Электронную подпись выдают на год, потому что предельный срок сертификата задаёт не закон, а криптография и регламент удостоверяющего центра. 63-ФЗ требует указать в квалифицированном сертификате даты начала и окончания действия, но верхней границы не называет; форму сертификата описывает приказ ФСБ России от 27.12.2011 № 795, и там предельного срока тоже нет. Границу ставит средство подписи: в требованиях по эксплуатации КриптоПро CSP максимальный срок действия ключа электронной подписи — 1 год 3 месяца. Поэтому УЦ ФНС выдаёт сертификат на 15 месяцев, а Госключ — на 12. Главное различие, от которого зависит спокойствие бухгалтера: истечение сертификата не обнуляет ранее подписанные документы, если в подписи есть метка доверенного времени.
Разберём, что происходит с декларацией и первичкой, когда сертификат уже истёк, а документ ещё хранится пятый год, и почему без штампа времени момент подписания доказать нечем. Покажем, как перевыпустить подпись дистанционно и в какой момент это окно закрывается, что делать с МЧД и филиальными полномочиями, как отозвать сертификат уволенного сотрудника. Таблица фактических сроков по видам подписи, чек-лист журнала учёта сертификатов, сценарная таблица по ролям, тарифы на подключение КЭДО и ответы на частые вопросы — во второй половине статьи.
Почему у сертификата есть срок, хотя 63-ФЗ его не устанавливает
Статья 14 Федерального закона от 06.04.2011 № 63-ФЗ «Об электронной подписи» перечисляет обязательное содержимое квалифицированного сертификата: уникальный номер, даты начала и окончания действия, ФИО владельца, СНИЛС. Сколько именно месяцев будет между этими двумя датами, закон отдаёт на усмотрение удостоверяющего центра. А удостоверяющий центр ограничен формуляром средства криптографической защиты: срок сертификата не может быть больше срока жизни ключа, а у КриптоПро CSP это 1 год 3 месяца.
За этим ограничением стоят четыре разные причины, и путать их не стоит:
- Стойкость ключа. Чем дольше один и тот же закрытый ключ подписывает документы, тем больше материала накапливается для атаки на него. Срок эксплуатации ключа фиксируется в формуляре средства подписи, и продлить его решением компании нельзя.
- Актуальность сведений. В сертификате указаны ФИО, СНИЛС, ИНН, наименование организации. Люди меняют фамилии, компании — адреса и руководителей. Ежегодный перевыпуск синхронизирует сертификат с реальными данными, а не с теми, что были три года назад.
- Ограничение ущерба. Скомпрометированный ключ, о котором владелец не знает, работает максимум до конца срока. Бессрочный сертификат означал бы бессрочную возможность подписывать документы от чужого имени.
- Цепочка доверия. Сертификат сотрудника подчинён сертификату удостоверяющего центра, а тот — корневому сертификату головного центра Минцифры. Нижний сертификат в цепочке не может действовать дольше вышестоящего, поэтому сроки уменьшаются сверху вниз.
Дату окончания видно в свойствах сертификата: вкладка состава показывает поля «Действителен с» и «Действителен по», серийный номер, издателя и алгоритм подписи по ГОСТ. То же самое доступно через оснастку сертификатов КриптоПро CSP, а на аппаратном носителе (Рутокен, ESMART Token ГОСТ и другие сертифицированные токены) — через панель управления носителя. Носитель на срок не влияет: он хранит ключ, но дату окончания задаёт сертификат.
Факт: лицензия на КриптоПро CSP, которую удостоверяющий центр вшивает в сертификат, действует ровно столько же, сколько сам сертификат. Когда сертификат заканчивается, на этом рабочем месте перестают работать и ключи, если у компании нет отдельной полной лицензии на криптопровайдер.
Мария Ж, юрист со стажем более 20 лет: «Бессрочной электронной подписи в российской инфраструктуре не существует, и запрос «сделайте нам подпись навсегда» упирается не в жадность удостоверяющего центра, а в формуляр средства подписи. Практический вывод для бухгалтерии простой: откройте свойства всех рабочих сертификатов и выпишите даты окончания в один файл. Дальше вы управляете сроками, а не догоняете их.»
Сколько на самом деле действует подпись: 12 или 15 месяцев
Фактический срок зависит от того, кто выпустил подпись и к какому виду она относится. Разброс небольшой, но именно он определяет, когда бухгалтеру нужно шевелиться.
| Кто выдал | Вид подписи | Срок | Что делать до истечения |
|---|---|---|---|
| УЦ ФНС (руководитель организации, ИП) | УКЭП | 15 месяцев | перевыпуск в личном кабинете, пока старый сертификат ещё действует |
| Аккредитованный коммерческий УЦ (сотрудник как физлицо) | УКЭП | в пределах срока действия ключа, максимум 1 год 3 месяца | заявление на выпуск нового сертификата, проверка комплекта документов |
| Госключ | УНЭП и УКЭП | 12 месяцев | перевыпуск в приложении, напоминания приходят за 30 и за 7 дней |
| Портал «Работа в России» | ПЭП через подтверждённую учётную запись Госуслуг | сертификата нет, срок не применяется | поддерживать подтверждённую учётную запись работника |
| Информационная система работодателя (КЭДО) | ПЭП, УНЭП | ПЭП сертификата не имеет, срок УНЭП задаёт выпустивший её центр | следить за сроками централизованно на стороне платформы |
Из таблицы видно главное для планирования: обновлять придётся только усиленные подписи с сертификатом, и делать это нужно до даты окончания, а не после. Простая электронная подпись работника в кадровом документообороте живёт, пока действует его учётная запись и локальные нормативные акты компании, поэтому кадровый блок при смене года не встаёт.
Проверьте, действовал ли сертификат в момент подписания
Проверка электронной подписи
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
2 Загрузите документ и файл подписи:
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Документ
Файл подписи (.sig)
Нужно подписать документ?
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Для проверки понадобится сам документ и файл открепленной подписи с расширением sig или p7s, если подпись формировалась отдельным файлом.
Что происходит с документами, подписанными истёкшим сертификатом
Здесь у бухгалтеров чаще всего возникает ошибочная логика: сертификат закончился, значит акт трёхлетней давности недействителен. Статья 11 63-ФЗ говорит иначе: квалифицированная подпись признаётся, если сертификат действителен на момент подписания документа — при условии, что есть достоверная информация об этом моменте, — либо на день проверки, если момент подписания не определён. Всё упирается в слово «достоверная».
Само по себе время на компьютере подписанта достоверным не считается. Момент подписания фиксирует служба доверенного времени: в момент подписания ей передаётся хэш документа, а обратно приходит штамп с точным временем. Второй элемент доказательства — ответы OCSP и списки отозванных сертификатов, которые подтверждают, что на тот момент сертификат не был отозван. Подпись с этими элементами называется усовершенствованной: CAdES-T добавляет штамп времени, CAdES-A добавляет архивную метку с периодическим переподписанием.
Дальше начинается арифметика хранения. Первичные учётные документы и регистры бухгалтерского учёта хранятся не менее 5 лет после отчётного года по статье 29 402-ФЗ, документы для исчисления налогов — 5 лет по статье 23 НК РФ, кадровые документы живут десятилетиями. Сертификат при этом закончится через 12-15 месяцев. Разрыв между сроком жизни подписи и сроком хранения документа закрывается не продлением сертификата, а форматом подписи, выбранным в момент подписания. Задним числом штамп времени не поставить.
Кейс из практики: в спорах об увольнении, где работник заявлял, что подписывал не он, суды проверяли не только сам документ, но и то, действовал ли сертификат в момент подписания и передавался ли документ на сторону удостоверяющего центра без изменений. В двух известных делах решение вынесли в пользу работников: восстановление в должности, взыскание среднего заработка и компенсации морального вреда. Проиграл там не сервис подписания, а отсутствие доказательств момента подписания.
Цена такой ошибки для бухгалтерии считается отдельно от стоимости подписи. Если из-за просроченного сертификата декларация ушла позже срока, работает статья 119 НК РФ: 5% от неуплаченной по декларации суммы за каждый полный и неполный месяц просрочки, не менее 1000 рублей и не более 30%. Если подпись оспаривается в суде через три года после подписания, цена вопроса равна сумме сделки, которую нечем подтвердить.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «Штампик с надписью «документ подписан электронной подписью» на печатной форме юридической силы не имеет: это визуализация для человека. В суд идут исходный файл и файл подписи, а вместе с ними — доказательства момента подписания. Если ваш оператор документооборота не подключает службу штампов времени, узнайте это сейчас, а не в день, когда контрагент решит оспорить акт.»
Как продлить сертификат и не потерять окно дистанционного перевыпуска
Перевыпуск дешевле и быстрее первичного получения, но только пока старый сертификат жив. Руководитель организации и ИП получают первый сертификат в УЦ ФНС лично, а обновляют его удалённо в личном кабинете действующей подписью. Сертификат истёк — удалённое окно закрылось, и нужен повторный визит в инспекцию с документами. По той же логике устроен и Госключ: справка Госуслуг о сроке действия сертификатов в Госключе описывает, что перевыпуск запускается в разделе «Мои сертификаты», а напоминания приходят за 30 дней и за 7 дней до окончания.
Как перевыпустить электронную подпись до окончания срока: пошаговая инструкция
- Шаг 1. За 30 дней до даты окончания откройте свойства сертификата и зафиксируйте, кто издатель: УЦ ФНС, коммерческий аккредитованный центр или Госключ. Порядок перевыпуска у них разный.
- Шаг 2. Проверьте, какие полномочия завязаны на этот сертификат: отправка отчётности, подписание МЧД, работа в кадровом документообороте, доступ к торговым площадкам. Список нужен, чтобы после перевыпуска не искать отвалившиеся сервисы по одному.
- Шаг 3. Запустите перевыпуск действующей подписью: в личном кабинете налогоплательщика, в приложении Госключ или по заявлению в свой удостоверяющий центр. Пока старый сертификат действует, личная явка чаще всего не нужна.
- Шаг 4. Установите новый сертификат на носитель и рабочее место, проверьте цепочку сертификатов. Для неквалифицированной подписи корневые сертификаты автоматически не устанавливаются, и без них подписание не пройдёт.
- Шаг 5. Подпишите тестовый документ и проверьте результат, затем обновите записи в журнале учёта сертификатов: новый серийный номер, новая дата окончания, отметка об отзыве старого ключа, если он больше не нужен.
Внимание: в Госключе закрытый ключ хранится на самом телефоне. Если приложение удалили или забыли пароль от него, восстановить доступ невозможно ни через Минцифры, ни через госслужбы: выпускается новая подпись с новым сроком действия, а прежняя остаётся недоступной.
Шаблоны для работы с сертификатами и перевыпуском подписи
Комплект закрывает годовой цикл жизни сертификата, начинать удобно с реестра: он показывает, у кого срок заканчивается первым.
| Документ | Скачать |
|---|---|
| Реестр сертификатов сотрудников (XLSX) | Скачать |
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
| Письмо контрагенту о переподписании (образец) | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Машиночитаемая доверенность (МЧД): образец и структура XML | Скачать |
МЧД: что переделывать при перевыпуске подписи, а что нет
С 1 сентября 2023 года сертификаты на сотрудника с указанием организации больше не выдают. Сотрудник получает подпись как физическое лицо, а полномочия подтверждает машиночитаемой доверенностью. Данные МЧД — это XML-файл, в котором есть доверитель, представитель с ФИО и СНИЛС, перечень полномочий с кодами из классификатора и срок действия. Полномочия берутся из справочника Единой системы нормативной и справочной информации, потому что доверенность читает алгоритм, а не человек: система автоматически сверяет, вправе ли подписант оформлять конкретный документ.
Срок доверенности живёт отдельно от срока сертификата. Если в МЧД срок не указан, действует общее правило статьи 186 ГК РФ: доверенность сохраняет силу год со дня совершения. Отсюда типовая ситуация у бухгалтерии: подпись перевыпустили в марте, доверенность заканчивается в ноябре, и два эти события никто не связал. Есть и обратная сторона: МЧД можно выдать любому физическому лицу, не обязательно штатному сотруднику, и при увольнении она сама по себе не исчезает.
Отдельный случай — МЧД филиала. Когда полномочия передаются дальше по цепочке, например руководителю обособленного подразделения, оформляется передоверие, а оно требует нотариуса: нотариус проверяет паспортные данные нового представителя и актуальную выписку из ЕГРЮЛ, подписывает доверенность своей квалифицированной подписью и выгружает её в информационную систему. Внутри одной организации, когда главный бухгалтер передаёт полномочия бухгалтеру, такой цепочки не возникает.
Полезно знать: удаление сертификата из хранилища на рабочем компьютере подпись не аннулирует. Чтобы подпись уволенного сотрудника перестала действовать, владелец направляет заявление на отзыв в тот удостоверяющий центр, который её выпустил.
Компания вправе добавить собственные полномочия в классификатор: перечень направляется в Минцифры, на рассмотрение отводится 10 дней, а после положительного решения кодам присваивают идентификаторы в течение трёх рабочих дней. Пока классификатор наполняется преимущественно полномочиями государственных органов, часть формулировок вписывается вручную.
Когда срок обрывается досрочно: компрометация, увольнение, забытый пароль
Сертификат заканчивается не только по календарю. Владелец вправе подать заявление на аннулирование, и с этого момента подпись считается недействительной, а проверяющая программа показывает статус «Сертификат недействителен. Сертификат отозван» с серийным номером и данными издателя. Для документов, подписанных до отзыва, снова работает механика момента подписания: со штампом времени они остаются проверяемыми, без него — превращаются в предмет спора.
Забытый пароль и потерянный носитель приводят к тому же результату, что и отзыв, только без заявления. Ключ на аппаратном токене защищён ПИН-кодом, и политика ПИН-кодов в актуальных моделях хранится внутри самого устройства, а не на рабочей станции. Восстановить закрытый ключ, если он неизвлекаемый, невозможно по устройству технологии: такой ключ генерируется внутри криптоядра токена и никогда его не покидает. В облачном варианте ключ хранится у удостоверяющего центра, и ответственность за его защиту несёт центр.
При увольнении сотрудника проверяются три разные сущности, и закрывать их нужно по отдельности: сертификат отзывается через удостоверяющий центр, машиночитаемая доверенность отзывается доверителем, доступ в учётные системы блокируется работодателем. В практике Добыто именно доверенность забывают чаще всего, потому что она не привязана к рабочему компьютеру и не попадается на глаза при передаче дел.
Мария Ж, специалист по цифровой подписи и КЭДО: «Отношение к электронной подписи до сих пор бытовое: её хранят в общем сейфе, передают коллеге на время отпуска, забывают отозвать при увольнении. В спорах это оборачивается против работодателя, потому что доказывать придётся не факт хранения, а факт подписания конкретным человеком. Заведите правило: заявление на отзыв подписывается в тот же день, что и приказ об увольнении.»
Когда годовой сертификат вообще не нужен
Годовой цикл перевыпуска — проблема тех, кто работает с квалифицированной подписью: сдаёт отчётность, участвует в закупках, подписывает договоры с контрагентами. В кадровом документообороте картина другая. По статье 22.3 ТК РФ и 377-ФЗ работник подписывает большинство кадровых документов простой электронной подписью в информационной системе работодателя или на портале «Работа в России», и у ПЭП нет ни сертификата, ни срока действия. Усиленная неквалифицированная подпись, выпущенная внутри платформы КЭДО, обновляется централизованно, без похода сотрудника в удостоверяющий центр.
Покупать УКЭП каждому сотруднику ради кадровых документов не нужно: квалифицированная подпись работодателя требуется для узкого перечня документов, среди которых трудовой договор, договор о материальной ответственности, ученический договор и приказ об увольнении. Для ознакомления с локальными нормативными актами, заявлений на отпуск и служебных записок достаточно ПЭП. В сервисе Добыто ПЭП и УНЭП для сотрудников выпускаются на стороне платформы и входят в тариф, поэтому годовой цикл продлений кадровую службу не касается.
Если вы бухгалтер небольшой компании и держите в руках единственную подпись руководителя, отдельная инфраструктура вам не нужна: хватит календарного напоминания за месяц. Инвестиции в централизованный учёт сертификатов начинают окупаться там, где подписей больше десяти и они разбросаны по подразделениям.
Журнал учёта сертификатов: что проверять до истечения срока
Журнал ЭЦП — обычная таблица, но она снимает большую часть авралов. Минимальный набор полей: владелец, вид подписи, удостоверяющий центр, серийный номер, дата окончания, тип носителя, привязанные МЧД и их сроки, ответственный за перевыпуск. Отдельная колонка нужна для отметки об отзыве: без неё в компании остаются действующие подписи людей, которые уволились год назад.
Что критично проверить в зависимости от роли, показывает таблица ниже.
| Сценарий | Что критично | Что вторично |
|---|---|---|
| Руководитель организации, подпись УЦ ФНС | не пропустить окно дистанционного перевыпуска, пока сертификат действует | выбор модели токена |
| Бухгалтер, сдающий отчётность по МЧД | совпадение данных МЧД с сертификатом физлица и срок самой доверенности | формат файла подписи |
| Договорной отдел, работа с контрагентами | штамп времени и усовершенствованный формат подписи на долгоживущих договорах | присоединённая или откреплённая подпись |
| Кадровая служба в КЭДО | актуальность ЛНА и согласий, вид подписи под каждый тип документа | сроки сертификатов работников при работе через ПЭП |
| Обособленное подразделение | оформленное передоверие и его нотариальное подтверждение | способ хранения ключа: токен или облако |
Важный нюанс из практики: в компаниях, где журнал ведут формально, до 30 дней до окончания срока доходят единицы записей — остальные заполнены наполовину. Мы в Добыто закладываем сверку реестра с фактическими сертификатами один раз в квартал: за 15 минут работы это снимает риск того, что отчётность упрётся в истёкший ключ в последний день срока.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Годовой срок подписи неудобен ровно один раз в год, а стоит недорого. Дорого стоит незаметно истёкший сертификат в день сдачи отчётности и подпись, отозванная задним числом. Поставьте два напоминания — за 30 и за 7 дней до окончания, и половина проблем с электронной подписью закончится.»
Стоимость подключения КЭДО и электронных подписей для сотрудников
Стоимость зависит от численности сотрудников и набора функций: интеграции с 1С, электронного архива, требований к серверу и SLA. Электронные подписи для сотрудников входят в тариф.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | рассчитывается индивидуально |
| Получение УКЭП через партнёров-удостоверяющих центров | по запросу | рассчитывается индивидуально |
| Установка и настройка модуля для 1С:ЗУП | входит в тариф «Бизнес» | один день |
Итоговая сумма складывается из численности и выбранного набора функций, поэтому сравнивать тарифы имеет смысл по фактическому количеству сотрудников: состав возможностей каждого пакета и условия перехода между ними описаны на странице тарифов ДОБЫТО КЭДО. Тариф можно повысить или понизить в любое время, при повышении разница пересчитывается пропорционально оставшемуся периоду.
Отдельно за электронные подписи сотрудников платить не нужно: ПЭП и УНЭП выпускаются бесплатно на всех тарифах, а квалифицированная подпись оформляется через партнёров-удостоверяющих центров, и её годовой цикл продления остаётся на стороне удостоверяющего центра.
Выводы
Срок сертификата — это компромисс между стойкостью ключа, актуальностью данных владельца и ограничением ущерба при компрометации. Закон предельного срока не задаёт, его задаёт формуляр средства подписи: 1 год 3 месяца у КриптоПро CSP, отсюда 15 месяцев у сертификатов УЦ ФНС и 12 месяцев у Госключа. Истёкший сертификат не уничтожает подписанные ранее документы, если в момент подписания к ним добавили штамп доверенного времени, а разрыв между годом жизни подписи и пятилетним сроком хранения документов закрывается усовершенствованным форматом подписи.
Мы в Добыто ведём кадровый документооборот так, чтобы годовой цикл перевыпуска не задевал кадровые процессы: подписи сотрудников выпускаются внутри платформы, документы хранятся в электронном архиве, а сроки сертификатов и доверенностей видны в одном месте, а не в почте у трёх разных людей.
Частые вопросы
Можно ли продлить действующий сертификат, не выпуская новый
Нет. Продление в привычном смысле не предусмотрено: удостоверяющий центр выпускает новый сертификат с новой парой ключей и новым серийным номером, а старый доживает свой срок. Слово «продление» в интерфейсах личных кабинетов означает именно перевыпуск по упрощённой процедуре, доступный, пока действующий сертификат ещё не истёк.
Что делать, если документ подписали за день до окончания сертификата, а спор возник через три года
Проверять подпись нужно на момент подписания, а не на день спора. Если подпись усовершенствованная и содержит штамп времени, а также ответ службы проверки статуса сертификата, дата подтверждается технически. Если этих элементов нет, придётся опираться на косвенные доказательства: журналы входов и действий пользователя в системе, переписку, регистрацию документа.
Влияет ли модель токена на срок действия подписи
Нет. Аппаратный носитель — Рутокен, ESMART Token ГОСТ или другая сертифицированная модель — хранит ключ и защищает его ПИН-кодом, но дату окончания задаёт сертификат. От носителя зависит другое: можно ли скопировать ключ, поддерживается ли неизвлекаемый формат и подойдёт ли устройство для конкретной информационной системы.
Нужно ли оформлять новую МЧД после перевыпуска подписи представителя
Смотрите на реквизиты, указанные в доверенности. МЧД описывает представителя через ФИО, СНИЛС и ИНН, а не через конкретный ключ, поэтому смена сертификата сама по себе полномочия не отменяет. Отдельно проверьте срок доверенности: если он не указан, действует год со дня совершения по статье 186 ГК РФ.
Как быстро получить подпись взамен утраченной, если ключ недоступен прямо сейчас
Быстрее всего выпускается подпись в мобильном приложении при подтверждённой учётной записи Госуслуг: для УКЭП понадобится биометрический загранпаспорт нового образца и телефон с NFC. Квалифицированная подпись руководителя в УЦ ФНС при истёкшем сертификате оформляется только при личном визите в инспекцию с носителем и документами.
Как понять, что подпись на входящем документе была действительна, если файл пришёл отдельно
Открепленная подпись приходит парным файлом с расширением sig или p7s, и проверять нужно оба файла вместе: исходный документ и файл подписи. Программа проверки покажет владельца сертификата, издателя, серийный номер, алгоритм по ГОСТ, срок действия и статус отзыва на дату подписания.
Что делать, если контрагент прислал документ, подписанный уже отозванным сертификатом
Запросить переподписание действующей подписью и зафиксировать это письменно. Если переподписать невозможно, например подписант уволился, оформляется акт о невозможности переподписания, а в дело подшивается протокол проверки подписи с указанием статуса сертификата на дату проверки.
