Потеряли токен с ЭЦП — сертификат нужно аннулировать заявлением в тот удостоверяющий центр, который его выпустил: для ИП это чаще всего УЦ ФНС России. Закон даёт на уведомление не более одного рабочего дня со дня, когда вы узнали о нарушении конфиденциальности ключа, а удостоверяющий центр обязан внести запись о прекращении действия сертификата в реестр в течение 12 часов. До появления этой записи подпись работает у любого, кто знает PIN-код носителя. Главное различие, от которого зависит порядок действий: при наличии второй действующей УКЭП заявление на отзыв подписывается онлайн в личном кабинете на Госуслугах, а если действующей подписи не осталось, путь один — личное обращение в удостоверяющий центр.
Дальше разбираем порядок первых суток: чем блокировка отличается от отзыва, что закрывать кроме сертификата — машиночитаемые доверенности, доступы в личные кабинеты, договоры с операторами ЭДО. Покажем, как по уже подписанным файлам проверить, действовал ли сертификат в момент подписания, и почему удаление сертификата из хранилища КриптоПро CSP ничего не отзывает. Сроки перевыпуска для ИП, требования к новому носителю, стоимость подписей для сотрудников и ответы на частые вопросы — во второй половине статьи.
Чем рискует ИП в первые часы после утраты токена
Опасность утраченного токена определяется двумя параметрами: знает ли посторонний PIN-код и в каком режиме записан контейнер. Носитель без PIN-кода бесполезен, пока PIN не подобран, а счётчик неправильных попыток у Рутокена по умолчанию равен 10: после их исчерпания PIN пользователя блокируется. Уязвимое место здесь одно — заводские значения PIN-кодов производители публикуют в документации открыто, и владельцы часто их не меняют.
Второй параметр — формат ключа. Извлекаемый (пассивный) контейнер криптопровайдер на время операции подгружает в память компьютера, и при установленном флаге экспорта такой контейнер копируется. Неизвлекаемый ключ формируется криптоядром внутри микроконтроллера токена и наружу не выходит: скопировать его нельзя, подпись формируется на борту устройства. Для владельца утраченного токена это разница между «ключ мог быть размножен ещё месяц назад» и «ключ существует ровно в одном экземпляре, который лежит у нашедшего».
Факт: по регламенту удостоверяющего центра ФНС России извлекаемый ключ выдаётся только в неэкспортируемом контейнере — копирование такого контейнера запрещено средствами криптопровайдера.
Обязанность действовать быстро закреплена нормативно. Часть 1 статьи 10 Федерального закона от 06.04.2011 № 63-ФЗ «Об электронной подписи» требует не использовать ключ при наличии оснований полагать, что его конфиденциальность нарушена, и уведомить удостоверяющий центр и других участников электронного взаимодействия не позднее одного рабочего дня со дня получения такой информации. Утрата носителя — основание само по себе, доказывать факт доступа посторонних не нужно.
Сценарий утраты у ИП отличается от корпоративного тем, что подпись обычно одна и на ней завязано всё: отчётность, банк-клиент, госзакупки, электронный документооборот с контрагентами. Таблица ниже разводит ситуации, которые внешне похожи, а по срочности отличаются.
| Что произошло | Что критично | Первое действие |
|---|---|---|
| Токен потерян вне дома и офиса, PIN заводской или записан рядом | Подпись работоспособна у любого, кто нашёл носитель | Отзыв сертификата в тот же день, не дожидаясь конца рабочего дня |
| Токен потерян, PIN менялся и известен только владельцу | 10 попыток подбора до блокировки PIN пользователя | Отзыв сертификата: срок по статье 10 63-ФЗ считается от момента утраты, а не от момента подозрения |
| Токен украден вместе с ноутбуком, где стоит КриптоПро CSP и открыт личный кабинет | Рабочее место настроено, посторонний обходит этап установки ПО | Отзыв сертификата плюс смена паролей от личных кабинетов и банк-клиента |
| Токен передавался бухгалтеру или подрядчику и не возвращён | PIN известен третьему лицу, факт передачи фиксируется в переписке | Отзыв сертификата и письменное уведомление контрагентов о недействительности подписи |
| Носитель найден в течение часа дома, из рук не выходил | Оснований полагать нарушение конфиденциальности нет | Отзыв не требуется, достаточно сменить PIN-код в панели управления носителя |
Единственная строка, где отзыв не нужен, — последняя. Во всех остальных случаях цена сомнения выше цены перевыпуска: перевыпуск в УЦ ФНС бесплатен, а оспаривание чужой подписи идёт через суд.
Мария Ж, специалист по цифровой подписи и КЭДО: «Первый вопрос, который мы задаём владельцу потерянного токена: меняли ли вы PIN-код после получения носителя. Если PIN остался заводским, считайте ключ доступным для любого, кто прочитает документацию производителя. Если PIN менялся, у вас есть запас в виде счётчика попыток, но это не повод откладывать заявление на отзыв: срок по 63-ФЗ отсчитывается от момента утраты».
Как отозвать сертификат: три пути и реальные сроки
Прекращение действия сертификата — это внесение записи в реестр удостоверяющего центра, а не удаление файлов у вас на компьютере. Информация о прекращении действия вносится в реестр в течение 12 часов с момента наступления обстоятельств или с момента, когда центру стало о них известно. С момента записи сертификат считается недействующим, и любая проверка по спискам отзыва даст статус «сертификат отозван».
Внимание: удаление сертификата из хранилища на компьютере не отзывает подпись. Сертификат остаётся действующим до тех пор, пока заявление не подано в тот удостоверяющий центр или в ту налоговую инспекцию, где подпись выпускалась.
Способов подать заявление три, и выбор между ними определяется тем, есть ли у вас на руках вторая действующая квалифицированная подпись.
| Способ | Чем подтверждается заявление | Когда подходит |
|---|---|---|
| Личный кабинет на Госуслугах, раздел «Электронная подпись» | Действующим сертификатом УКЭП любого удостоверяющего центра | Удостоверяющий центр подключён к сервису отзыва и у вас осталась вторая рабочая подпись |
| Личное обращение в УЦ ФНС России или к его доверенному лицу | Паспортом заявителя при личном присутствии | Подпись выпускалась в УЦ ФНС и другой действующей УКЭП нет |
| Заявление в аккредитованный коммерческий удостоверяющий центр | По регламенту центра: бумажное заявление или электронный документ | Сертификат выпускал коммерческий центр, в том числе на сотрудника-физлицо |
| Блокировка сертификата на портале с последующим визитом | Учётной записью на портале | Центр к сервису отзыва не подключён: сначала блокировка, затем очное заявление |
Порядок подачи и перечень оснований описаны в справке портала про отзыв сертификата электронной подписи через личный кабинет. Отменить уже отправленное заявление нельзя: подпись прекращает действие безвозвратно, дальше только новый выпуск.
Важный нюанс из практики: самый частый тупик у ИП выглядит так — человек открывает раздел «Электронная подпись» на Госуслугах, находит кнопку отзыва, а подписать заявление нечем: единственная УКЭП была на утраченном токене. Онлайн-путь в этой ситуации закрыт, и время уходит на поиск решения вместо звонка в инспекцию. Проверять наличие второй действующей подписи имеет смысл заранее, а не в момент инцидента.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Как отозвать сертификат после утраты токена: пошаговая инструкция
- Шаг 1. Зафиксируйте дату и обстоятельства утраты письменно: от этой даты отсчитывается один рабочий день на уведомление по части 1 статьи 10 63-ФЗ.
- Шаг 2. Найдите реквизиты сертификата: серийный номер, отпечаток, срок действия, наименование издателя. Они есть в копии сертификата, в личном кабинете удостоверяющего центра и в любом ранее подписанном файле подписи.
- Шаг 3. Проверьте, есть ли у вас вторая действующая УКЭП. Если есть — подавайте заявление на отзыв из личного кабинета на Госуслугах, подписав его этой подписью.
- Шаг 4. Если действующей подписи нет, обратитесь лично в место выдачи: для ИП это инспекция ФНС или доверенное лицо УЦ ФНС, для сертификата сотрудника — выпустивший коммерческий центр.
- Шаг 5. Получите подтверждение внесения записи в реестр и сохраните его: это документ, которым вы отделяете свои подписи от чужих в любом будущем споре.
- Шаг 6. Направьте письменные уведомления контрагентам, оператору ЭДО и банку. Уведомление участников электронного взаимодействия — вторая половина обязанности по статье 10, и она не закрывается заявлением в удостоверяющий центр.
- Шаг 7. Отзовите машиночитаемые доверенности, выданные с использованием утраченной подписи, через ту информационную систему, где они хранятся.
Как проверить, что подписано вашим ключом и когда
После отзыва остаётся вопрос, который решается не эмоциями, а файлами: что успели подписать до внесения записи в реестр. Отсоединённая подпись хранится отдельным файлом с расширением .sig, .p7s или .sgn, в формате CAdES-BES, и содержит сертификат подписанта, заявленное время подписания и цепочку доверия. Проверка такого файла показывает владельца сертификата, издателя, алгоритмы по ГОСТ и текущий статус: действителен сертификат или отозван.
Проверьте свои файлы подписи и статус сертификата
Добыто · Проверка подписи
Что за файл пришёл с документом
Загрузите файл — определим по расширению и содержимому: присоединённая это подпись или откреплённая, чем открыть и куда идти дальше. Архивы раскрываем и смотрим, что внутри.
Файл остаётся на вашем устройстве — мы его не получаем и не хранимНет файла под рукой? Выберите расширение вручную:
Мы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся. Закройте страницу — и от файла не останется следов.
Ключевая тонкость касается времени. Заявленное время подписания берётся с компьютера подписанта и само по себе ничего не доказывает. Подтверждают момент две вещи: штамп доверенной службы времени и ответ службы OCSP о том, что на момент подписания сертификат не был отозван. Обе включаются в усовершенствованный формат подписи. Если ваши документы подписывались без штампа времени, доказывать, что подпись поставлена до утраты токена, придётся косвенными данными — логами системы, перепиской, реестром отправленных документов. В практике Добыто журнал подписания с датой, временем и составом документа выгружается из платформы отдельным файлом: он и закрывает вопрос «когда именно это было подписано», если штампа времени в подписи нет.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «В спорах, где сторона заявляет «я это не подписывал», суд смотрит не на картинку штампа в PDF, а на то, действовал ли сертификат в момент подписания и как документ передавался на подпись. Штамп о подписании внутри файла юридической силы не несёт, это визуализация для пользователя. Выгружайте и храните исходный документ вместе с файлом подписи — без этой пары спор разбирать не по чему».
Что закрыть кроме сертификата: доверенности, доступы, уведомления
Отзыв сертификата снимает риск нового подписания, но не отменяет полномочий, которые вы этой подписью выдали. Машиночитаемая доверенность — это XML-файл, подписанный подписью доверителя, с данными представителя и кодами полномочий из классификатора. МЧД отзывается заявлением в ту информационную систему, где она хранится: для налоговых полномочий это сервис ФНС по созданию и проверке доверенности в электронной форме. Автоматического прекращения доверенности вслед за отзывом сертификата доверителя закон прямо не устанавливает, поэтому отзывайте каждую МЧД отдельно и фиксируйте дату.
Для ИП с обособленными точками и для компаний с филиалами это отдельная работа: доверенности выдаются на конкретных физических лиц с указанием СНИЛС, ИНН и кодов полномочий, и после смены подписи доверителя весь пакет придётся выпускать заново уже новой подписью. Пока новая МЧД не выпущена, документы подписывает лично предприниматель.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Машиночитаемая доверенность читается не человеком, а алгоритмом: система автоматически сверяет коды полномочий и решает, вправе ли подписант отправлять этот документ. Поэтому после смены подписи доверителя недостаточно переслать контрагенту новый сертификат — нужен новый XML-файл доверенности. Проверьте по своему списку, сколько таких файлов у вас в обороте, до того как отзовёте подпись».
Второй блок — письменные уведомления. Письмо об утрате ключа отправляется контрагентам, оператору электронного документооборота и банку в свободной форме, но с обязательными реквизитами: серийный номер сертификата, дата и обстоятельства утраты, дата подачи заявления на отзыв, просьба не принимать документы, подписанные этим сертификатом после указанной даты. Такое письмо — ваше доказательство добросовестности, если чужая подпись всё-таки всплывёт.
Полезно знать: у мобильной подписи логика другая. Закрытая часть ключа в Госключе хранится на самом телефоне, доступа к ней нет ни у одной госслужбы. При удалении приложения или утере пароля восстановить прежнюю подпись невозможно — выпускается новая, с собственным сроком действия.
Третий блок — учёт. Реестр выданных носителей и сертификатов с серийными номерами и сроками действия закрывает половину вопросов в момент инцидента: вы за минуту находите реквизиты сертификата, список выданных МЧД и перечень систем, где подпись использовалась. В практике Добыто такой реестр ведётся с самого начала внедрения, потому что без него инвентаризация подписей после первого же увольнения превращается в опрос сотрудников.
Заявления и реестры для отзыва и повторного выпуска подписи
Комплект собран под аварийный сценарий: начинайте с заявления на аннулирование, остальное понадобится на этапе повторного выпуска.
| Документ | Скачать |
|---|---|
| Заявление на аннулирование сертификата ЭП | Скачать |
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Доверенность на получение сертификата ЭП | Скачать |
| Реестр выданных токенов | Скачать |
| Памятка по настройке КЭП для налоговой | Скачать |
Когда отзыв не нужен и что он не решает
Аннулирование сертификата не восстанавливает доступ и не отменяет уже подписанные документы. Всё, что подписано до внесения записи в реестр, сохраняет силу: подпись проверяется на момент подписания, а не на сегодняшнюю дату. Отзыв работает только вперёд.
Отзывать сертификат не нужно в трёх ситуациях. Первая — носитель найден и из вашего владения фактически не выходил. Вторая — забыт PIN-код пользователя при целом токене: здесь решается разблокировкой PIN администратора в панели управления носителя, а не аннулированием сертификата. Третья — истёк срок действия сертификата: он уже не работает, отзывать нечего, нужен новый выпуск.
Сколько стоит промедление с отзывом
Цена задержки считается не деньгами за перевыпуск: в УЦ ФНС квалифицированный сертификат для ИП выдаётся бесплатно. Считается другое. Пока запись в реестре не появилась, любой документ, подписанный вашим ключом, для контрагента и для государственной системы выглядит подписанным вами: отчётность, договор, заявление в регистрирующий орган. Оспаривание такого документа идёт через суд, с экспертизой и доказыванием обстоятельств утраты, и занимает несоизмеримо больше времени, чем визит в инспекцию. Второй слой потерь — простой: без действующей подписи ИП не сдаёт отчётность, не подписывает акты и не участвует в закупочных процедурах, а в отчётный период каждый день простоя означает риск нарушения срока.
Что об этом думает суд: в трудовых спорах, где работник отрицал факт подписания документа своей усиленной подписью, суды проверяли не сам факт наличия подписи, а весь комплект: действовал ли сертификат на момент подписания, как документ передавался на подпись и не подменялся ли он в процессе. Оба известных спора этой категории закончились в пользу работников. Логика применима и к предпринимателю: отсутствие фиксации момента утраты и уведомлений играет против владельца ключа.
Как ИП быстро получить новую подпись взамен утраченной
Дистанционный перевыпуск по действующей подписи в этой ситуации недоступен: подписывать заявление нечем. Остаются два пути. Первый — личное присутствие в месте выдачи УЦ ФНС России: там же выдаётся новый сертификат, записываемый на исправный носитель. Второй — дистанционный выпуск с подтверждением личности по биометрии через личный кабинет на сайте ФНС или приложение Госключ; для него нужна подтверждённая биометрия, зарегистрированная в банке или МФЦ, со сроком действия 5 лет. Порядок и перечень оснований описаны на странице удостоверяющего центра ФНС России, включая предупреждение о мошеннических предложениях выпустить подпись «онлайн с курьером».
Сертификат УЦ ФНС выдаётся сроком на 15 месяцев независимо от типа ключевого носителя. Носитель нужен свой, сертифицированный ФСТЭК или ФСБ России: подойдёт линейка Рутокен ЭЦП 3.0, JaCarta, ESMART Token ГОСТ. Для квалифицированной подписи с ключом, который генерируется внутри устройства, требуется сертификация ФСБ; если токен используется просто как защищённое PIN-кодом хранилище извлекаемого ключа, достаточно сертификации ФСТЭК.
После получения нового сертификата рабочее место собирается заново. Нужны драйверы конкретного носителя (Рутокен, JaCarta, eSmart), КриптоПро CSP версии 5.0 R2 сборки 12000 или выше, плагин КриптоПро ЭЦП Browser Plug-in, корневые сертификаты Минцифры России и УЦ ФНС России, а также личный сертификат, установленный из контейнера. Корневой сертификат Минцифры ставится в доверенные корневые центры сертификации, сертификат УЦ ФНС — в промежуточные: перепутанные хранилища дают обрыв цепочки доверия и ошибку при подписании.
Мария Ж, юрист со стажем более 20 лет: «Повторный выпуск подписи для ИП стоит планировать как визит с полным комплектом: паспорт, СНИЛС, ИНН и исправный носитель с сертификацией ФСТЭК или ФСБ. Чаще всего человек приезжает во второй раз именно из-за носителя: старый остался у нашедшего, а новый куплен без проверки сертификации. Уточните требования к устройству до поездки, тогда сертификат вы получите за один визит».
Лайфхак: лицензия на КриптоПро CSP в рамках проекта УЦ ФНС вшивается внутрь сертификата и действует ровно столько, сколько действует сам сертификат. Отдельно вводить лицензию на рабочем месте для работы с этим ключом не нужно.
Если вы не только ИП, но и работодатель, аварийный сценарий стоит развести по видам подписи заранее. Кадровые документы по статьям 22.1-22.3 ТК РФ подписываются ПЭП и УНЭП, которые к USB-токену не привязаны: в сервисе Добыто такие подписи для сотрудников выпускаются внутри платформы, и утрата токена руководителя не останавливает оформление приёмов, отпусков и переводов. Токен остаётся нужен там, где закон требует именно УКЭП.
Стоимость подписей для сотрудников в тарифах Добыто КЭДО
Стоимость зависит от численности подписантов и набора нужных видов подписи: электронные подписи для сотрудников входят в тариф и отдельно не покупаются.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | годовой период |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | в день подключения |
| Интеграция с 1С:ЗУП готовым модулем | в тарифе «Бизнес» | установка и настройка за 1 день |
| УКЭП для сотрудников | через партнёров-удостоверяющих центров | по регламенту УЦ |
Итоговая сумма складывается из численности подписантов, выбранного набора видов подписи и потребности в интеграции с учётной системой; при переходе между тарифами разница пересчитывается пропорционально оставшемуся периоду. Актуальные условия и состав каждого пакета указаны на странице тарифов ДОБЫТО КЭДО.
Отдельно считается только квалифицированная подпись: сертификат для ИП и руководителя выдаёт УЦ ФНС бесплатно, а расходы владельца ограничиваются покупкой сертифицированного носителя.
Выводы
Утрата токена решается не поиском носителя, а записью в реестре удостоверяющего центра: заявление подаётся в течение одного рабочего дня, запись вносится за 12 часов, и только после этого чужая подпись перестаёт работать. Порядок действий определяется наличием второй действующей УКЭП: с ней заявление уходит онлайн, без неё нужен личный визит в место выдачи. Кроме сертификата закрываются машиночитаемые доверенности, доступы и уведомления контрагентов, а новая подпись для ИП выпускается в УЦ ФНС бесплатно на 15 месяцев.
Мы в Добыто выстраиваем кадровый документооборот так, чтобы аварийный сценарий с одним токеном не останавливал работу компании: подписи сотрудников живут внутри платформы, реестр носителей и сертификатов ведётся с первого дня, а маршруты согласования не зависят от того, у кого сейчас на руках USB-носитель.
Частые вопросы
Можно ли приостановить действие сертификата, а не отзывать его насовсем
Портал Госуслуг позволяет заблокировать сертификат, если удостоверяющий центр не подключён к сервису отзыва, но это промежуточная мера: следом всё равно подаётся заявление в центр. Полноценное прекращение действия — это запись в реестре сертификатов, и после её внесения отменить решение нельзя. Возврат к работе возможен только через новый выпуск.
Токен нашёлся через неделю после отзыва сертификата. Можно ли его использовать
Сам носитель использовать можно: после форматирования на него записывается новый ключевой контейнер и новый сертификат. Отозванный сертификат на этом токене не оживает ни при каких условиях, а попытка подписать им документ даст статус «сертификат отозван» у проверяющей стороны.
Что делать, если утрачен токен с подписью сотрудника, а не предпринимателя
Заявление подаёт владелец сертификата, то есть сам сотрудник, поскольку с 1 сентября 2023 года квалифицированные сертификаты выпускаются на физическое лицо, а полномочия подтверждаются машиночитаемой доверенностью. Работодатель со своей стороны отзывает выданную этому сотруднику МЧД через информационную систему, где она хранится, и фиксирует изъятие носителя в реестре.
Нужно ли писать заявление в полицию при утрате токена
Заявление в полицию не заменяет обращение в удостоверяющий центр и на срок прекращения действия сертификата не влияет. Смысл в нём появляется, когда есть признаки использования ключа посторонним: подписанные не вами документы, операции в личном кабинете, поданная от вашего имени отчётность. Такое заявление вместе с подтверждением отзыва образует комплект доказательств для последующего оспаривания.
Как понять, какие документы были подписаны утраченным ключом
По реквизитам сертификата: серийный номер и отпечаток из карточки сертификата сверяются с данными в файлах подписи и в журналах информационных систем, где вы работали. Проверка отсоединённой подписи показывает владельца, издателя и время подписания, а протокол проверки можно сохранить и приложить к обращению.
Обязательно ли покупать новый токен взамен утраченного
Носитель нужен исправный и сертифицированный ФСТЭК или ФСБ России, но он не обязан быть новым: если у вас есть свободный Рутокен, JaCarta или ESMART Token ГОСТ с достаточным объёмом защищённой памяти, новый сертификат записывается на него. Одно устройство хранит несколько контейнеров, а фактическое количество зависит от объёма памяти и от того, какие расширения удостоверяющий центр записал в сертификат.
Отзывается ли лицензия на КриптоПро CSP вместе с сертификатом
Если лицензия вшита в сертификат в рамках проекта УЦ ФНС, она действует ровно столько же, сколько сертификат, и вместе с ним прекращается. Отдельно купленная бессрочная лицензия на конкретную версию провайдера остаётся у владельца рабочего места и переносится на работу с новым ключом.
