Удостоверяющий центр маркетинга и конъюнктуры цен — это регистрационный центр белорусской Государственной системы управления открытыми ключами (ГосСУОК), работающий на базе информационного республиканского унитарного предприятия «Национальный центр маркетинга и конъюнктуры цен» МИД Республики Беларусь. Предприятие работает с 1997 года, находится в Минске, сопровождает портал закупок icetrade.by и электронную торговую площадку goszakupki.by, имеет филиалы в Бресте, Витебске, Гомеле, Гродно, Лиде и Могилеве. Сертификаты издает республиканский удостоверяющий центр ГосСУОК, а центр в Минске идентифицирует заявителя и оформляет документы по принципу одного окна с февраля 2020 года. Различие, от которого зависят ваши действия: инфраструктура белорусская, на стандартах СТБ, в перечне аккредитованных центров Минцифры России ее нет. Для российских систем такой сертификат не подойдет, для закупок в Беларуси нужен именно он.
Разберем, кто в этой схеме что выдает, почему КриптоПро CSP не проверит подпись по белорусскому стандарту и как по файлу .p7s понять, чем документ подписан на самом деле. Покажем, что изменило межправительственное соглашение о признании электронной подписи, ратифицированное 424-ФЗ, и где проходит граница его применения. Сценарная таблица по типам задач, порядок действий при утере носителя, образцы протокола проверки и реестра сертификатов, а также стоимость подключения КЭДО — во второй половине статьи.
Что за организация стоит за названием
Полное наименование — информационное республиканское унитарное предприятие «Национальный центр маркетинга и конъюнктуры цен», подчинено Министерству иностранных дел Республики Беларусь. Профиль предприятия шире криптографии: маркетинговые исследования, сопровождение закупочных процедур, поддержка внешнеэкономической деятельности, выставочная и издательская работа. Электронная подпись появилась в этом списке как обслуживающая функция: чтобы участвовать в процедурах на площадке goszakupki.by и работать с информацией портала icetrade.by, поставщику нужен действующий сертификат открытого ключа, и логично было выдавать его там же, где заявитель регистрируется на площадке.
В феврале 2020 года на базе центра открылся регистрационный центр ГосСУОК. До этого за атрибутным сертификатом и за основным сертификатом приходилось идти в разные организации. После объединения процедур оформление занимает около 30 минут: данные заявителя сканируются и переносятся в документы автоматически, организация выбирает срок действия сертификата — один год или два.
Российского читателя сбивает слово «удостоверяющий» в названии раздела на сайте центра. По белорусской модели удостоверяющий центр в системе один: республиканский удостоверяющий центр ГосСУОК, который ведет Национальный центр электронных услуг. Регистрационные центры, включая центр на базе Национального центра маркетинга, принимают заявителя, проверяют его личность и полномочия, выдают носитель ключевой информации и передают запрос на издание. Сертификат подписывает республиканский центр, а не тот офис, куда вы пришли.
Кто что выдает: белорусская и российская схемы рядом
Сопоставление ролей снимает большую часть путаницы. В таблице собраны участники, с которыми сталкивается специалист, обслуживающий обмен документами между российской и белорусской компанией.
| Участник | Юрисдикция | Что выдает | Где это работает |
|---|---|---|---|
| Республиканский удостоверяющий центр ГосСУОК (НЦЭУ) | Беларусь | Сертификаты открытого ключа по стандартам СТБ, списки отозванных сертификатов | Государственные системы и электронный документооборот Беларуси |
| Регистрационный центр на базе Национального центра маркетинга | Беларусь | Идентификация заявителя, оформление сертификата на 1 или 2 года, выдача носителя AvPass или AvBign, атрибутный сертификат для систем ФСЗН | Закупки на goszakupki.by и icetrade.by, отчетность белорусской организации |
| Аккредитованный удостоверяющий центр из перечня Минцифры | Россия | Квалифицированный сертификат физическому лицу по ГОСТ Р 34.10-2012 | Российские информационные системы, торги, ЭДО с контрагентами |
| Удостоверяющий центр ФНС России | Россия | УКЭП руководителю юридического лица и индивидуальному предпринимателю, контейнер только неэкспортируемый | Отчетность, госсистемы, подписание от имени организации |
| Работодатель внутри системы КЭДО | Россия | ПЭП и УНЭП работникам, выпуск внутри платформы | Кадровые документы по статьям 22.1-22.3 ТК РФ |
Выбор сертификата задает та система, которая принимает документ: место нахождения подписанта роли не играет. Прежде чем заказывать сертификат, посмотрите список аккредитованных удостоверяющих центров Минцифры России: если центра в перечне нет, его сертификат не будет квалифицированным для российских систем независимо от того, насколько солидно выглядит организация.
Мария Ж, юрист со стажем более 20 лет: «Аккредитация — это не формальная строчка в реквизитах, а условие действительности подписи. Когда в 2023 году часть удостоверяющих центров не прошла аккредитацию и прекратила деятельность, выданные ими ключи перестали работать вместе с ней, причем у клиентов, которые об этом не знали. Проверяйте центр по перечню Минцифры до оплаты, а не после первой отбитой отправки.»
Почему сертификат из Минска не заработает в российских системах
Несовместимость заложена в самих криптографических стандартах. Белорусская подпись строится на национальных стандартах: СТБ 34.101.45-2013 для электронной цифровой подписи, СТБ 34.101.31-2011 для шифрования, СТБ 34.101.19-2012 для форматов сертификатов и списков отозванных сертификатов, СТБ 34.101.23-2012 для синтаксиса криптографических сообщений. Российские криптопровайдеры реализуют другой набор: ГОСТ Р 34.10-2012 для подписи и ГОСТ Р 34.11-2012 для хеширования. КриптоПро CSP не содержит алгоритмов СТБ, поэтому проверка подписи, созданной белорусским ключом, у него закончится сообщением о неизвестном алгоритме, а не о недействительности документа.
Так же разведены носители. В ГосСУОК личный ключ пишется на AvPass или AvBign, работа идет через программные средства «Авест»: криптопровайдер AvCSP и персональный менеджер сертификатов. Российские носители с аппаратной криптографией — Рутокен ЭЦП 3.0, ESMART Token ГОСТ на микросхеме МИК51 с сертификатами ФСБ по классам КС1, КС2 и КС3 — рассчитаны на ГОСТ 28147-89, ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012. Купить ESMART Token ГОСТ и записать на него белорусский сертификат не выйдет: это разные криптографические миры, совпадает только форм-фактор USB.
Внимание: встроенная криптография на токене — это не установленный криптопровайдер. Если информационной системе нужен КриптоПро CSP, его придется поставить на рабочее место и активировать лицензию отдельно. Лицензия, вшитая в сертификат удостоверяющего центра ФНС, действует только для этого ключа и на другие контейнеры не распространяется.
Основные потери при ошибке дает сорванный срок процедуры. Компания узнает о несовместимости в день, когда нужно подать заявку или отправить отчет: закупка идет по своему графику, перевыпуск в другой юрисдикции занимает дни, а процедура не ждет. Поэтому вопрос «чей сертификат нужен» решается на этапе планирования участия, а не в день подачи.
Проверьте, каким сертификатом подписан ваш документ
Проверка электронной подписи
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
2 Загрузите документ и файл подписи:
Документ
Файл подписи (.sig)
Нужно подписать документ?
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Проверка в браузере закрывает быструю задачу: понять, валидна ли подпись и чей сертификат за ней стоит, не разворачивая рабочее место с криптопровайдером и не выясняя заранее, из какой инфраструктуры пришел файл. В сервисе Добыто проверка запускается загрузкой документа и файла подписи, результат приходит вместе с данными сертификата.
Как понять, чем подписан присланный файл
Расширение файла подписи ничего не говорит об алгоритме. И .p7s, и .sig, и .sgn — это контейнер криптографического сообщения по синтаксису CMS, внутри которого лежат сертификат подписанта, идентификаторы алгоритмов и само значение подписи. В настройках средства подписи расширение выбирается из списка, поэтому один и тот же файл у двух контрагентов может называться по-разному. Определять происхождение подписи нужно по содержимому: по издателю сертификата и по идентификатору алгоритма.
Вторая развилка важнее расширения: присоединенная подпись или отделенная. В присоединенной документ упакован внутрь контейнера, и на проверку уходит один файл. В отделенной подписи исходный документ остается нетронутым, а рядом лежит отдельный файл подписи, и проверять их нужно парой. Площадки и ведомственные системы задают этот формат своим регламентом, поэтому вопрос «какой формат вы принимаете» уместнее задать до отправки.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Полезно знать: при отделенной подписи в самом документе визуально ничего не меняется, и у получателя нет ощущения, что файл подписан. Практика для гибридных архивов: делать копию документа со штампом визуализации подписи, а оригинал не трогать, чтобы его целостность оставалась проверяемой.
Как разобрать присланный файл подписи: пошаговая инструкция
- Шаг 1. Соберите комплект. Для отделенной подписи нужны оба файла: исходный документ ровно в том виде, в каком его подписывали, и файл подписи. Переименование документа целостность не нарушает, а вот пересохранение через редактор ломает проверку.
- Шаг 2. Откройте контейнер средством проверки и посмотрите сертификат подписанта: владелец, издатель, срок действия, отпечаток. Издатель сразу показывает, из какой инфраструктуры пришла подпись.
- Шаг 3. Сверьте алгоритм. Идентификаторы семейства ГОСТ Р 34.10-2012 означают российский квалифицированный контур, идентификаторы СТБ — белорусскую ГосСУОК.
- Шаг 4. Проверьте статус сертификата на момент подписания по списку отозванных сертификатов или ответу службы OCSP. Действующий на сегодня сертификат и действовавший на дату подписи — разные проверки.
- Шаг 5. Посмотрите, есть ли в подписи штамп времени и дополнительные доказательства. Без них подпись перестанет проверяться после истечения срока действия сертификата.
- Шаг 6. Сохраните протокол проверки в PDF и приложите его к документу в архиве. Через два года восстановить, что именно показала проверка, по памяти не получится.
Мария Ж, специалист по цифровой подписи и КЭДО: «Мы просим сохранять протокол проверки в PDF и класть его рядом с документом в архиве. Когда через год контрагент говорит, что документ не подписывал, спор упирается в то, что подпись уже не проверяется штатными средствами, а протокол на дату получения показывает статус сертификата и результат проверки.»
Обмен документами с белорусским контрагентом: что изменило соглашение
Соглашение между правительствами России и Беларуси о порядке признания электронной подписи в электронном документе при трансграничном электронном взаимодействии подписано в Москве 15 апреля 2024 года и ратифицировано Федеральным законом от 30.11.2024 № 424-ФЗ. Оно вступило в силу 12 декабря 2024 года и дает правовое основание признавать подписи под документами, созданными в обеих странах.
Юридическую значимость документа подтверждают доверенные третьи стороны государств: сторона-получатель обращается к своей доверенной третьей стороне, та проверяет подпись по правилам страны отправителя и выдает результат. Именно поэтому клиентская функциональность доверенной третьей стороны встраивается в специализированное программное обеспечение для трансграничного документооборота, а не в обычный настольный криптопровайдер.
Границы у соглашения есть, и на них стоит смотреть до перестройки процесса. Оно не применяется, когда обеими сторонами обмена выступают государственные органы, а также к банковским и платежным операциям. Для остальных случаев схема одна: подпись каждой стороны создается по правилам своей страны, а признание обеспечивается через доверенные третьи стороны.
Лайфхак: подпись формата CAdES-BES можно усовершенствовать до CAdES-X Long Type 1 или архивного формата, добавив штамп времени и ответ службы о статусе сертификата. Для документов со сроком хранения в десятилетия это единственный способ сохранить проверяемость после истечения срока действия сертификата.
Сертификат работника в Беларуси и связка ЭП физлица с МЧД в России
Модели полномочий в двух странах разошлись. В сертификат открытого ключа юридического лица в ГосСУОК вносятся сведения об организации, включая УНП, и данные работника — уполномоченного представителя. Полномочия читаются из самого сертификата, отдельного электронного документа о доверенности не требуется. При обновлении данных сертификата УНП изменить нельзя, поэтому при смене организации работнику издают новый сертификат.
В России такая конструкция отменена. С 1 сентября 2023 года сертификаты на сотрудника с реквизитами организации не выпускаются: работник получает квалифицированный сертификат как физическое лицо в аккредитованном удостоверяющем центре, а полномочия подтверждаются машиночитаемой доверенностью. МЧД — это XML-документ, подписанный УКЭП руководителя, полномочия в нем кодируются по классификатору из единой системы нормативной справочной информации. Руководитель организации и индивидуальный предприниматель получают сертификат в удостоверяющем центре ФНС и подписывают без доверенности.
Факт: подписи, выданные до 31 августа 2023 года, действовали до конца своего срока, но не позднее 31 августа 2024 года. Продлить эту конструкцию нельзя: сейчас у работника либо ЭП физического лица с МЧД, либо подписывает руководитель лично.
Филиал не является юридическим лицом, поэтому доверителем в МЧД выступает сама организация, а подписантом — конкретный работник как физическое лицо. Если полномочия передаются дальше по цепочке, передоверие оформляется у нотариуса: нотариус проверяет данные и актуальную выписку из ЕГРЮЛ, подписывает новую доверенность своей квалифицированной подписью и размещает ее в информационной системе.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «Проверять данные МЧД имеет смысл до подписания, а не после отказа системы. Смотрим три вещи: совпадают ли реквизиты доверителя с ЕГРЮЛ, попадает ли нужное действие в код полномочия из классификатора и не истек ли срок. Когда полномочия вписаны свободным текстом, а система ждет код, документ отклоняется автоматически.»
Сценарии удобнее держать одной таблицей: она показывает, что критично в каждой ситуации, а что второстепенно.
| Сценарий | Чья подпись нужна | Что критично | Что вторично |
|---|---|---|---|
| Закупки на goszakupki.by и работа с icetrade.by | Сертификат ГосСУОК на работника с УНП организации | Носитель AvPass или AvBign и установленное программное обеспечение «Авест» | Наличие КриптоПро CSP на этом же рабочем месте |
| Отчетность и ЭДО российской компании | УКЭП из аккредитованного УЦ или УЦ ФНС | Аккредитация центра и действующая МЧД для работника | Марка токена и форм-фактор носителя |
| Кадровые документы российских работников | ПЭП или УНЭП работника, УКЭП работодателя для документов из статьи 22.3 ТК РФ | ЛНА о переходе на КЭДО и согласия работников | Внешний удостоверяющий центр для рядовых работников |
| Договор с белорусским контрагентом | Каждая сторона подписывает по правилам своей страны | Порядок признания через доверенные третьи стороны и регламент обмена в договоре | Расширение файла подписи |
| Разбор присланного файла .p7s | Подпись любой стороны | Издатель сертификата, алгоритм и статус на дату подписания | Имя файла и папка, в которой он лежит |
Если вы смотрите на это со стороны работодателя, у кадрового контура своя логика: ПЭП и УНЭП для работников в сервисе Добыто выпускаются внутри платформы, отдельный поход в удостоверяющий центр за подписью для кадровых документов не нужен.
Образцы для работы с сертификатами и подписями
Комплект закрывает три задачи: разбор чужой подписи, учет своих ключей и оформление полномочий работника. Начните с протокола проверки, если нужно зафиксировать результат прямо сейчас.
| Документ | Скачать |
|---|---|
| Протокол проверки электронной подписи (образец) | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Реестр сертификатов сотрудников | Скачать |
| Реестр выданных токенов | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
| Машиночитаемая доверенность: образец и структура XML | Скачать |
Забыли пароль от контейнера или потеряли носитель
Пароль к личному ключу не восстанавливается: он не хранится ни в удостоверяющем центре, ни у оператора системы. Ключ, сгенерированный на токене с аппаратной криптографией, не покидает память устройства, а в удостоверяющем центре ФНС контейнер выдается неэкспортируемым, то есть скопировать его нельзя по регламенту. Единственный рабочий путь — аннулировать текущий сертификат и получить новый, а на белорусской стороне подать заявление в регистрационный центр на издание нового сертификата.
Порядок действий при утере носителя выглядит так: заблокировать доступ к системам, где ключ использовался, подать заявление на аннулирование сертификата, дождаться попадания сертификата в список отозванных, выпустить новый и переоформить машиночитаемую доверенность, если она была привязана к прежнему сертификату. Документы, подписанные до момента отзыва, сохраняют силу: проверка смотрит статус сертификата на дату подписания.
Учет ключей — отдельная дисциплина, которую в небольших компаниях обычно ведут по памяти. Журнал в виде реестра сертификатов и реестра выданных токенов отвечает на четыре вопроса: у кого какой ключ, когда истекает, на каком носителе лежит и кто отвечает за возврат при увольнении. В практике Добыто именно отсутствие такого журнала дает основную часть авралов: сертификат заканчивается в день сдачи отчетности, а владелец в отпуске.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Мы закладываем в регламент проверку сроков сертификатов за 30 дней до истечения и фиксируем в реестре ответственного за каждый носитель. Перевыпуск в спокойном режиме занимает часы, в авральном превращается в срыв срока подачи. Заведите такой реестр даже на десять ключей: он окупается на первом же плановом продлении.»
Стоимость подключения КЭДО и электронных подписей
Стоимость зависит от численности сотрудников, набора видов подписи и потребности в интеграциях. Данные на дату публикации.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, приоритетная поддержка | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | период 12 месяцев |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, персональный менеджер, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | входит в тариф |
| УКЭП через партнеров-удостоверяющих центров | по запросу | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП, автоматическая синхронизация документов | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговый счет определяется тарифом и численностью: на «Старте» цена считается за каждого подключенного сотрудника, на «Бизнесе» действует минимальный платеж независимо от фактического числа подключенных. Условия по каждому тарифу и состав функций опубликованы на странице тарифов ДОБЫТО КЭДО, там же указано, что переход между тарифами возможен в любое время с пропорциональным пересчетом разницы.
Выводы
За названием «удостоверяющий центр маркетинга и конъюнктуры цен» стоит белорусское государственное предприятие, которое ведет регистрационный центр в системе ГосСУОК и обслуживает своих участников закупок. Его сертификаты живут по стандартам СТБ и в российских системах не применяются: там нужен квалифицированный сертификат из аккредитованного центра или от удостоверяющего центра ФНС, а полномочия работника подтверждаются машиночитаемой доверенностью. Трансграничный обмен после ратификации соглашения 424-ФЗ строится через доверенные третьи стороны, а не через попытку установить чужой криптопровайдер.
Мы в Добыто занимаемся кадровой частью этой задачи: выпуском ПЭП и УНЭП внутри платформы, маршрутами подписания, электронным архивом и проверкой подписей на документах. Если у компании смешанный контур с внешними сертификатами и внутренними подписями работников, эту границу лучше проектировать заранее, а не после первого отказа системы.
Частые вопросы
Можно ли участвовать в российских торгах с сертификатом ГосСУОК?
Нет. Российские электронные площадки требуют квалифицированный сертификат по 63-ФЗ, выданный центром из перечня Минцифры, с алгоритмами ГОСТ Р 34.10-2012. Сертификат ГосСУОК построен на стандартах СТБ, и его не примет ни площадка, ни средство проверки на стороне заказчика. Обратная ситуация симметрична: с российской УКЭП не получится подать заявку на goszakupki.by.
Контрагент прислал .sig, а наша система принимает только .p7s. Это критично?
Расширение задается настройкой средства подписи и само по себе формат не меняет: и .p7s, и .sig, и .sgn — это криптографическое сообщение CMS. Критично другое: ждет ли ваша система присоединенную подпись одним файлом или отделенную парой «документ плюс подпись». Уточните это в регламенте площадки, прежде чем просить контрагента переподписать документ.
Сколько сертификатов помещается на один токен?
На носителях с 128 КБ защищенной памяти при программных извлекаемых ключах помещается до 31 контейнера. Реальное число меньше, если удостоверяющий центр записывает в сертификат объемные расширения и цепочки: один такой контейнер занимает до 12 КБ. Для оценки берите размер своего типового контейнера, а не паспортный максимум.
Что будет с подписью, когда сертификат истечет?
Обычная подпись формата CAdES-BES после истечения срока действия сертификата перестает проверяться штатными средствами. Для документов с длительным хранением подпись усовершенствуют: добавляют штамп времени, ответ службы о статусе сертификата на момент подписания и архивную метку. Делать это нужно до истечения срока, а не после.
Нужна ли МЧД, если документы подписывает директор?
Нет. Руководитель юридического лица и индивидуальный предприниматель подписывают своим квалифицированным сертификатом без доверенности. МЧД требуется, когда документ подписывает работник сертификатом физического лица, в том числе работник филиала: доверителем в этом случае выступает организация, а не филиал.
Российский работник филиала в Беларуси: по каким правилам оформлять кадровые документы электронно?
Статьи 22.1-22.3 ТК РФ распространяются на трудовые отношения, регулируемые российским трудовым законодательством. Если работник оформлен по белорусскому трудовому законодательству, российские нормы о кадровом электронном документообороте к нему не применяются, там действует свой порядок и своя инфраструктура подписи. Смешивать два режима в одном кадровом процессе не стоит: проверяющие смотрят на комплект по праву той страны, где заключен трудовой договор.
