Посещение офиса удостоверяющего центра обязательно в одной ситуации: вы впервые получаете квалифицированную подпись, и вашу личность нечем подтвердить дистанционно. Статья 18 закона 63-ФЗ допускает идентификацию без личного присутствия: по действующей квалифицированной подписи, по подтверждённой биометрии в ЕБС и по загранпаспорту нового поколения через NFC-модуль смартфона. Работнику для кадрового документооборота удостоверяющий центр не нужен вообще: ПЭП и УНЭП выдаёт работодатель, а УНЭП ЕСИА выпускается в приложении Госключ по подтверждённой учётной записи Госуслуг. Различие, от которого зависит ответ: для подписи работника в КЭДО визит не требуется никогда, для первой УКЭП физического лица он требуется, когда нет ни биометрии, ни действующего сертификата, ни биометрического загранпаспорта.
Дальше идёт сценарная таблица, по которой вы за минуту определите, нужен ли визит именно вам, и разбор четырёх способов удалённой идентификации с их техническими требованиями. Покажем, что придётся установить на компьютер, если подпись выдана на токене, и какие носители для этого подходят. Отдельно разберём, что делать при утрате доступа к подписи и как аннулировать сертификат. Комплект документов для выпуска, этапы и точки задержки, стоимость подключения КЭДО на 2026 год и ответы на частые вопросы находятся во второй половине статьи.
Кому визит в удостоверяющий центр нужен, а кому нет
Обязанность идентифицировать заявителя закреплена в статье 18 закона от 06.04.2011 № 63-ФЗ «Об электронной подписи». Перечень способов идентификации закрытый, и три из четырёх вариантов работают без присутствия человека в офисе. Удостоверяющий центр не вправе требовать явку, если заявитель проходит по одному из дистанционных вариантов, и точно так же не вправе выпустить сертификат, когда ни один из них не подходит.
Сверьте свою ситуацию со строкой таблицы: в первом столбце роль и задача, в последнем — то, чем подтверждается личность.
| Ситуация | Вид подписи | Нужен визит | Чем подтверждается личность |
|---|---|---|---|
| Работник подписывает кадровые документы в системе КЭДО работодателя | ПЭП или УНЭП | Нет | Идентификация при трудоустройстве, ЛНА о КЭДО и соглашение об использовании подписи |
| Работник подписывает кадровые документы через Госключ | УНЭП ЕСИА | Нет | Подтверждённая учётная запись Госуслуг |
| Физическое лицо получает УКЭП, биометрия в ЕБС зарегистрирована на уровне «Подтверждённая» | УКЭП | Нет | Сведения ЕСИА и ЕБС, лицо и голос |
| У физического лица есть загранпаспорт нового поколения и смартфон с NFC | УКЭП в Госключе | Нет | Электронный носитель с биометрическими данными в паспорте |
| Первая УКЭП, биометрии нет, загранпаспорта нового поколения нет | УКЭП | Да | Личное присутствие в удостоверяющем центре; для Госключа — очная идентификация в офисе «Мои документы» или в банке |
| Руководитель организации или ИП продлевает сертификат УЦ ФНС до истечения срока действия | УКЭП | Нет | Действующий сертификат, которым подписывается заявка в личном кабинете |
| Руководитель организации или ИП получает подпись в УЦ ФНС впервые и без биометрии | УКЭП | Да | Личное присутствие в точке выдачи УЦ ФНС или у доверенного лица УЦ ФНС |
Из семи типовых ситуаций визит остаётся только в двух, и обе связаны с первым получением квалифицированной подписи при отсутствии удалённой идентификации. Проверьте уровень своей биометрии в профиле на Госуслугах: если он ниже «Подтверждённой», удалённый маршрут по биометрии закрыт.
Четыре способа подтвердить личность без визита в офис
Первый способ работает у тех, у кого подпись уже есть. При перевыпуске сертификата до истечения срока действия очный визит не требуется: заявка отправляется из личного кабинета налогоплательщика и подписывается действующим сертификатом, поэтому токен с ним должен быть подключён к компьютеру. Как только срок действия истёк, маршрут закрывается и остаётся личное присутствие. Переоформление в УЦ ФНС не оплачивается ни при дистанционном, ни при очном обращении.
Второй способ — биометрия. Получить квалифицированный сертификат по биометрии можно при подтверждённой учётной записи на Госуслугах и регистрации в ГИС ЕБС на уровне «Подтверждённая»: этот уровень регистрируется в банке и является старшим из трёх, наряду с «Упрощённой» и «Стандартной». Понадобятся компьютер или ноутбук с камерой и микрофоном, установленные средства электронной подписи и сертифицированный ФСБ России или ФСТЭК России носитель USB-типа. Технические требования и порядок описаны в разъяснении о том, как оформить квалифицированную электронную подпись по биометрии без обращения в удостоверяющий центр лично. Ограничение маршрута: ГИС ЕБС хранит два вида биометрии, лицо и голос.
Третий способ — загранпаспорт нового поколения. В приложении Госключ паспорт прикладывается к смартфону с NFC-модулем, приложение считывает данные с чипа и выпускает сертификат УКЭП. Паспорт старого образца для этого не подходит.
Четвёртый способ доступен любому, у кого есть подтверждённая учётная запись Госуслуг: это выпуск УНЭП в Госключе. Отдельная идентификация не проводится, потому что подпись создаётся в инфраструктуре электронного правительства.
Факт: по части 2 статьи 22.3 ТК РФ работник вправе использовать УНЭП ЕСИА, то есть Госключ. Такая подпись не требует отдельного соглашения между работником и работодателем об использовании УНЭП. Правила создания и использования сертификата установлены постановлением Правительства РФ от 01.12.2021 № 2152.
Где физически лежит закрытая часть ключа, зависит от выбранного маршрута. В Госключе ключ хранится в приложении на вашем телефоне, при облачном варианте — на сервере удостоверяющего центра, и тогда ответственность за компрометацию несёт центр. На токене ключ находится у вас в руках, и отвечаете за него вы.
Проверьте, действительна ли подпись на вашем документе
Проверка электронной подписи
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
2 Загрузите документ и файл подписи:
Документ
Файл подписи (.sig)
Нужно подписать документ?
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Мария Ж, специалист по цифровой подписи и КЭДО: «Дистанционная идентификация давно перестала быть исключением: она завязана на подтверждённую учётную запись Госуслуг, и именно на ней спотыкаются чаще всего. Прежде чем планировать выпуск подписи, зайдите в профиль и убедитесь, что запись подтверждена, а не упрощена. Если она когда-то была удалена, восстанавливайте её заранее, иначе удалённый маршрут превратится в поездку в офис.»
Работнику для кадровых документов удостоверяющий центр не нужен
Кадровый документооборот построен на трёх видах подписи из 63-ФЗ, и ни один из них не требует от работника поездки в удостоверяющий центр. Простая электронная подпись подтверждает только авторство: это ваши учётные данные в корпоративной системе. На портале «Работа в России» применяется ПЭП ЕСИА, доступная гражданину с подтверждённой учётной записью Госуслуг, а поверх подписанного документа портал ставит отметку Федеральной службы по труду и занятости с номером сертификата и сроком его действия.
Усиленная неквалифицированная подпись бывает двух видов. УНЭП по соглашению сторон выпускает сам работодатель или его оператор КЭДО, и для неё подписывается соглашение об использовании. УНЭП ЕСИА выпускается в Госключе, и соглашение для неё не требуется. Квалифицированная подпись работнику для кадровых документов нужна редко, и в тех случаях, когда она нужна, её тоже можно выпустить со смартфона.
В сервисе Добыто ПЭП и УНЭП для сотрудников входят в тариф и выпускаются в рамках подключения, без обращения в удостоверяющий центр; УКЭП, если она понадобится, оформляется через партнёров-удостоверяющие центры. Отсюда и практический вывод для новичка: приглашение в систему, регистрация, подтверждение выдачи подписи и подписание комплекта документов проходят в одном сеансе, из браузера или с телефона.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Если вы читаете этот раздел как работодатель и думаете, что организовать выдачу подписей сложно, отдельный удостоверяющий центр на своей стороне для КЭДО разворачивать не нужно: подписи для сотрудников выпускает оператор, а работник подтверждает личность через Госуслуги.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Госключ снимает с работодателя самую неприятную часть внедрения — организацию выдачи подписей. Работнику нужен только смартфон, схема понятна даже возрастным сотрудникам, а подписание одного документа при установленном приложении занимает около минуты. Мы советуем прописать в положении о КЭДО один основной вид подписи, а не три: когда у сотрудника есть выбор из нескольких вариантов, растёт число обращений в поддержку.»
Внимание: закрытая часть ключа Госключа хранится на вашем телефоне. Если вы удалили приложение или забыли пароль от него, другого доступа к ключу нет: подпись выпускается заново, и это будет уже другой сертификат со своим сроком действия.
Что установить на компьютер, если подпись выдана на токене
Квалифицированная подпись на USB-носителе сама по себе не работает: рабочее место нужно готовить отдельно. Для подписи УЦ ФНС понадобятся драйверы используемого носителя, СКЗИ КриптоПро CSP версии 5.0 R2 сборки 12000 или выше, плагин КриптоПро ЭЦП Browser Plug-in с расширением для вашего браузера, корневые сертификаты Минцифры России и УЦ ФНС России, а также сам личный сертификат с носителя.
Драйверы скачиваются с сайтов производителей носителей: у линеек Рутокен, JaCarta и ESMART они разные, и универсального пакета нет. Носитель для квалифицированной подписи должен быть сертифицирован: ФСТЭК достаточно, если токен работает как защищённое PIN-кодом хранилище извлекаемого ключа, а сертификация ФСБ нужна, когда криптография выполняется внутри самого устройства.
Как подготовить рабочее место к подписи, полученной удалённо
- Шаг 1. Определите тип носителя визуально или по документам на выдачу и скачайте драйвер с сайта его производителя.
- Шаг 2. Установите драйвер в режиме по умолчанию и дождитесь завершения установки.
- Шаг 3. Установите КриптоПро CSP. Для подписи УЦ ФНС дистрибутив доступен в рамках эксперимента по безвозмездному предоставлению программного обеспечения на сайте разработчика СКЗИ.
- Шаг 4. Скачайте корневые сертификаты Минцифры России и УЦ ФНС России в разделе сертификатов на сайте УЦ ФНС. Первый устанавливается в хранилище доверенных корневых центров сертификации, второй — в промежуточные центры сертификации.
- Шаг 5. Откройте КриптоПро CSP, вкладка «Сервис», кнопка «Просмотреть сертификаты в контейнере», выберите контейнер на носителе и установите личный сертификат.
- Шаг 6. Установите КриптоПро ЭЦП Browser Plug-in, включите расширение в браузере и проверьте его работу на странице загрузки плагина. Для подписания носитель должен оставаться в USB-порту.
Полезно знать: в рамках пилотного проекта удостоверяющего центра ФНС России лицензия на КриптоПро CSP вшивается внутрь сертификата и действует столько же, сколько сам сертификат электронной подписи. Отдельно вводить лицензию на таком рабочем месте не требуется.
Мария Ж, юрист со стажем более 20 лет: «Ключи на токене делятся на извлекаемые и неизвлекаемые, и это влияет на совместимость. Извлекаемый ключ на время подписания попадает в оперативную память компьютера и работает со старыми версиями криптопровайдера; неизвлекаемый никогда не покидает память устройства и требует актуальной версии. В УЦ ФНС извлекаемый ключ выдаётся только в неэкспортируемом контейнере: скопировать его на второй носитель по регламенту нельзя, и планировать работу сразу на нескольких компьютерах с копиями ключа не получится.»
Комплект документов и сроки выпуска
Состав пакета зависит от того, кто и где получает сертификат, но базовый набор устойчив: заявление на выпуск квалифицированного сертификата, согласие на обработку персональных данных для выпуска сертификата, паспорт, СНИЛС и ИНН заявителя. Если сертификат получает не сам заявитель, добавляется доверенность на получение сертификата. Порядок и точный перечень устанавливает конкретный удостоверяющий центр, поэтому список стоит запросить до подачи заявления.
Сроки распадаются на два разных сценария. Выпуск УНЭП или УКЭП в Госключе — это клиентский путь на несколько минут в приложении. Выпуск квалифицированного сертификата в удостоверяющем центре занимает больше времени, и задержка почти всегда возникает на одном из промежуточных шагов, а не на самом выпуске.
Запрос «ЭЦП быстро» обычно упирается в три вещи: неподтверждённая учётная запись Госуслуг, отсутствие подходящего носителя под рукой и неполный комплект документов. Первые две проверяются за пять минут до подачи заявления.
Образцы документов для выпуска и аннулирования сертификата
Комплект собран под весь цикл жизни подписи; начните с заявления на выпуск, остальное понадобится по мере необходимости.
| Документ | Скачать |
|---|---|
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Согласие на обработку персональных данных для выпуска сертификата ЭП | Скачать |
| Доверенность на получение сертификата ЭП | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
| Реестр сертификатов сотрудников | Скачать |
| Реестр выданных токенов | Скачать |
Когда удалённое получение не подходит и во что обходится ошибка
Дистанционный маршрут закрыт в четырёх ситуациях. Первая: биометрия не зарегистрирована или зарегистрирована на уровне ниже «Подтверждённой». Вторая: загранпаспорт старого образца либо смартфон без NFC-модуля. Третья: срок действия предыдущего сертификата истёк, поэтому подписать заявку на перевыпуск нечем. Четвёртая: у вас нет подходящего сертифицированного носителя, а маршрут требует записи ключа на USB-устройство.
Отдельная ситуация — иностранные работники. Подтверждённую учётную запись Госуслуг нерезиденту оформляют в офисах «Мои документы»; в банке в такой процедуре отказывают. С подтверждённой записью иностранный работник выпускает УНЭП в Госключе и подписывает кадровые документы наравне с остальными.
Есть и ограничение по применимости облачной подписи: закрытый ключ лежит на сервере удостоверяющего центра, и работает такая подпись только в сервисах, куда встроено программное обеспечение этого центра. Если вам нужна подпись для произвольных площадок, облачный вариант закроет не все задачи.
Цена ошибки в выборе вида подписи считается не стоимостью перевыпуска. Суды по спорам о кадровых документах проверяют не только факт подписания, но и то, что подписанный документ был передан в удостоверяющий центр без изменений, а сертификат действовал на момент подписания. В известных спорах, где работодатель не смог это доказать, увольнение признавали незаконным, работника восстанавливали в должности и взыскивали средний заработок за время вынужденного прогула вместе с компенсацией морального вреда. Отсюда практическое следствие для работника: сохраняйте выгрузку документа вместе с файлом подписи, а не только визуальный штамп на PDF — сам по себе штамп юридической силы не имеет и служит визуализацией.
Момент подписания подтверждается штампом доверенной службы времени. Такие службы есть у удостоверяющих центров и у налоговой службы; штамп фиксирует точное время и хеш подписанного документа, поэтому после окончания срока действия сертификата остаётся доказательство, что на момент подписания он действовал и не был отозван.
Что делать, если доступ к подписи потерян
Сценарий с Госключом самый простой и самый жёсткий: пароль от приложения нигде не восстанавливается, доступа к ключу нет ни у Минцифры, ни у оператора, поэтому подпись выпускается заново по той же процедуре идентификации. Ранее подписанные документы при этом сохраняют силу: проверка идёт по сертификату, которым они были подписаны.
Токен ведёт себя иначе. Удаление сертификата из хранилища на компьютере не отменяет его действие: сертификат продолжает числиться действующим в удостоверяющем центре, пока не отозван. Аннулирование оформляется заявлением в тот центр, который выдал сертификат, будь то коммерческий удостоверяющий центр или УЦ ФНС. Владелец подписи заинтересован в отзыве больше всех: ответственность за хранение ключа лежит на нём.
Мария Ж, судебный эксперт по трудовому праву: «При увольнении сотрудники почти никогда не вспоминают про выпущенную на них подпись, а она остаётся действующей до конца срока сертификата. Если подпись выпускалась на физическое лицо и на неё оформлялась машиночитаемая доверенность, подайте заявление на аннулирование сертификата в выдавший его центр в день увольнения. Работодателю стоит вести реестр выданных сертификатов и носителей: без него проверить, у кого что осталось, невозможно.»
Реестр выданных сертификатов и журнал выданных токенов закрывают эту задачу в организации: в них фиксируются владелец, серийный номер сертификата, срок действия, модель носителя и отметка о возврате. В Добыто.КЭДО статусы подписания и невыполненные действия видны в списке документов, поэтому просроченное подписание и отсутствующую у сотрудника подпись видно заранее, до запроса документов инспектором.
Стоимость подключения КЭДО и электронных подписей для сотрудников
Стоимость складывается из численности сотрудников и набора функций тарифа; электронные подписи для сотрудников входят в тариф и отдельно не покупаются.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | оплата за год |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | по запросу |
| УКЭП для сотрудников через партнёров-удостоверяющие центры | рассчитывается индивидуально | по запросу |
| Интеграция с 1С:ЗУП (тариф «Бизнес») | входит в тариф | установка и настройка за 1 день |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | по запросу |
Итоговая сумма зависит от численности и выбранного набора функций: интеграция с 1С, кастомные шаблоны и электронный архив относятся к тарифу «Бизнес», а выделенный сервер и SLA — к «Корпорации». Действующие условия и состав каждого пакета опубликованы на странице тарифов ДОБЫТО КЭДО.
Тариф можно повысить или понизить в любое время; при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Поездка в удостоверяющий центр перестала быть обязательным этапом получения электронной подписи. Работнику она не нужна ни при каком сценарии кадрового документооборота: ПЭП и УНЭП выдаёт работодатель, а УНЭП ЕСИА и даже УКЭП выпускаются в Госключе со смартфона. Личное присутствие остаётся там, где закон не может подтвердить личность иначе: первая квалифицированная подпись без биометрии в ЕБС, без действующего сертификата и без загранпаспорта нового поколения. Всё остальное решается за несколько минут через Госуслуги или личный кабинет налогоплательщика.
Мы в Добыто ежедневно подключаем компании, где сотрудники распределены по регионам и вживую в отдел кадров не приходят, поэтому выдача подписей у нас встроена в приглашение работника в систему и не требует ни визитов, ни собственного удостоверяющего центра на стороне работодателя.
Частые вопросы
Чем файл подписи .p7s отличается от .sig и что отправлять получателю
Расширение задаётся настройкой программы подписания: в параметрах КриптоАРМ ГОСТ доступны пять вариантов имени файла откреплённой подписи — sig, p7s, sgn, sign и bin. Внутри лежит одна и та же структура CMS. Получателю нужны оба файла: исходный документ и парный файл подписи. Если отправить только .p7s, проверить подпись не получится, потому что откреплённая подпись не содержит самого документа.
Можно ли подписать электронной подписью обычное письмо или заявление в свободной форме
Да, электронной подписью подписывается любой файл, а не только формализованный документ. Письмо в формате PDF или DOCX подписывается так же, как приказ: при откреплённой подписи рядом появляется парный файл, при присоединённой документ и подпись упаковываются в один контейнер, который открывается специальным плагином. Для кадровых документов вид подписи ограничен положением о КЭДО, для переписки с контрагентом — вашим соглашением с ним.
Какие данные указываются в машиночитаемой доверенности и нужна ли отдельная подпись сотруднику филиала
В МЧД заполняются сведения о доверителе, о доверенном лице и перечень полномочий; каждое полномочие имеет код из классификатора, размещённого в Единой системе нормативной и справочной информации, а сам файл формируется в формате XML. Сотруднику филиала отдельная подпись не выпускается: с 1 сентября 2023 года сертификаты на сотрудников юридического лица не выдаются, работник получает квалифицированный сертификат как физическое лицо, а связь с организацией задаётся машиночитаемой доверенностью.
Обязательно ли вести журнал выданных электронных подписей
Отдельной формы журнала закон не устанавливает, но без реестра невозможно ответить на два практических вопроса: чей сертификат заканчивается на этой неделе и у кого остался невозвращённый токен. В реестре сертификатов фиксируются владелец, серийный номер, издатель и срок действия, в журнале выданных токенов — модель и серийный номер носителя, дата выдачи и отметка о возврате при увольнении.
Что делать, если подпись выпущена, а система пишет, что сертификат недоверенный
Ошибка означает разрыв цепочки доверия. Для квалифицированной подписи цепочка выстраивается от Минцифры России через аккредитованный удостоверяющий центр и обычно устанавливается вместе с сертификатом. Для неквалифицированной подписи корневые сертификаты автоматически не ставятся: откройте сертификат, посмотрите путь сертификации и установите недостающие звенья вручную. После установки система будет доверять этому центру постоянно, поэтому проверьте, чей сертификат вы добавляете.
Сколько действует сертификат и что происходит с подписанными документами после окончания срока
Типовой срок действия сертификата — год. Документы, подписанные в период его действия, силы не теряют, но доказать момент подписания сложнее: для этого используется штамп доверенной службы времени, который фиксирует время и хеш документа, и сведения о том, что сертификат не был отозван на момент подписания. Если планируется длительное хранение, запрашивайте усовершенствованный формат подписи сразу при подписании.
