Приказ о назначении ответственного за ЭЦП ни одним федеральным законом прямо не предписан: 63-ФЗ возлагает обязанности по обращению с ключом на самого владельца сертификата (часть 1 статьи 10), а статьи 22.1-22.3 ТК РФ требуют от работодателя локального нормативного акта о КЭДО, а не приказа о конкретном сотруднике. Издают приказ по другой причине: он закрепляет, кто ведёт учёт сертификатов и носителей, кто выдаёт их работникам и кто прекращает доступ при увольнении. Протокол уместен там, где решение принимает коллегиальный орган или комиссия по работе с криптосредствами; в обычном ООО распорядительным документом остаётся приказ руководителя. Ответственного за организацию работы с подписями назначают приказом, а право подписывать документы от имени компании приказом не передаётся: для этого оформляют машиночитаемую доверенность.
Разберём структуру приказа из семи пунктов, таблицу соответствия «ситуация — документ», формулировки, которые снимают вопросы при проверке, и то, что приказ закрыть не может: передачу чужого ключа, забытый PIN-код токена, отзыв сертификата при увольнении. Во второй половине статьи — сценарная таблица для компаний разного размера, состав журнала учёта подписей и носителей, тарифы на 2026 год и ответы на частые вопросы.
Конструктор ниже соберёт готовый приказ в .docx: со ссылками на статьи 22.1-22.3 ТК РФ, выбором видов подписи и пунктом о назначении ответственного.
Требует ли закон приказ о назначении ответственного за ЭЦП
Прямой нормы, которая обязывала бы издать такой приказ, в российском законодательстве нет. 63-ФЗ описывает обязанности участников электронного взаимодействия, а не структуру управления компанией: владелец сертификата обеспечивает конфиденциальность ключа, не допускает его использования без своего согласия и уведомляет удостоверяющий центр и других участников, если есть основания считать конфиденциальность нарушенной. Обязанность привязана к физическому лицу, а не к должности, и приказом её ни на кого не переложить.
Трудовой кодекс подходит к вопросу с другой стороны. Статья 22.2 требует, чтобы работодатель принял локальный нормативный акт о переходе на кадровый электронный документооборот и указал в нём информационную систему, виды используемых подписей, порядок доступа работников и перечень документов. Ответственное подразделение или лицо в этом ЛНА обычно упоминается, но самостоятельного требования «издайте приказ об ответственном за ЭЦП» в кодексе нет.
Факт: по части 1 статьи 10 63-ФЗ участники электронного взаимодействия обязаны не допускать использование принадлежащих им ключей электронной подписи без своего согласия. Передача токена другому сотруднику этой нормой не регулируется и не становится законной от того, что оформлена приказом.
Практический смысл приказа в другом. Он отвечает на вопросы, на которые закон ответа не даёт: кто заказывает выпуск сертификатов, кто выдаёт носители и под какую подпись, кто проверяет сроки действия, кто инициирует отзыв сертификата при увольнении и кто отвечает за хранение реестра. Если эти роли не закреплены, задача расползается между кадрами, бухгалтерией и ИТ, и в момент проверки или судебного спора выясняется, что реестра подписей у компании нет вовсе. Проверить готовность просто: попросите назвать, у скольких сотрудников сейчас действующие сертификаты и когда истекает ближайший.
Приказ, протокол или локальный акт: чем что оформляется
Протокол и приказ решают разные задачи. Протокол фиксирует решение коллегиального органа или комиссии: собрания участников, совета директоров, комиссии по работе со средствами криптографической защиты. Приказ — распорядительный документ единоличного исполнительного органа. Назначение ответственного за электронные подписи в коммерческой компании относится к текущему управлению, поэтому оформляется приказом; протокол здесь не заменяет приказ, а в лучшем случае предшествует ему, если решение принимала комиссия.
Ниже — соответствие между типовой ситуацией и документом, которым её закрывают.
| Что нужно закрепить | Документ | Основание |
|---|---|---|
| Кто ведёт учёт сертификатов, выдаёт и принимает носители | Приказ по основной деятельности | Полномочия единоличного исполнительного органа, статья 22 ТК РФ |
| Порядок создания и проверки подписи, разбор спорных ситуаций | Положение как ЛНА, утверждается приказом | Статья 8 ТК РФ; часть 2 статьи 6 и статья 9 63-ФЗ для ПЭП и УНЭП |
| Переход на КЭДО, перечень документов и виды подписи | ЛНА о введении КЭДО | Статья 22.2 ТК РФ, принимается с учётом мнения профсоюзного органа |
| Дополнительная работа сотрудника по учёту подписей | Дополнительное соглашение к трудовому договору | Статьи 60.2 и 151 ТК РФ, если обязанность выходит за трудовую функцию |
| Право подписывать документы от имени компании | Машиночитаемая доверенность, подписанная УКЭП руководителя | 63-ФЗ, статья 185 ГК РФ |
| Решение комиссии по работе с криптосредствами | Протокол заседания комиссии | Устав, положение о комиссии, требования заказчика или регулятора |
Из таблицы видно, где чаще всего возникает пробел: компания издаёт приказ, но не принимает положение, и порядок проверки подписи с разбором спорных ситуаций нигде не описан. Для УКЭП это терпимо, потому что её юридическая сила установлена законом. Для ПЭП и УНЭП отсутствие такого документа означает, что подпись нечем подтвердить в споре.
Мария Ж, юрист со стажем более 20 лет: «Простая электронная подпись работает только вместе с внутренним порядком её применения. Нужен документ, по которому конкретному человеку присвоен логин, правило определения подписавшего лица и его обязанность хранить пароль в секрете, а также подпись работника об ознакомлении. Без этой связки логин в системе остаётся просто логином, а не подписью».
Кого назначать и какие роли нельзя смешивать
В приказе разводятся три роли, и путаница между ними даёт большую часть проблем. Ответственный за организацию работы с подписями ведёт учёт, взаимодействует с удостоверяющим центром, выдаёт носители и инициирует отзыв. Владелец сертификата — тот, чьи данные указаны в сертификате и кто подписывает. Администратор системы КЭДО настраивает маршруты согласования и доступы. Одно лицо может занимать две роли в маленькой компании, но обязанности владельца сертификата остаются личными в любом случае.
Внимание: сертификаты, где вместе с ФИО сотрудника указано наименование организации, с 1 сентября 2023 года не выпускаются. Сотрудник получает квалифицированный сертификат как физическое лицо в аккредитованном удостоверяющем центре, а полномочия подтверждает машиночитаемой доверенностью. Руководитель и ИП получают сертификат в удостоверяющем центре ФНС.
Отсюда следует практическое требование к тексту приказа: он не наделяет работника правом подписи, а наделяет его обязанностями по учёту. Формулировка «назначить Иванова ответственным за электронную подпись организации» юридически пуста, потому что подписи организации в прежнем смысле больше не существует. Работающая формулировка описывает действия: организовать выпуск сертификатов, вести реестр, выдавать носители по акту, контролировать сроки, готовить заявления на отзыв.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Выбор вида подписи для каждого потока документов тоже фиксируется в ЛНА, а не в приказе об ответственном. Кадровые документы по статье 22.3 ТК РФ подписываются по-разному: трудовой договор, договор о материальной ответственности и приказ о применении дисциплинарного взыскания требуют более сильной подписи, чем заявление на отпуск. Смешивать ПЭП, УНЭП и УКЭП в одном пункте приказа нельзя: это три разные сущности с разными последствиями.
Что написать в приказе: семь пунктов и формулировки
Рабочий приказ занимает одну страницу и закрывает семь позиций. Каждая из них появилась из практики: это те места, по которым потом задают вопросы аудиторы, инспекторы ГИТ и суд.
- Основание. Ссылка на статьи 22.1-22.3 ТК РФ и на 63-ФЗ, если компания использует усиленные подписи, плюс реквизиты ЛНА о КЭДО, если он уже принят.
- Кого назначают. Должность, подразделение и фамилия, а не абстрактный «отдел кадров». В приказе указывается и лицо, замещающее ответственного на период отпуска и болезни.
- Перечень обязанностей. Закрытый список действий: организация выпуска сертификатов, ведение реестра, выдача и приём носителей по акту, контроль сроков действия, подготовка заявлений на отзыв, хранение подписанных комплектов.
- Виды подписи и потоки документов. Какие документы подписываются ПЭП, какие УНЭП, какие УКЭП, со ссылкой на ЛНА, где это описано подробно.
- Порядок при увольнении и переводе. Срок сдачи носителя и срок подачи заявления на отзыв сертификата в удостоверяющий центр.
- Действия при компрометации. Кого уведомляет работник, кто направляет уведомление в удостоверяющий центр и контрагентам, с какого момента подписание приостанавливается.
- Ознакомление. Лист ознакомления с подписями всех упомянутых работников; в электронном виде — фиксация факта ознакомления в системе КЭДО.
Лайфхак: в пункт об обязанностях добавьте контроль версии криптопровайдера на рабочих местах. КриптоПро CSP версии 4.0 работает только с извлекаемыми ключами, а неизвлекаемые ключи и режим PKCS#11 поддерживает версия 5.0 R2 и выше. Расхождение версий на парке рабочих мест обнаруживается в день массового подписания.
Как издать приказ о назначении ответственного за электронные подписи: пошаговая инструкция
- Шаг 1. Соберите исходные данные: сколько сертификатов выпущено, кем, на каких носителях, когда истекают. Без этого списка приказ придётся переписывать через месяц.
- Шаг 2. Определите, выходит ли новая работа за пределы трудовой функции кандидата. Если выходит, готовьте дополнительное соглашение по статье 60.2 ТК РФ с доплатой, а не только приказ.
- Шаг 3. Согласуйте с ИТ-службой, кто физически выдаёт носители и кто имеет доступ к сейфу или шкафу хранения.
- Шаг 4. Оформите текст приказа по семи пунктам выше, приложите форму акта приёма-передачи носителя и форму реестра.
- Шаг 5. Подпишите приказ у руководителя, зарегистрируйте в журнале приказов по основной деятельности, ознакомьте всех упомянутых работников.
- Шаг 6. Внесите ссылку на приказ в положение о КЭДО и в должностную инструкцию ответственного, чтобы документы не противоречили друг другу.
- Шаг 7. Запланируйте пересмотр: при смене руководителя, ответственного или удостоверяющего центра приказ переиздаётся.
Образцы приказов и форм учёта электронных подписей
Начинать удобнее с приказа об ответственном за КЭДО и делегировании подписи: остальные документы собираются вокруг него.
| Документ | Скачать |
|---|---|
| Приказ: ответственный за КЭДО и делегирование подписи | Скачать |
| Приказ об утверждении локального нормативного акта | Скачать |
| Реестр выданных токенов | Скачать |
| Реестр сертификатов сотрудников | Скачать |
| Машиночитаемая доверенность: образец и структура XML | Скачать |
Журнал учёта ЭЦП: что в нём должно быть
Журнал ЭЦП — это не одна таблица, а две. Первая учитывает сертификаты: владелец, удостоверяющий центр, серийный номер, даты начала и окончания действия, назначение, статус. Вторая учитывает носители: модель, инвентарный номер, кому и когда выдан, дата возврата, реквизиты акта приёма-передачи. Разделение нужно потому, что у одного человека может быть несколько сертификатов, а на одном токене в формате КриптоПро CSP помещается до 31 контейнера.
Модели носителей в журнале указываются точно. В российских компаниях встречаются Рутокен Лайт, Рутокен ЭЦП 2.0 и 3.0, JaCarta и ESMART Token ГОСТ, и они различаются возможностями: пассивный носитель хранит извлекаемый ключ и работает как защищённое PIN-кодом хранилище, активный генерирует неизвлекаемый ключ, который никогда не покидает память устройства. Для квалифицированной подписи, когда токен сам выполняет криптографические операции, у устройства должна быть сертификация ФСБ, а не только ФСТЭК.
В практике Добыто реестр сертификатов чаще всего собирают уже после первого сбоя: подпись перестала действовать в день сдачи отчётности, и выяснилось, что срок никто не отслеживал. Мы закладываем инвентаризацию подписей до старта проекта КЭДО, потому что это дешевле, чем перевыпускать сертификаты в авральном режиме.
Полезно знать: удаление сертификата из хранилища на компьютере не отзывает его. Отзыв оформляется заявлением в тот удостоверяющий центр, который сертификат выдал, после чего он попадает в список отозванных. Документы, подписанные после включения сертификата в этот список, проверку не проходят.
Мария Ж, специалист по цифровой подписи и КЭДО: «При увольнении удалить сертификат из реестра компьютера недостаточно. Пока не подано заявление на отзыв в удостоверяющий центр, сертификат остаётся действующим до конца срока. Поставьте в приказе конкретный срок подачи заявления и включите отметку об отзыве в обходной лист, иначе шаг теряется между кадрами и ИТ».
МЧД, филиалы и делегирование права подписи
Приказ об ответственном не даёт права подписывать документы за компанию. Сотрудник подписывает своим сертификатом физического лица, а полномочия подтверждает машиночитаемая доверенность — XML-файл, подписанный УКЭП руководителя. В доверенность вносятся данные доверителя и представителя, срок и перечень полномочий; для государственных органов полномочия указываются кодами из классификатора, размещённого в Единой системе нормативной справочной информации. Компания может направить свой перечень полномочий в Минцифры: рассмотрение занимает 10 дней, при положительном решении коды присваиваются в течение трёх рабочих дней.
МЧД филиала оформляется так же, как на любого другого представителя: доверителем выступает юридическое лицо в лице руководителя, а не филиал. Руководителю филиала выдаётся отдельная доверенность с закрытым перечнем полномочий и сроком. Передоверие идёт через нотариуса: нужны паспорт нового уполномоченного лица и актуальная выписка из ЕГРЮЛ, нотариус формирует новую доверенность, подписывает своей квалифицированной подписью и выгружает в информационную систему. В небольших городах на этот шаг закладывают запас по времени: нотариус должен располагать соответствующими техническими средствами.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Доверенность на физическое лицо может не содержать должности. Если в МЧД указаны только ФИО и СНИЛС, увольнение сотрудника само по себе её не прекращает, и полномочия формально сохраняются до конца срока. Проверьте по реестру доверенностей, у кого из уволенных за последний год остались незакрытые МЧД, и отзовите их».
В проектах Добыто реестр доверенностей ведётся рядом с реестром сертификатов: одна строка на доверенность, с полномочиями, сроком и отметкой об отзыве. Данные МЧД сверяются с сертификатом при приёмке документов: ФИО и СНИЛС в доверенности должны совпадать с полями сертификата подписанта. Расхождение хотя бы в одном реквизите превращает подписанный документ в документ без подтверждённых полномочий. Проверить связку доверенности, сертификата представителя и файла отсоединённой подписи можно самостоятельно через сервис проверки электронной подписи на Госуслугах, куда загружаются сертификат, XML-файл доверенности и файл подписи.
Что приказ не закрывает и во что обходятся ошибки
Приказ не отменяет личный характер обязанностей владельца ключа. Практика «директор отдал токен помощнику, чтобы утром подписали документы» приказом не легализуется: 63-ФЗ не регламентирует передачу ключа третьим лицам, а при споре считается, что документ подписал владелец сертификата, и ответственность за содержание документа лежит на нём. Законный путь один: у помощника собственный сертификат и МЧД с нужными полномочиями.
Не решает приказ и техническую сторону. Забытый пароль контейнера или заблокированный PIN-код токена восстанавливается через панель управления носителем, если известен PIN администратора; если неизвестен — токен форматируется, а ключ теряется вместе с ним, и сертификат нужно выпускать заново. Ситуация «забыл ЭЦП» в приказе описывается не как техническая инструкция, а как срок обращения: к кому и в какой срок работник сообщает о проблеме, чтобы не пропустить срок подписания.
Стоимость ошибки: чем заканчиваются споры о подписи
Судебная практика по кадровым документам, подписанным электронно, складывается не в пользу работодателей, у которых не выстроен порядок. В разбирательствах, где работники оспаривали увольнение, суды проверяли не сам факт наличия подписи, а весь комплект: локальные акты о введении КЭДО, действительность сертификата на момент подписания, подтверждение того, что подписанный работником документ был передан в удостоверяющий центр без изменений. В известных спорах крупного банка и розничной сети требования работников удовлетворили: увольнение признали незаконным, сотрудника восстановили, взыскали средний заработок за время вынужденного прогула и компенсацию морального вреда.
Отдельная строка расходов — административная. Нарушение трудового законодательства по части 1 статьи 5.27 КоАП РФ грозит юридическому лицу штрафом от 30 000 до 50 000 рублей, а вместе с ним — предписанием ГИТ, по которому придётся переоформлять документы за прошлый период. Если кадровый документ подписан подписью, которая для него не подходит, восстановить ситуацию задним числом обычно нельзя: работник уже уволен или отказывается переподписывать.
Мария Ж, судебный эксперт по трудовому праву: «Суд смотрит не на штамп подписи в PDF: визуализация юридической силы не имеет. Значение имеют электронный оригинал, файл подписи и возможность его проверить. Храните комплект целиком — документ, файл подписи формата p7s или sig и протокол проверки, иначе в суде вы предъявите распечатку, которую нечем подтвердить».
Что критично для компаний разного размера
Объём документов вокруг подписи зависит от того, кто и что подписывает. Универсального комплекта нет: для ИП с одним токеном приказ об ответственном — лишняя бумага, для сети с филиалами без реестра доверенностей начинается неразбериха.
| Сценарий | Что критично | Что вторично |
|---|---|---|
| ИП или компания до 25 человек, подписывает только руководитель | Хранение токена и PIN у владельца, отзыв сертификата при смене руководителя | Приказ об ответственном, отдельный журнал учёта |
| Компания 25-250 человек, КЭДО на весь штат | ЛНА о КЭДО, согласия работников, реестр сертификатов, приказ об ответственном | Комиссия и протокол её заседания |
| Филиальная сеть, подписывают руководители подразделений | Реестр МЧД со сроками и полномочиями, порядок отзыва при переводе и увольнении | Единая модель носителей во всех филиалах |
| Компания с требованиями заказчика или регулятора к работе с криптосредствами | Комиссия, протокол, поэкземплярный учёт носителей и хранение формуляров | Свободная форма приказа |
Строка про комиссию объясняет, откуда вообще берётся вопрос про протокол: требование о коллегиальном органе приходит из отраслевых правил работы со средствами криптографической защиты или из договора с заказчиком, а не из трудового законодательства. Если такого требования к вам не предъявляли, протокол не нужен.
Стоимость подключения КЭДО и электронных подписей
Стоимость складывается из численности сотрудников, набора функций и того, нужны ли интеграция с 1С и электронный архив. Электронные подписи ПЭП и УНЭП для сотрудников входят в тариф.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | период 1 год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | в рамках подключения |
| Получение УКЭП через партнёров-удостоверяющих центров | по запросу | по регламенту УЦ |
| Интеграция с 1С:ЗУП готовым модулем | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговая сумма зависит от численности и выбранного набора функций: кастомные шаблоны, приоритетная поддержка и электронный архив входят в «Бизнес», выделенный сервер и API — в «Корпорацию». Актуальные условия и состав каждого тарифа собраны на странице тарифов ДОБЫТО КЭДО.
Переход между тарифами возможен в любое время: при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Отдельного законного требования издать приказ о назначении ответственного за ЭЦП нет, но без него в компании не закреплены учёт сертификатов, выдача носителей и отзыв подписей при увольнении. Протокол нужен только там, где решение принимает комиссия или коллегиальный орган; в остальных случаях работает приказ руководителя, а порядок применения подписи описывается в положении как локальном нормативном акте. Право подписи приказом не передаётся: его подтверждает машиночитаемая доверенность, данные которой должны совпадать с сертификатом подписанта.
Мы в Добыто собираем этот комплект вместе с внедрением КЭДО: приказ, положение, реестр сертификатов и носителей, порядок отзыва при увольнении. Такой набор снимает большую часть вопросов, которые потом возникают у инспектора и у суда.
Частые вопросы
Нужен ли отдельный приказ, если ответственный уже назван в положении о КЭДО
Юридически достаточно положения, если оно утверждено приказом и в нём указаны должность и обязанности. Отдельный приказ издают, когда ответственного меняют чаще, чем пересматривают положение: переиздать приказ на одну страницу проще, чем принимать новую редакцию ЛНА и заново знакомить с ней весь штат. Проверьте, чтобы в двух документах не оказалось разных фамилий.
Можно ли назначить ответственным за ЭЦП внешнего подрядчика
Приказом — нет: приказ распространяется на работников по трудовому договору. С подрядчиком или ИТ-аутсорсером отношения оформляются договором, где прописываются обязанности по учёту и обработке персональных данных с поручением по 152-ФЗ. Доступ к чужим ключам подрядчику не передаётся ни при каком варианте оформления.
Что делать, если сотрудник забыл PIN-код токена
Разблокировка выполняется в панели управления носителем при известном PIN администратора. Если PIN администратора неизвестен или счётчик попыток исчерпан, токен форматируется, ключ теряется и сертификат нужно выпускать заново по регламенту удостоверяющего центра. Поэтому PIN администратора хранится у ответственного, а не у пользователя, и этот пункт стоит внести в приказ.
Нужно ли указывать в приказе конкретный криптопровайдер
Достаточно требования использовать сертифицированные средства электронной подписи: требования к квалифицированному сертификату установлены приказом ФСБ № 795, к средствам подписи — приказом ФСБ № 796. Конкретную версию, например КриптоПро CSP 5.0 R2 и выше, указывают в технической инструкции, потому что версии обновляются чаще, чем переиздаются приказы.
Как приказ помогает при подписании исходящих писем электронной подписью
Письмо, подписанное электронной подписью, отправляется получателю комплектом: сам файл и файл подписи формата p7s или sig, если подпись отсоединённая. Приказ определяет, кто формирует и хранит этот комплект. Распечатка со штампом о подписании юридической силы не имеет, поэтому в переписке передаётся электронный оригинал.
Можно ли выпустить сотруднику подпись быстро, за один день
Срок зависит от вида подписи. ПЭП и УНЭП выпускаются в системе КЭДО в день подключения. УНЭП через Госключ оформляется на подтверждённой учётной записи Госуслуг, а УКЭП в этом приложении требует биометрического загранпаспорта нового образца и телефона с NFC. Квалифицированный сертификат в аккредитованном удостоверяющем центре занимает больше времени: нужна идентификация заявителя по регламенту центра.
