Продление ЭЦП сотрудникам — это не одна операция, а четыре независимых срока: сертификат ключа проверки подписи, лицензия криптопровайдера, ресурс ключевого носителя и машиночитаемая доверенность. Сертификат в коммерческом удостоверяющем центре чаще всего выдаётся на год, и перевыпуск запускают заранее: заявление на выпуск, согласие на обработку персональных данных, запись ключа на токен. МЧД при этом перевыпускать не нужно, она не привязана к сертификату и живёт свой срок. Главное различие в маршруте: сертификат руководителя выдаёт только удостоверяющий центр ФНС, лично и с записью на токен без права копирования, а сертификат физического лица на сотрудника — любой аккредитованный удостоверяющий центр, и уже к нему прикладывается доверенность.
Разберём, что именно истекает и в каком порядке, как вести журнал ЭЦП, чтобы срок не всплывал за день до отчётности, и какие данные МЧД придётся переоформить при переводе сотрудника в филиал. Покажем, что делать, когда сотрудник забыл про подпись и документ уже ушёл контрагенту с просроченным сертификатом. Во второй половине статьи — пошаговый годовой цикл продления, разбор ошибок с ценой каждой, тарифы на 2026 год и ответы на частые вопросы.
Что на самом деле продлевается: четыре разных срока
Кадровик обычно держит в голове одну дату — окончание сертификата. На практике параллельно идут ещё три срока, и любой из них останавливает подписание так же надёжно, как истёкший сертификат. Сертификат ключа проверки электронной подписи выдаёт удостоверяющий центр, лицензию на криптопровайдер продаёт разработчик СКЗИ, носитель живёт по своей памяти и своим политикам PIN-кода, а МЧД подписывает руководитель организации.
По каждому объекту различаются и держатель срока, и последствия просрочки.
| Что истекает | Кто выдаёт и продлевает | Что происходит после окончания |
|---|---|---|
| Сертификат ключа проверки ЭП сотрудника | Аккредитованный удостоверяющий центр, чаще всего срок — год | Новые документы подписать нельзя, ранее подписанные остаются проверяемыми при наличии штампа времени |
| Сертификат руководителя организации | Удостоверяющий центр ФНС, первичная выдача лично, один сертификат на организацию | Останавливается выпуск новых МЧД, потому что доверенность подписывает руководитель |
| Лицензия на КриптоПро CSP | Разработчик СКЗИ; в сертификатах УЦ ФНС лицензия вшита и равна сроку сертификата | Криптопровайдер перестаёт подписывать, при этом ключ с вшитой лицензией продолжает работать |
| Ключевой носитель: память и политики | Работодатель, который выдал токен под расписку | Новый контейнер не записывается, старые сертификаты приходится удалять вручную |
| Машиночитаемая доверенность | Руководитель организации, срок задаётся при создании и может доходить до нескольких лет | Сертификат сотрудника действует, но полномочия не подтверждаются, документ уходит без подтверждения права подписи |
Продление сертификата и продление МЧД — две задачи с разными датами и разными исполнителями. За пять лет действия одной доверенности сотрудник сменит пять годовых сертификатов, и ни один из перевыпусков доверенности не затронет.
Мария Ж, специалист по цифровой подписи и КЭДО: «Чаще всего компанию останавливает не сертификат, а лицензия на криптопровайдер: подпись выпустили, а рабочее место осталось на старой версии. Если ключ получен в удостоверяющем центре ФНС, лицензия вшита в сертификат и заканчивается вместе с ним, а вот на всех остальных машинах лицензия своя. Проверьте её срок в окне КриптоПро CSP на вкладке общих сведений раньше, чем начнёте перевыпуск.»
Когда запускать продление и что делать, если сотрудник забыл
Отправная точка планирования — не дата окончания, а дата последнего документа, который сотрудник должен подписать этим сертификатом. Отчётный период, приказы на отпуск, ознакомление с ЛНА и приём новых работников создают пики, и попадание окончания сертификата в такой пик стоит дороже самого перевыпуска. В практике Добыто мы разводим окончания сертификатов по разным неделям месяца именно из-за этого.
Если срок всё-таки прошёл, восстановить его нельзя: продления действующего сертификата в юридическом смысле не существует, выпускается новый сертификат с новым сроком. Документы, подписанные до окончания срока, остаются проверяемыми, если в подпись встроен штамп времени доверенной службы и ответ службы OCSP о статусе сертификата на момент подписания. Без этих реквизитов доказать, что подпись поставлена в период действия сертификата, будет нечем.
Факт: сертификат ФСБ на КриптоПро CSP 4.0 действует до 15 января 2026 года, а на всю линейку 5.0 — релизы R1, R2 и R3 — до 1 мая 2027 года. Планируя продление подписей, сверяйте эти даты с версией криптопровайдера на рабочих местах.
Отдельный сценарий — сотрудник, который отозвал подпись или потерял к ней доступ. Электронную подпись в приложении Госключ нельзя восстановить: закрытая часть ключа хранится на телефоне, и после удаления приложения или сброса пароля выпускается новая подпись со своим сроком действия, а не та же самая. Токен с неэкспортируемым ключом ведёт себя так же: скопировать контейнер не получится, только выпустить новый.
Проверьте, действует ли сертификат под уже подписанным документом
Проверка электронной подписи
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
2 Загрузите документ и файл подписи:
Документ
Файл подписи (.sig)
Нужно подписать документ?
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Проверка отвечает на два вопроса, которые чаще всего задают кадровику: кто подписал документ и действовал ли сертификат в момент подписания. Для откреплённой подписи понадобятся два файла — сам документ и файл подписи, для присоединённой достаточно одного.
Журнал ЭЦП: реестр, который превращает продление в рутину
Продление срывается не из-за сложности процедуры, а из-за отсутствия единого списка. Пока данные о подписях лежат в переписке и в головах, кадровик узнаёт об окончании сертификата от сотрудника, который не смог подписать заявление. Журнал ЭЦП снимает эту зависимость: в него сводятся владелец, удостоверяющий центр, серийный номер, дата окончания, тип носителя и номер выданного токена.
Минимальный рабочий состав журнала — два связанных реестра. Первый ведёт сертификаты: ФИО, СНИЛС, должность, издатель, серийный номер, действителен с и по, вид подписи. Второй ведёт носители: инвентарный номер токена, модель, кому выдан, дата выдачи и дата возврата. Связка нужна потому, что при увольнении возвращают носитель, а отзывать надо сертификат, и это два разных действия в двух разных местах. В Добыто такой журнал собирается из карточек сотрудников: владелец подписи, его подразделение и маршруты, в которых он стоит подписантом, лежат в одном списке.
Лайфхак: сроки действия всех сертификатов на токене видно в панели управления носителя без запуска криптопровайдера. Раз в квартал открыть панель на каждом токене быстрее, чем сверять записи в реестре по одной.
Важный нюанс из практики: удаление сертификата из хранилища Windows не отзывает подпись. Отзыв оформляется заявлением в тот удостоверяющий центр, который выдал сертификат, и до подачи заявления подпись остаётся действующей. При увольнении сотрудника заявление на аннулирование идёт вместе с актом возврата токена, иначе действующая подпись уходит из компании вместе с человеком.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Шаблоны для журнала ЭЦП и годового перевыпуска
Комплект закрывает весь цикл от заявления на выпуск до аннулирования; начинать удобнее с реестра сертификатов, остальные документы подтягиваются под его строки.
| Документ | Скачать |
|---|---|
| Реестр сертификатов сотрудников | Скачать |
| Реестр выданных токенов | Скачать |
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
| Согласие на обработку персональных данных для выпуска сертификата ЭП | Скачать |
| Доверенность на получение сертификата ЭП | Скачать |
Носитель и криптопровайдер: что проверить до перевыпуска
Перевыпуск упирается в железо чаще, чем в документы. На токене конечная защищённая память: у актуальных моделей Рутокен ЭЦП 3.0 это 128 килобайт, и в формате извлекаемых программных ключей на носитель помещается до 31 контейнера. Размер контейнера не фиксирован и зависит от того, что удостоверяющий центр записал в расширения сертификата: по верхней оценке один контейнер со всей дополнительной информацией занимает около 12 килобайт. Перед записью нового сертификата старые контейнеры имеет смысл удалить.
Второй вопрос — тип ключа. Извлекаемый ключ на пассивном носителе работает и со старыми версиями криптопровайдера. Неизвлекаемый ключ формата ФКН, где закрытая часть не покидает память токена, а канал между провайдером и носителем защищён протоколом SESPAKE, требует КриптоПро CSP не ниже версии 5.0 R2. Формат PKCS#11 нужен участникам алкогольного рынка для отчётности в ЕГАИС. Если парк носителей разнородный и включает линейки Рутокен, JaCarta и ESMART Token ГОСТ, совместимость каждой модели с вашей версией провайдера проверяется до массового перевыпуска, а не в день записи ключей.
Внимание: лицензия, вшитая в сертификат удостоверяющего центра ФНС, действует ровно столько, сколько сам сертификат, и только для того ключа, которому этот сертификат соответствует. Для работы с любыми другими ключами на том же рабочем месте нужна полная лицензия на криптопровайдер.
Лицензирование внутри линейки 5.0 единое: одна лицензия подходит и для 5.0 R2, и для 5.0 R3. При переходе с четвёртой версии на пятую покупается лицензия на обновление, она дешевле новой. Если в компании есть рабочие места на КриптоПро CSP 4.0, перевыпуск подписей — удобный момент, чтобы закрыть и этот вопрос: дальше сертификат регулятора на четвёртую версию перестанет действовать.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Мы разводим продление по группам и начинаем с пилотной: три-пять человек, разные модели носителей, разные операционные системы. На пилоте вылезают ровно те несовместимости, которые на массовом перевыпуске превратились бы в остановку подписания на весь день. После пилота остальные группы идут по накатанному сценарию.»
МЧД при продлении: что перевыпускать, а что трогать не нужно
Машиночитаемая доверенность и сертификат не связаны между собой напрямую. В реквизитах сертификата не прописан номер доверенности, в самой доверенности не указан сертификат: проверяется совпадение сведений о физическом лице. Поэтому при плановом перевыпуске сертификата сотрудника действующая МЧД не переоформляется. Смена руководителя тоже не повод переподписывать доверенности: доверенность выдаёт юридическое лицо, а не конкретный директор.
Новая доверенность понадобится в трёх случаях: истёк её собственный срок, изменились сведения о доверенном лице, изменился объём полномочий. Данные МЧД лежат в XML-файле, подписанном руководителем, и любое редактирование этого файла ломает подпись. Расширить полномочия правкой действующей доверенности нельзя, оформляется новая. Проверить статус и полномочия по действующей доверенности можно по трём реквизитам: 36-значному идентификатору доверенности, ИНН доверителя и СНИЛС доверенного лица. Тот же комплект файлов — сертификат представителя, XML доверенности и файл откреплённой подписи — принимает государственный сервис проверки электронной подписи и машиночитаемой доверенности.
Полезно знать: сведения, формат XML и порядок формирования классификатора полномочий закреплены тремя приказами — 857, 858 и 856. Полномочия, которых нет в классификаторе, пока допускается указывать текстом, и автоматической проверке такие формулировки не поддаются.
Отдельный узел — филиалы. По правилам передоверия доверенность от юридического лица на юридическое лицо и цепочка через руководителя обособленного филиала оформляются без нотариуса. Передоверие внутри одной организации, когда главный бухгалтер передаёт полномочия бухгалтеру, требует нотариального удостоверения, и МЧД здесь исключением не является. Перевод сотрудника между филиалом и головной организацией меняет данные доверенного лица, значит, доверенность оформляется заново.
Годовой цикл продления: порядок действий
Порядок действий зависит от того, что именно изменилось: срок, должность, место работы или состав руководства. В четырёх из пяти типовых ситуаций сертификат и доверенность обрабатываются по-разному.
| Ситуация | Что делать с сертификатом | Что делать с МЧД |
|---|---|---|
| Плановое окончание срока у сотрудника | Выпуск нового сертификата физического лица в аккредитованном УЦ | Действующую доверенность не трогаем |
| Смена должности и объёма полномочий | Сертификат остаётся, он не содержит должности | Оформляется новая МЧД, правка XML невозможна |
| Перевод в филиал или из филиала | Сертификат сохраняется за физическим лицом | Новая доверенность от нового доверителя, цепочка через руководителя филиала — без нотариуса |
| Увольнение | Заявление на аннулирование в выдавший УЦ, возврат токена по акту | Отзыв доверенности, иначе полномочия остаются подтверждёнными |
| Смена руководителя организации | Новый сертификат руководителя в УЦ ФНС, лично | Ранее выданные доверенности переподписывать не нужно |
Строка про увольнение — самая дорогая: сертификат физического лица не содержит привязки к работодателю, и после ухода человека из компании подпись сама по себе не прекращает действовать.
Как продлить ЭЦП сотрудникам: пошаговая инструкция
- Шаг 1. Выгрузите из журнала ЭЦП список сертификатов, которые заканчиваются в ближайший квартал, и отсортируйте по дате окончания. Отдельной колонкой отметьте тех, кто подписывает документы в отчётный период.
- Шаг 2. Проверьте рабочие места: версию и срок лицензии КриптоПро CSP, модель носителя, свободную память на токене. Несовместимость версии провайдера с моделью носителя выявляется здесь, а не при записи ключа.
- Шаг 3. Соберите с сотрудников согласия на обработку персональных данных для выпуска сертификата и заявления на выпуск. Если подпись получает представитель, оформите доверенность на получение сертификата.
- Шаг 4. Запустите пилотную группу из трёх-пяти человек с разными моделями носителей. Дождитесь, пока каждый из них подпишет реальный документ и подпись пройдёт проверку.
- Шаг 5. Проведите перевыпуск по остальным группам, внесите новые серийные номера и даты в реестр сертификатов, а изменения по носителям — в реестр токенов.
- Шаг 6. Сверьте сроки МЧД со списком доверенностей и отдельно перевыпустите только те, у которых истекает собственный срок или изменились сведения о доверенном лице.
Шестой шаг выполняется после перевыпуска сертификатов, а не вместе с ним: смешивание двух процедур в одну неделю — типичная причина лишних перевыпусков доверенностей.
Важный нюанс из практики: к моменту записи новых ключей на токенах должно быть свободное место. На носителе, который два года подряд принимал сертификаты без удаления старых контейнеров, запись обрывается на середине группы, и перевыпуск переносится на следующий день. Очистку контейнеров мы ставим отдельным пунктом перед шагом 4, а не совмещаем с записью.
Ошибки при продлении и цена каждой
Ошибки в этой процедуре редко бывают дорогими по деньгам напрямую. Дорого стоит остановка подписания и невозможность подтвердить подпись задним числом.
Первая ошибка — подписание без штампа времени. Пока сертификат действует, подпись проверяется без вопросов. После окончания срока подтвердить момент подписания нечем: проверяющая программа увидит, что сертификат истёк, и не сможет установить, был ли он действителен в момент подписи. Штамп времени доверенной службы TSP и ответ службы OCSP о статусе сертификата закрывают этот вопрос заранее, встраиваясь в усовершенствованный формат подписи. Для кадровых документов, которые хранятся годами, разница между обычной и усовершенствованной подписью проявляется ровно в момент трудового спора.
Вторая ошибка — потеря файла подписи при передаче. Откреплённая подпись живёт отдельным файлом с расширением sig, sgn или p7s, и без исходного документа она бесполезна: проверить можно только пару. Отправляя письмо контрагенту или в госорган, вкладывайте оба файла и сохраняйте пару целиком в архиве. Расширение файла подписи задаётся в настройках Инструментов КриптоПро и на юридическую силу не влияет, но принимающая сторона нередко ждёт конкретное.
Третья ошибка — разрыв цепочки доверия. При квалифицированной подписи цепочка сертификатов устанавливается вместе с ключом. При неквалифицированной подписи корневые сертификаты автоматически не ставятся, и после перевыпуска программа сообщает, что корневой сертификат не найден. Лечится установкой корневого сертификата в доверенное хранилище, но проверить это стоит на пилотной группе.
Четвёртая ошибка — удаление вместо отзыва. Сертификат, стёртый из хранилища на компьютере, остаётся действующим у удостоверяющего центра. В сервисе Добыто мы связываем карточку сотрудника, его сертификат и маршруты подписания, поэтому при увольнении видно, какие маршруты останутся без подписанта и какая подпись подлежит аннулированию.
Когда продлевать подпись не нужно
Перевыпуск требуется не всем и не всегда. Если сотрудник подписывает кадровые документы простой электронной подписью на портале «Работа в России» или усиленной неквалифицированной подписью, выданной с использованием инфраструктуры электронного правительства, отдельная процедура ежегодного продления квалифицированного сертификата ему не нужна. Такая подпись не требует и соглашения сторон о признании: это следует из порядка её выдачи.
Второй случай — сотрудник, который за год не подписал ни одного документа. Перед плановым перевыпуском сверьте журнал ЭЦП с фактическими маршрутами подписания: подписи, которые никто не использует, дешевле аннулировать, чем продлевать. Третий случай — подрядчик по договору ГПХ и самозанятый: они подписывают своим сертификатом физического лица, и обязанность работодателя обеспечивать их подписью из трудового законодательства не следует.
Мария Ж, судебный эксперт по трудовому праву: «В спорах об увольнении суд смотрит не на визуальный штамп в PDF, а на исходный документ и файл подписи. Штамп — это визуализация, юридической силы он не несёт. Держите в архиве пару файлов и протокол проверки подписи по каждому кадровому документу, который может стать предметом спора.»
Стоимость подключения КЭДО и подписей для сотрудников
Итоговая сумма складывается из тарифа на платформу и способа получения подписей: ПЭП и УНЭП для сотрудников выпускаются в рамках тарифа, УКЭП получают через партнёров-удостоверяющих центров.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника в месяц | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения по численности, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника в месяц | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | годовой период |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | в рамках подключения |
| Модуль интеграции с 1С:ЗУП (тариф «Бизнес») | входит в тариф | установка и настройка за один день |
Итоговая сумма зависит от численности, набора видов подписи и потребности в интеграции с учётной системой: при повышении тарифа разница пересчитывается пропорционально оставшемуся периоду. Актуальные условия по каждому пакету собраны на странице тарифов ДОБЫТО КЭДО.
Отдельной статьи расходов на ежегодное продление подписей внутри платформы нет: ПЭП и УНЭП для сотрудников выпускаются на всех тарифах, а бюджет на УКЭП планируется по числу тех, кто действительно подписывает документы квалифицированной подписью.
Выводы
Ежегодное продление подписей держится на трёх вещах: актуальном журнале ЭЦП, разделении сроков сертификата, лицензии, носителя и доверенности, а также на пилотной группе перед массовым перевыпуском. Сертификат перевыпускается заново, а не продлевается, МЧД при плановом перевыпуске не переоформляется, а при увольнении сотрудника подпись отзывается заявлением в удостоверяющий центр, а не удалением из хранилища. Усовершенствованный формат подписи со штампом времени решает вопрос доказательства момента подписания через годы после окончания срока сертификата.
В Добыто мы связываем реестр сотрудников, маршруты подписания и электронный архив в одном контуре, поэтому дата окончания сертификата видна заранее, а не в момент, когда документ уже нужно подписать. Настройка маршрутов и групповое подключение сотрудников закрывают ту часть работы, которая обычно съедает время кадровой службы при годовом перевыпуске.
Частые вопросы
Можно ли выпустить сотруднику две действующие подписи одновременно
Да, ограничения на это нет. Сотрудник может одновременно иметь сертификат на токене и сертификат, установленный в хранилище компьютера, обе подписи будут действующими. При использовании МЧД подписывайте тем сертификатом, сведения о владельце которого совпадают со сведениями о доверенном лице в доверенности: совпадение проверяется по данным физического лица.
Сколько сертификатов помещается на один токен
У Рутокен ЭЦП 3.0 объём защищённой памяти составляет 128 килобайт. В формате извлекаемых программных ключей на носитель помещается до 31 контейнера, но реальное число меньше: размер зависит от того, какие расширения и цепочки записал удостоверяющий центр, и по верхней оценке один нагруженный контейнер занимает около 12 килобайт.
Что делать, если контрагент прислал только файл p7s без документа
Проверить такую подпись нельзя. Откреплённая подпись хранит хэш документа, а не сам документ, поэтому нужна пара файлов. Запросите у отправителя исходный файл в том виде, в котором он подписывался: любое пересохранение документа после подписания делает проверку отрицательной.
Нужно ли перевыпускать МЧД, если у сотрудника закончился сертификат
Нет. Реквизиты сертификата в доверенности не указываются, а реквизиты доверенности не указываются в сертификате. Доверенность продолжает действовать до окончания собственного срока, и за это время сотрудник может сменить несколько годовых сертификатов.
Что делать, если сотрудник удалил приложение с мобильной подписью
Восстановить прежнюю подпись невозможно: закрытая часть ключа хранится только на устройстве, доступа к ней нет ни у оператора приложения, ни у государственных служб. Выпускается новая подпись с новым сроком действия, старая в кадровом журнале закрывается как недействующая.
Как проверить, что машиночитаемая доверенность действует прямо сейчас
По трём реквизитам: 36-значному идентификатору доверенности, ИНН доверителя и СНИЛС доверенного лица. Этого набора достаточно, чтобы увидеть статус доверенности и состав полномочий. Отдельно проверяется соответствие сертификата представителя сведениям в доверенности — для этого нужны сертификат, XML-файл доверенности и файл её откреплённой подписи.
Кто отвечает за хранение токена и что писать в акте возврата
Ответственность за хранение ключа несёт владелец подписи, то есть сам сотрудник. В акте возврата фиксируются инвентарный номер носителя, модель, серийные номера сертификатов, записанных на токен, и дата возврата. Акт связывается с заявлением на аннулирование сертификата: возврат носителя и отзыв подписи — два разных действия.
