Отдельная ЭЦП для работы в системах ЭДО не нужна: в 63-ФЗ нет ни одного вида подписи, привязанного к конкретному оператору, программе или порталу. Один и тот же квалифицированный сертификат принимается и в отчётности, и в обмене с контрагентами, и в кадровых документах. Различаются не подписи, а три вещи: кто подписывает (руководитель своей квалифицированной подписью или сотрудник подписью физического лица плюс машиночитаемая доверенность), на каком носителе лежит закрытый ключ и какая лицензия КриптоПро CSP стоит на рабочем месте. Главное различие, которое определяет исход, — подписант, а не система. С 1 сентября 2023 года сертификаты на сотрудника юридического лица не выдаются, а выпущенные раньше действовали до конца срока, но не позднее 31 августа 2024 года.
Разберём сценарии, в которых вторая подпись действительно нужна: два подписанта работают одновременно, обособленное подразделение в другом городе, отчётность по алкогольному регулированию, смена ответственного за отправку. Покажем, как отличить проблему подписи от проблемы настройки рабочего места и что делать, когда файл сохранился с расширением p7s вместо sig. Сценарная таблица, порядок учёта сертификатов, образцы реестра и МЧД, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.
Почему подписи «для ЭДО» не существует
Закон 63-ФЗ «Об электронной подписи» делит подписи по способу формирования и юридической силе, а не по месту применения. Есть простая электронная подпись, усиленная неквалифицированная и усиленная квалифицированная. Квалифицированная равнозначна собственноручной без дополнительных соглашений, неквалифицированная и простая — только при наличии соглашения сторон или прямого указания закона. Ни в одном виде нет признака «для системы такого-то оператора».
Продавцы носителей и некоторые операторы усиливают путаницу, когда предлагают «подпись для торгов», «подпись для маркировки», «подпись для ЭДО». Технически речь идёт об одном и том же квалифицированном сертификате, к которому иногда добавлены расширения конкретной информационной системы или предустановленная лицензия криптопровайдера. Проверять надо не название продукта, а четыре параметра: чей сертификат, действует ли он на дату подписания, поддерживает ли ваш криптопровайдер этот ключ и есть ли у подписанта полномочия на конкретный документ.
Мария Ж, специалист по цифровой подписи и КЭДО: «Когда бухгалтер говорит, что подпись не работает в новой системе, в большинстве случаев дело не в сертификате. Ключ создан в режиме, который понимает только КриптоПро CSP версии 5.0 и старше, а на компьютере стоит четвёртая версия. Прежде чем платить за второй сертификат, посмотрите версию провайдера и режим, в котором создан контейнер.»
Кто подписывает: единственное различие, которое стоит денег
После окончания переходного периода документ от имени компании подписывают двумя способами. Первый: руководитель или индивидуальный предприниматель своей квалифицированной подписью. Второй: сотрудник квалифицированной подписью физического лица с приложением машиночитаемой доверенности. Третьего способа нет, и именно на этой развилке возникает потребность во втором сертификате.
Сертификат физического лица привязан к человеку, а не к организации. Один и тот же бухгалтер работает с ним в отчётности, в ЭДО с контрагентами, в личном кабинете на портале государственных услуг. Если бухгалтеров двое и они отправляют документы параллельно, каждому нужен собственный сертификат: делить один ключ между людьми нельзя ни юридически, ни технически.
Таблица ниже показывает, что требуется под каждую задачу.
| Задача | Кто подписывает | Что нужно дополнительно |
|---|---|---|
| Отчётность в налоговую | Руководитель своей подписью или бухгалтер подписью физлица | Для сотрудника — МЧД с кодом полномочия из классификатора |
| Обмен документами с контрагентом | Тот, кому переданы полномочия | МЧД либо подпись руководителя, согласованный формат подписи |
| Отчётность производителя или поставщика алкоголя | Уполномоченное лицо организации | Ключ формата PKCS#11 на токене с криптоядром, другой формат не подойдёт |
| Кадровые документы внутри компании | Работник простой или неквалифицированной подписью | ЛНА о КЭДО, согласие работника, соглашение об использовании ПЭП и УНЭП |
| Документы, где нужна квалифицированная подпись работника | Работник квалифицированной подписью | Госключ выпускает такую подпись работнику бесплатно |
Из таблицы следует практический вывод: покупать второй сертификат стоит только там, где меняется подписант или система требует особый формат ключа. Все остальные различия закрываются настройкой рабочего места.
Факт: в рамках проекта удостоверяющего центра ФНС лицензия на КриптоПро CSP вшивается внутрь сертификата и действует ровно столько, сколько действует сам сертификат электронной подписи. Отдельная полная лицензия нужна, если вы генерируете запросы на сертификат на своём рабочем месте или используете ключи других удостоверяющих центров.
Носитель, лицензия и формат подписи: что действительно отличается
Ключи делятся на извлекаемые и неизвлекаемые. Извлекаемый ключ генерирует программный криптопровайдер, а токен работает как защищённое пин-кодом хранилище: при подписании закрытый ключ ненадолго попадает в оперативную память компьютера. Неизвлекаемый ключ создаётся внутри криптоядра токена и не покидает его никогда, скопировать такой ключ невозможно. Извлекаемые ключи, в свою очередь, бывают экспортируемыми и неэкспортируемыми, и по регламенту удостоверяющего центра ФНС выдаётся только неэкспортируемый контейнер.
Отсюда следует ограничение, о котором редко предупреждают заранее. Контейнер с подписью руководителя, полученный в налоговой, нельзя скопировать на второй носитель и отдать в подразделение. Если подписывать документы должны в двух местах одновременно, вопрос решается не копированием, а отдельным сертификатом физического лица и машиночитаемой доверенностью.
Второй слой различий — криптопровайдер. Классические версии КриптоПро CSP до 4.0 включительно работают только с извлекаемыми ключами на пассивных носителях. Версия 5.0 добавила работу с активными токенами и защищённым каналом между провайдером и носителем, а версия 5.0 R2 подключила библиотеку PKCS#11, за счёт чего поддержка новых моделей носителей появляется автоматически. Практический смысл для бухгалтера простой: если ключ используется на нескольких компьютерах и вы не уверены, какая версия провайдера стоит на каждом, выбирайте при выпуске обычный извлекаемый контейнер, он совместим со всеми версиями.
Полезно знать: у современных носителей 128 килобайт защищённой памяти. В формате КриптоПро CSP на токен помещается до 31 контейнера, но крупный контейнер с цепочкой сертификатов занимает до 12 килобайт, и тогда реально влезает около 10 подписей.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Третий слой — формат файла подписи. Расширение p7s, sig или sgn выбирается в настройках Инструментов КриптоПро, формат подписи при этом остаётся CAdES-BES. Оператор ЭДО или государственный портал может принимать только одно расширение, и файл, сохранённый как sgn, у него не пройдёт. Это не повод выпускать новую подпись: достаточно поменять настройку или переименовать файл. В сервисе Добыто подписание идёт из браузера, а вид подписи, присоединённая или открепленная, выбирается прямо в форме перед отправкой.
Проверьте, каким сертификатом подписан ваш последний файл
Добыто · Проверка подписи
Что за файл пришёл с документом
Загрузите файл — определим по расширению и содержимому: присоединённая это подпись или откреплённая, чем открыть и куда идти дальше. Архивы раскрываем и смотрим, что внутри.
Файл остаётся на вашем устройстве — мы его не получаем и не хранимНет файла под рукой? Выберите расширение вручную:
Мы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся. Закройте страницу — и от файла не останется следов.
Как проверить, подходит ли ваша подпись для новой системы: пошаговая инструкция
- Шаг 1. Откройте свойства сертификата и запишите владельца, издателя и срок действия. Сертификат физического лица без указания организации — нормальная ситуация с 2023 года.
- Шаг 2. Посмотрите версию криптопровайдера на рабочем месте. Ключ, созданный с защитой канала, не заработает на версии старше той, в которой он создан.
- Шаг 3. Определите тип носителя: пассивный токен-хранилище или активный токен с криптоядром. От этого зависит, можно ли использовать ключ на другом компьютере.
- Шаг 4. Уточните у оператора системы требуемый формат: присоединённая или открепленная подпись и какое расширение файла он принимает.
- Шаг 5. Проверьте полномочия: если подписывает не руководитель, найдите действующую МЧД с нужным кодом полномочия и убедитесь, что она загружена в реестр.
- Шаг 6. Подпишите тестовый файл и проверьте результат. Если подпись валидна, а система документ не принимает, вопрос в формате или полномочиях, а не в сертификате.
МЧД: подпись сотрудника плюс полномочия
Машиночитаемая доверенность выглядит как обычная, если выгрузить её в PDF, но по существу это XML-файл, который читает не человек, а алгоритм. Алгоритм проверяет, есть ли у подписанта право на конкретное действие, поэтому в доверенность включают не свободный текст, а код полномочия из классификатора, размещённого в Единой системе нормативной и справочной информации. У каждого полномочия есть код, дата и уникальный идентификационный номер.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Если нужного полномочия в классификаторе нет, компания вправе направить свой перечень в Минцифры. Заявку рассматривают в течение 10 дней и принимают решение о включении либо мотивированно отказывают, а при положительном решении в течение трёх рабочих дней присваивают коды. Пока классификатор наполняется, в нём преобладают полномочия государственных органов, и часть формулировок вносится вручную.
Самый ходовой сценарий — доверенность для налоговых действий. Создать её можно в сервисе ФНС «Создание и проверка доверенности в электронной форме»: заполняете данные доверителя, представителя и полномочий, сервис формирует XML, вы скачиваете файл и прикладываете его к документам, которые подписывает сотрудник. Ограничение сервиса: доверенности, созданные там, рассчитаны на использование в налоговой. Квалифицированный сертификат руководителю бесплатно выдаёт удостоверяющий центр ФНС России, а сотрудники получают подписи физических лиц в аккредитованных коммерческих центрах.
Важный нюанс из практики: обособленное подразделение не выдаёт машиночитаемую доверенность от своего имени. Доверитель — организация в лице руководителя, поэтому на каждого подписанта в филиале оформляется отдельная МЧД от головного юридического лица. Если руководитель филиала хочет наделять полномочиями сотрудников сам, потребуется передоверие.
Внимание: передоверие машиночитаемой доверенности оформляется только у нотариуса. Нужны паспортные данные нового уполномоченного лица и актуальная выписка из ЕГРЮЛ, нотариус подписывает документ своей квалифицированной подписью и выгружает его в информационную систему. Техническая готовность нотариусов к этой процедуре различается, время на неё стоит закладывать заранее.
Мария Ж, юрист со стажем более 20 лет: «Доверенность проверяет алгоритм, а не инспектор, поэтому расхождение в одном коде полномочия останавливает отправку так же надёжно, как отсутствие доверенности. Перед первой отправкой сверьте код в МЧД с классификатором и проверьте доверенность вместе с сертификатом представителя в сервисе проверки на портале государственных услуг.»
Образцы документов по электронной подписи и МЧД
Комплект закрывает три задачи: учёт выданных сертификатов, оформление полномочий и разбор ситуации, когда подпись не проходит проверку. Начинать удобнее с реестра сертификатов.
| Документ | Скачать |
|---|---|
| Реестр сертификатов сотрудников (XLSX) | Скачать |
| Машиночитаемая доверенность: образец и структура XML | Скачать |
| Протокол проверки электронной подписи | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
| Соглашение об использовании ПЭП и НЭП | Скачать |
Когда вторая подпись всё-таки нужна
Сценарии ниже собраны из типовых ситуаций, с которыми бухгалтерия сталкивается при подключении новой системы обмена. Таблица показывает, что критично в каждом случае, а что второстепенно.
| Сценарий | Нужен ли второй сертификат | Что критично |
|---|---|---|
| Один бухгалтер отправляет всё сам | Нет | Действующая МЧД и формат файла, который принимает оператор |
| Два сотрудника подписывают параллельно | Да, по сертификату на каждого | Отдельная МЧД на каждое физическое лицо |
| Обособленное подразделение в другом городе | Да, ключ руководителя скопировать нельзя | МЧД от головной организации, при передоверии — нотариус |
| Отчётность по алкогольному регулированию | Да, если текущий ключ другого формата | Ключ PKCS#11 на активном токене и провайдер 5.0 R2 или выше |
| Подключение нового оператора ЭДО | Нет | Настройка расширения файла и плагина в браузере |
| Смена ответственного за отправку | Да, сертификат не передаётся другому человеку | Аннулирование прежнего сертификата и отзыв МЧД |
Закономерность видна сразу: второй сертификат покупают, когда меняется человек или требования к формату ключа. Ни один из сценариев не связан с названием системы обмена.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «В споре по электронному документу первым делом смотрят, действовал ли сертификат в момент подписания и был ли у подписанта нужный объём полномочий. Сохраняйте протокол проверки подписи вместе с самим документом: восстановить статус сертификата спустя два года заметно сложнее, чем зафиксировать его сразу.»
Учёт сертификатов: журнал, который снимает половину проблем
Реестр выданных подписей нужен не для проверяющих, а для бухгалтерии. В нём фиксируют владельца, издателя, серийный номер, срок действия, тип носителя, у кого он физически хранится и какие полномочия закреплены машиночитаемой доверенностью. Когда сертификат подходит к концу срока, замена планируется заранее, а не в день сдачи отчётности.
Типичная ситуация: сотрудник ушёл в отпуск, токен лежит в его ящике, пин-код помнит только он. Отдельная подпись здесь не поможет, поможет журнал и правило хранения носителей. Вторая ситуация: сертификат отозван, а бухгалтер узнаёт об этом в момент отправки. Проверка статуса занимает минуту, если реестр ведётся и есть привычка сверять сроки в начале месяца.
В практике Добыто такой реестр ведут вместе с маршрутами подписания: в системе видно, кто из участников уже подписал документ, кто задерживает и каким сертификатом подписано. Исполненные документы остаются в электронном архиве, откуда их выгружают вместе с файлами подписей.
Лайфхак: в реестр стоит вносить не только срок действия сертификата, но и режим, в котором создан контейнер. Через год после выпуска именно этот параметр объясняет, почему ключ открывается на одном компьютере и не открывается на другом.
Кадровые документы: сотрудникам отдельная подпись не нужна
В кадровом электронном документообороте действует другая логика. По статьям 22.1-22.3 ТК РФ и 377-ФЗ работодатель вправе оформлять кадровые документы в электронном виде, а работник подписывает большую часть из них простой или усиленной неквалифицированной подписью, которую выпускает сама информационная система. Покупать сотруднику квалифицированную подпись ради заявления на отпуск не требуется. Там, где нужна именно квалифицированная подпись работника, её бесплатно выпускает Госключ.
Если вы отвечаете в компании и за бухгалтерию, и за кадры, разделяйте два контура: подписи для внешнего обмена и подписи для кадровых документов. Внешний контур строится вокруг квалифицированных сертификатов и МЧД, внутренний — вокруг ЛНА о переходе на КЭДО, согласий работников и соглашения об использовании ПЭП и УНЭП. Смешение контуров приводит к лишним закупкам сертификатов на весь штат. В сервисе Добыто подписи для сотрудников выпускаются внутри системы и входят в тариф, поэтому внутренний контур закрывается без обращения в удостоверяющий центр.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Мы закладываем пилотную группу перед раскаткой на всю компанию: один отдел проходит подписание целиком, от согласия на КЭДО до архива. На пилоте видно, где маршрут согласования собран неверно и какие документы придётся оставить на бумаге. После этого подключение остальных подразделений идёт без переделки настроек.»
Ошибки, которые дороже второго сертификата
Первая ошибка — покупать новый сертификат при каждом подключении к новой системе. Мотив понятный: проще заплатить, чем разбираться в версиях провайдера. Цена ошибки складывается из стоимости лишних сертификатов и носителей на каждого подписанта плюс время на повторную установку и настройку рабочих мест.
Вторая ошибка — подписывать документы подписью руководителя от имени сотрудника, потому что так быстрее. Формально документ подписан надлежащим лицом, но фактически ключ используется другим человеком, и в споре восстановить, кто именно подписал, будет нечем. Третья ошибка — хранить единственный токен без учёта: при потере носителя с неизвлекаемым ключом восстановление невозможно, такой ключ живёт внутри токена и уничтожается при форматировании, поэтому потребуется аннулировать сертификат и выпускать новый.
Кейс из практики: производственная компания на 400 сотрудников с двумя обособленными подразделениями закупила квалифицированные сертификаты на всю бухгалтерию и кадровую службу, полагая, что для новой системы обмена нужны отдельные подписи. После разбора маршрутов выяснилось, что внешние документы подписывают 2 человека, остальным достаточно подписи внутри системы кадрового документооборота. Лишними оказались сертификаты на большую часть службы, а подключение свелось к одному рабочему дню настройки вместо ожидания выпуска подписей.
Когда отдельная подпись не нужна вовсе
Не нужна, если в компании один подписант и он уже получил квалифицированный сертификат. Не нужна, если система просит другой формат файла: это настройка. Не нужна, если подпись перестала открываться после переустановки операционной системы: проблема в контейнере и провайдере. Не нужна работникам для кадровых документов, которые допускают простую или неквалифицированную подпись. И не нужна для отправки письма контрагенту: подписывается файл вложения, а сама переписка юридической силы подписи не добавляет.
Стоимость подключения КЭДО и электронных подписей
Стоимость зависит от численности сотрудников и набора функций: интеграция с учётной системой, электронный архив и приоритетная поддержка входят в старшие тарифы.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API | по запросу | по запросу |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | по запросу |
| УКЭП через партнёров-удостоверяющих центров | по запросу | по запросу |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за один день |
| Электронный архив | входит в тариф «Бизнес» | по запросу |
Итоговая сумма определяется численностью и тарифом: в тарифе «Бизнес» действует минимальная оплата за 50 сотрудников, поэтому компании до 25 человек обычно считают бюджет по тарифу «Старт». Полный состав функций по каждому тарифу приведён на странице тарифов ДОБЫТО КЭДО.
Подписи для сотрудников в тарифы уже включены, отдельная закупка ПЭП и УНЭП не требуется, а квалифицированную подпись при необходимости выпускают партнёрские удостоверяющие центры.
Выводы
Подпись не привязана к системе обмена: один квалифицированный сертификат работает везде, где принимают квалифицированную подпись. Второй сертификат нужен там, где появляется второй подписант, где ключ физически нельзя разделить между городами и где система требует ключ конкретного формата. Все прочие сбои решаются версией криптопровайдера, режимом контейнера, расширением файла подписи и действующей машиночитаемой доверенностью.
Мы в Добыто ежедневно разбираем такие ситуации на внедрениях: настраиваем маршруты подписания, разделяем внешний и внутренний контуры подписей и подключаем интеграцию с учётной системой, чтобы кадровые и бухгалтерские документы подписывались в одном окне.
Частые вопросы
Можно ли скопировать сертификат руководителя на второй токен для филиала?
Нет. По регламенту удостоверяющего центра ФНС выдаётся неэкспортируемый контейнер, а неизвлекаемый ключ вообще не покидает память токена. Для подписания в подразделении выпускают сертификат физического лица на конкретного сотрудника и оформляют на него машиночитаемую доверенность от головной организации.
Забыли пин-код токена или потеряли носитель: что делать?
Пин-код восстановлению не подлежит, а форматирование носителя уничтожает неизвлекаемые ключи. Порядок такой: подать заявление на аннулирование сертификата, получить новый и переоформить машиночитаемую доверенность на новый ключ. Если носитель утерян, аннулирование делают в первую очередь, не дожидаясь выпуска нового сертификата.
Чем подписать письмо контрагенту, если в системе нет подходящего типа документа?
Подписывается не письмо, а файл вложения. Для пересылки удобнее открепленная подпись: рядом с документом появляется отдельный файл с расширением p7s или sig, и оба файла передаются вместе. Присоединённая подпись хранит документ внутри файла подписи, и получателю понадобится программа, которая умеет его извлекать.
Сколько сертификатов помещается на один токен?
У современных моделей 128 килобайт защищённой памяти. В формате КриптоПро CSP помещается до 31 контейнера, но крупный контейнер с дополнительными расширениями и цепочкой сертификатов занимает до 12 килобайт, поэтому практический предел для тяжёлых сертификатов — около 10 штук на носителе.
Нужна ли отдельная МЧД на каждого сотрудника подразделения?
Да, доверенность оформляется на конкретное физическое лицо, а доверителем выступает организация в лице руководителя. Если полномочия передаёт руководитель подразделения, это уже передоверие: оно оформляется у нотариуса с паспортными данными представителя и актуальной выпиской из ЕГРЮЛ.
Обязательно ли покупать лицензию КриптоПро CSP отдельно?
Не всегда. В сертификатах, выданных в рамках проекта удостоверяющего центра ФНС, лицензия вшита внутрь сертификата и действует по его сроку. Полная лицензия понадобится, если вы генерируете запросы на сертификат на своём рабочем месте или используете на этом компьютере ключи других удостоверяющих центров.
Работник отказался получать квалифицированную подпись: можно ли вести с ним кадровые документы электронно?
Большинство кадровых документов подписываются простой или усиленной неквалифицированной подписью, которую выпускает сама система, и отдельная квалифицированная подпись работнику для этого не нужна. Там, где закон требует квалифицированную подпись работника, её бесплатно выпускает Госключ, а при отказе работника от перехода на электронный документооборот такие документы оформляются на бумаге.
