверяет расширение Key Usage в сертификате подписанта и требует наличия трёх атрибутов: keyAgreement (согласование ключей), dataEncipherment (шифрование данных) и keyEncipherment (шифрование ключа). Отчётность, подписанная сертификатом без этих параметров, отклоняется автоматически, без ручного разбора. Сертификаты, выданные после 28 августа 2025 года, содержат все три атрибута; более ранние нужно перевыпускать.
Проверить это можно за минуту: откройте свойства сертификата, вкладку «Состав», строку «Использование ключа». Заодно посмотрите поле «Кем выдан»: у налоговой подписи там указан удостоверяющий центр ФНС России, у коммерческой — название конкретного УЦ. В практике Добыто именно поле издателя чаще всего расставляет всё по местам, когда в компании спорят, чья подпись стоит под документом.
Внимание: контейнер, выданный УЦ ФНС, по регламенту записывается без права копирования. Передать бухгалтеру «копию подписи директора» технически невозможно, а передача самого токена нарушает обязанность владельца обеспечивать конфиденциальность ключа по 63-ФЗ.
Проверьте, каким сертификатом подписан ваш документ
Проверка электронной подписи
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
2 Загрузите документ и файл подписи:
Документ
Файл подписи (.sig)
Нужно подписать документ?
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Носитель, лицензия КриптоПро CSP и настройка рабочего места
Носитель для налоговой подписи заявитель приносит свой. Подходит USB-токен, сертифицированный ФСТЭК или ФСБ России: Рутокен Лайт, Рутокен S, Рутокен ЭЦП 2.0 и 3.0, JaCarta-2 ГОСТ, ESMART Token ГОСТ. Разница между моделями не в форме корпуса, а в том, где рождается ключ. Пассивный носитель вроде Рутокен Лайт работает как защищённое пин-кодом хранилище: ключ генерирует программный криптопровайдер, и при подписании он ненадолго попадает в оперативную память компьютера. Модель с криптоядром на борту умеет генерировать неизвлекаемый ключ, который никогда не покидает микроконтроллер.
По умолчанию УЦ ФНС записывает извлекаемый, но неэкспортируемый контейнер: подпись работает на любом компьютере с установленным криптопровайдером, а скопировать её нельзя. Формат с ключом на борту токена выдаётся, если модель носителя это поддерживает, и об этом нужно попросить при выдаче. На носителе объёмом 128 КБ помещается до 31 контейнера в обычном формате, поэтому один токен закрывает несколько организаций, если директор в них один и тот же.
Важный нюанс из практики: лицензия КриптоПро CSP, вшитая в сертификат УЦ ФНС, распространяется только на этот ключ. Если на том же компьютере вы работаете с чужими сертификатами, формируете запросы на сертификат самостоятельно или используете ключи других удостоверяющих центров, потребуется полноценная лицензия на криптопровайдер.
Факт: для работы с подписью УЦ ФНС нужна КриптоПро CSP версии 5.0 R2 сборки 12000 или выше, плагин КриптоПро ЭЦП Browser Plug-in с включённым расширением браузера и два корневых сертификата: Минцифры России и УЦ ФНС России.
Как настроить рабочее место для КЭП УЦ ФНС: пошаговая инструкция
- Шаг 1. Определите тип носителя по корпусу или документам и установите драйверы производителя: Рутокен, JaCarta или eSmart. Установка идёт в режиме по умолчанию, до сообщения о завершении.
- Шаг 2. Установите КриптоПро CSP версии 5.0 R2 сборки 12000 или выше. Дистрибутив вместе с браузерным плагином выдаётся в рамках эксперимента по безвозмездному предоставлению программного обеспечения пользователям УЦ ФНС на сайте разработчика, раздел fns_experiment.
- Шаг 3. Скачайте с адреса uc.nalog.ru/crt два файла: корневой сертификат Минцифры России guc_22.cert и корневой сертификат УЦ ФНС России CA_FNS_Russia_2022_01.cert. Первый устанавливается в хранилище «Доверенные корневые центры сертификации», второй — в «Промежуточные центры сертификации». Хранилища перепутать нельзя: цепочка доверия не выстроится, и подпись будет проверяться с ошибкой.
- Шаг 4. Установите личный сертификат с носителя: КриптоПро CSP, вкладка «Сервис», кнопка «Просмотреть сертификаты в контейнере», «Обзор», выбор контейнера, затем «Далее» до завершения мастера.
- Шаг 5. Установите КриптоПро ЭЦП Browser Plug-in, включите расширение в браузере и проверьте его работу на странице разработчика кнопкой проверки плагина.
- Шаг 6. Получите код абонента через сервис регистрации сертификата ФНС: зарегистрируйтесь, загрузите файл сертификата и дождитесь присвоения идентификатора. Код понадобится в программе «Налогоплательщик ЮЛ» при формировании транспортного контейнера, который выгружается архивом вида FNS_1KKIKK@xxxxxx.ZIP и отправляется через сервис представления налоговой и бухгалтерской отчётности.
Инструкции и рабочие формы для подписи от УЦ ФНС
Начните с памятки по настройке: она собрана под сценарий отправки отчётности через сайт налоговой службы.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Документ | Скачать |
|---|---|
| Памятка по настройке КЭП для налоговой | Скачать |
| Инструкция по установке ЭЦП на компьютер | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Машиночитаемая доверенность: образец и структура XML | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
| Реестр сертификатов сотрудников | Скачать |
Почему бухгалтер не подписывает отчётность подписью директора
Сертификаты с указанием сотрудника юридического лица перестали выдаваться, и подписание документов сейчас идёт двумя способами: либо руководитель подписывает своей квалифицированной подписью, либо сотрудник подписывает КЭП физического лица с приложением машиночитаемой доверенности. Третьего варианта нет: подпись, поставленная сотрудником без доверенности от имени организации, оспаривается как совершённая неуполномоченным лицом.
Машиночитаемая доверенность — это XML-файл, подписанный подписью руководителя. Внешне она может выглядеть как обычная доверенность, если выгрузить её в PDF, но использовать её без информационной системы нельзя. Данные МЧД включают сведения о доверителе, доверенном лице и полномочиях; полномочия указываются кодом из классификатора либо текстом, пока нужного кода в классификаторе нет. Бухгалтеру на аутсорсе, который ведёт три компании, теперь нужен один сертификат физлица и три доверенности вместо трёх разных сертификатов.
Полезно знать: действующую доверенность контрагента можно проверить на сервисе ФНС по трём параметрам: 36-значный номер МЧД, ИНН доверителя и СНИЛС доверенного лица. Сервис показывает статус и состав полномочий.
Передоверие внутри компании подчиняется правилам Гражданского кодекса: без нотариуса обходятся доверенность от юрлица к юрлицу и цепочка с участием руководителя обособленного филиала. Если главный бухгалтер передоверяет полномочия бухгалтеру внутри одной организации, доверенность заверяется нотариально, и МЧД здесь не исключение. Поэтому МЧД на филиал обычно выпускает головная организация напрямую на конкретного сотрудника филиала, а не через цепочку передоверия.
Важный нюанс из практики: любое изменение полномочий ломает подпись под XML-файлом, поэтому расширить действующую доверенность нельзя — выпускается новая. Компании, которые ведут реестр выданных сертификатов и доверенностей с датами окончания, узнают об истечении срока заранее, а не в день сдачи отчётности.
Если вы работодатель и читаете этот раздел с мыслью, что подписей в компании стало слишком много, кадровую часть документооборота можно закрыть отдельным контуром: сотрудникам для кадровых документов достаточно ПЭП и УНЭП, а не квалифицированной подписи. В Добыто подписи для сотрудников выпускаются внутри сервиса, а журнал ЭЦП по компании ведётся автоматически: кому выдан сертификат, на какой срок, какие документы им подписаны.
Мария Ж, юрист со стажем более 20 лет: «Обязанность оформить электронную подпись не возникает у работника сама по себе, и в трудовых договорах старого образца её обычно нет. Для кадровых документов эта проблема снимается видом подписи: закон разрешает подписывать большинство из них простой или усиленной неквалифицированной подписью, которую работодатель выдаёт сам. Сверьте перечень документов, которые вы планируете подписывать, с требованиями к виду подписи до того, как начнёте закупать сертификаты.»
Форматы файла подписи: чем .p7s отличается от .sig
Расширение файла подписи не меняет её сути. Подпись p7s, sig, sgn, sign и bin — это один и тот же контейнер CMS по стандарту PKCS#7, записанный с разным именем файла: в настройках КриптоПро и КриптоАРМ расширение выбирается из списка. Приёмная сторона может требовать конкретное расширение, и тогда файл достаточно переименовать, а не переподписывать документ.
Что действительно различается, так это присоединённая и откреплённая подпись. В первом случае документ и подпись лежат в одном файле, во втором подпись хранится отдельным файлом рядом с исходным документом. Письмо ЭЦП контрагенту при откреплённой подписи содержит пару файлов: сам документ и файл подписи; если отправить только один из них, проверить подпись получатель не сможет. Для наглядности рядом с оригиналом часто формируют копию со штампом визуализации, но юридически значим исходный документ, а не копия со штампом.
Лайфхак: для документов с длительным сроком хранения подпись усовершенствуют, добавляя штамп времени и подтверждение статуса сертификата на момент подписания. Это позволяет проверить подпись после того, как срок действия сертификата закончится.
Что делать, если забыли пароль, потеряли токен или пропустили срок
Пароль от контейнера и пин-код носителя не восстанавливаются: удостоверяющий центр не хранит их и не может подсказать. Если забыли ЭЦП-пароль и лимит попыток исчерпан, ключ считается недоступным, а сертификат подлежит перевыпуску. То же самое при утере или поломке токена: сначала подаётся заявление на аннулирование сертификата, затем выпускается новый.
Со сроками работает простое правило: пока текущий сертификат УЦ ФНС действует, новый оформляется дистанционно в личном кабинете налогоплательщика. Как только срок истёк, дистанционный путь закрывается и остаётся личный визит в место выдачи или к доверенному лицу УЦ ФНС. Получить ЭЦП быстро в день сдачи отчётности не выйдет: очередь и настройка рабочего места съедают время, поэтому перевыпуск планируют минимум за две недели до окончания срока.
Мария Ж, юрист со стажем более 20 лет: «Пароль от контейнера не восстанавливает никто: ни удостоверяющий центр, ни служба поддержки криптопровайдера. Единственный путь после исчерпания попыток — аннулирование сертификата и выпуск нового, а это снова личный визит, если срок действия уже прошёл. Заведите таблицу с датами окончания сертификатов и ставьте напоминание за 30 дней: в практике Добыто это снимает большую часть авралов перед отчётной датой.»
Цена ошибки считается не стоимостью подписи. Отчётность, отклонённая из-за недействительного сертификата или отсутствия нужных атрибутов в Key Usage, считается непредставленной. Штраф по статье 119 Налогового кодекса РФ составляет 5% от неуплаченной суммы налога за каждый полный и неполный месяц просрочки, но не менее 1000 рублей и не более 30% от суммы. Отдельный риск возникает при подписании документа сотрудником без действующей доверенности: контрагент вправе оспорить сделку как совершённую неуполномоченным лицом, если руководитель впоследствии её не одобрит.
Стоимость перевода кадровых документов в электронный вид
Сама квалифицированная подпись в УЦ ФНС выдаётся бесплатно, отдельно оплачивается только носитель. Расходы возникают там, где документов много и подписывать их нужно всей компанией: подключение сотрудников к кадровому электронному документообороту тарифицируется по численности.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт», до 25 сотрудников | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес», без ограничения по численности | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | период 12 месяцев |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API | по запросу | рассчитывается индивидуально |
| ПЭП и УНЭП для сотрудников | входят в тариф | выпуск при подключении |
| УКЭП для сотрудников через партнёров-удостоверяющих центров | по запросу | по регламенту УЦ |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | 1 день |
Итоговая сумма зависит от численности и набора функций: кастомные шаблоны, электронный архив и приоритетная поддержка входят в тариф «Бизнес», а выделенный сервер и персональный менеджер — в «Корпорацию». Состав каждого тарифа и условия перехода между ними опубликованы на странице тарифов ДОБЫТО КЭДО.
Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 Трудового кодекса РФ и 152-ФЗ о персональных данных, а тариф можно повысить или понизить в любое время с пропорциональным пересчётом разницы.
Выводы
Подпись УЦ ФНС создана под одну роль: первое лицо организации подписывает документы от её имени, бесплатно, с одного носителя, без возможности размножить ключ. Всё, что подписывают остальные сотрудники, строится на сертификате физического лица и машиночитаемой доверенности, а расширение файла подписи и способ его передачи контрагенту к юридической силе отношения не имеют. Ближайшая рабочая задача бухгалтерии на 2026 год — сверить состав Key Usage в действующем сертификате и заранее спланировать перевыпуск, пока текущий сертификат позволяет сделать это дистанционно.
Кадровая часть документооборота живёт по другим правилам: там сотрудникам обычно не нужна квалифицированная подпись, и вопрос закрывается выпуском ПЭП и УНЭП внутри системы. Мы в Добыто настраиваем этот контур вместе с учётом сертификатов и сроков их действия, чтобы подписи не заканчивались в момент сдачи отчётности.
Частые вопросы
Можно ли одной подписью УЦ ФНС подписывать документы нескольких компаний?
Нет. Сертификат выдаётся на конкретное юридическое лицо и содержит его ИНН и ОГРН, поэтому директор трёх организаций получает три сертификата. Все три контейнера при этом можно хранить на одном токене: на носителе объёмом 128 КБ помещается до 31 контейнера в обычном формате, а фактическое количество зависит от того, какие расширения удостоверяющий центр записал в сертификат.
Нужна ли отдельная МЧД для сотрудника обособленного филиала?
Доверенность нужна любому сотруднику, который подписывает документы от имени организации, независимо от того, где он работает. Практичнее выпускать МЧД сразу от головной организации на конкретного работника филиала: цепочка через передоверие внутри компании требует нотариального удостоверения, и без нотариуса обходятся только доверенность от юрлица к юрлицу и вариант с участием руководителя обособленного филиала.
Что делать, если контрагент прислал документ и файл .p7s, а система принимает только .sig?
Содержимое файла в обоих случаях одинаковое: это контейнер CMS по стандарту PKCS#7. Расширение задаётся настройкой программы подписания, поэтому файл можно переименовать и загрузить заново. Если система отклоняет файл и после переименования, причина в другом: чаще всего в отсутствии исходного документа рядом с откреплённой подписью или в неустановленном корневом сертификате.
Сохраняет ли документ силу, если срок действия сертификата уже истёк?
Да, если подпись была действительна в момент подписания. Проблема возникает при проверке спустя годы: без дополнительных доказательств валидность подтвердить сложно. Для документов с длительным сроком хранения подпись усовершенствуют, добавляя штамп времени и подтверждение статуса сертификата на момент создания подписи, а затем архивную метку поверх них.
Обязательно ли покупать носитель, если есть биометрия в Единой биометрической системе?
При дистанционном выпуске через мобильное приложение Госключ версии не ниже 2.3.5 ключ хранится в приложении, и физический токен для него не нужен. Для работы с программами на компьютере и отправки транспортных контейнеров через сайт налоговой службы носитель и криптопровайдер по-прежнему требуются, поэтому выбор способа зависит от того, где именно вы подписываете документы.
Кто отвечает, если сотрудник подписал документ с просроченной доверенностью?
Проверка полномочий подписанта лежит на принимающей стороне, а риск оспаривания сделки несёт компания, от имени которой действовал сотрудник. Гражданский кодекс допускает последующее одобрение действий неуполномоченного лица руководителем, но рассчитывать на это как на рабочую схему не стоит: проще вести реестр доверенностей с датами окончания и перевыпускать их заранее.
Зачем нужен код абонента и где его взять?
Код абонента, он же идентификатор налогоплательщика, присваивается удостоверяющим центром и используется при формировании транспортного контейнера в программе «Налогоплательщик ЮЛ». Получают его самостоятельно через сервис регистрации сертификата на сайте налоговой службы: нужно зарегистрироваться, загрузить файл сертификата и дождаться, пока система выдаст идентификатор.
