Усиленная электронная подпись обязательна там, где закон прямо назвал ее вид, а не там, где сторонам так удобнее. По части 1 статьи 22.3 ТК РФ работодатель подписывает УКЭП трудовой договор, договор о материальной ответственности, ученический договор, договор на получение образования, изменения к ним, приказ о применении дисциплинарного взыскания и уведомление об изменении определенных сторонами условий трудового договора. Работник эти же документы подписывает УКЭП или УНЭП. Остальные кадровые документы он вправе подписать простой электронной подписью. Главное различие идет по статье 6 63-ФЗ: документ с УКЭП равнозначен бумажному с собственноручной подписью сам по себе, а ПЭП и УНЭП дают такую равнозначность только тогда, когда это установлено нормативным актом или соглашением сторон.
Разберем, какие документы вообще нельзя перевести в электронный вид, чем УНЭП из Госключа отличается от УНЭП удостоверяющего центра и почему для первой соглашение не требуется. Покажем, как определить вид подписи по самому файлу: расширение p7s, sig или sgn, формат CAdES, цепочка сертификатов. Во второй половине статьи — что делает подпись доказательством в суде, когда сертификат уже истек, когда вместо подписи с должностью нужна МЧД, чек-лист диагностики и тарифы на 2026 год.
Что 63-ФЗ считает усиленной подписью
Усиленных подписей в законе две: усиленная неквалифицированная (УНЭП) и усиленная квалифицированная (УКЭП). Обе получаются одинаково — криптографическим преобразованием документа с использованием ключа подписи. Сначала считается хеш документа, затем хеш подписывается закрытым ключом. Техническая механика у УНЭП и УКЭП идентична, различие лежит в юридической плоскости.
УНЭП может выпустить кто угодно, включая самого работодателя на собственном удостоверяющем центре. Для УКЭП установлены два дополнительных требования: квалифицированный сертификат по составу должен соответствовать приказу ФСБ России от 27.12.2011 № 795, а выпустить его вправе только удостоверяющий центр, прошедший аккредитацию Минцифры. Отсюда и разная цепочка сертификатов: у УКЭП в вершине иерархии стоит головной удостоверяющий центр Минцифры, у УНЭП — тот центр, который ее выдал, будь то Госуслуги или коммерческий УЦ.
Простая электронная подпись стоит отдельно. Она подтверждает, что действие совершил владелец логина или кода из SMS, но не фиксирует неизменность документа после подписания. Именно поэтому по кадровым документам, где спор упирается в содержание бумаги, ПЭП работает слабо.
Мария Ж, юрист со стажем более 20 лет: «Простая подпись позволяет установить, кто совершил действие, но не позволяет подтвердить, что документ не менялся после подписания. По этой причине работодатели уходят от ПЭП там, где документ может стать предметом спора, и оставляют ее на ознакомлениях и расчетных листках.»
Какие кадровые документы закон разрешает подписать только усиленной подписью
Часть 1 статьи 22.3 ТК РФ дает закрытый перечень документов, где работодатель обязан применить УКЭП. Это трудовой договор, договор о материальной ответственности, ученический договор, договор на получение образования без отрыва или с отрывом от работы, изменения к любому из них, приказ о применении дисциплинарного взыскания и уведомление об изменении определенных сторонами условий трудового договора. По этим же документам работник подписывает УКЭП или УНЭП. По всем остальным кадровым документам работодателю достаточно УКЭП или УНЭП, а работнику — в том числе ПЭП.
Отдельно стоит группа документов, которые в электронный вид не переводятся вообще: трудовые книжки и сведения о трудовой деятельности, акт о несчастном случае на производстве, приказ об увольнении и документы, подтверждающие прохождение инструктажей по охране труда. Для них вопрос вида подписи не встает: подпись собственноручная, носитель бумажный.
| Документ | Подпись работодателя | Подпись работника |
|---|---|---|
| Трудовой договор и изменения к нему | УКЭП | УКЭП или УНЭП |
| Договор о материальной ответственности | УКЭП | УКЭП или УНЭП |
| Ученический договор и договор на обучение | УКЭП | УКЭП или УНЭП |
| Приказ о применении дисциплинарного взыскания | УКЭП | УКЭП или УНЭП |
| Уведомление об изменении условий трудового договора | УКЭП | УКЭП или УНЭП |
| Заявления, ознакомления с ЛНА, расчетные листки | УКЭП или УНЭП | УКЭП, УНЭП или ПЭП |
| Трудовая книжка, приказ об увольнении, акт о несчастном случае, инструктажи по охране труда | Только бумага | Только бумага |
Из таблицы видно, где проходит настоящая граница: она не между «важными» и «неважными» документами, а между перечнем части 1 статьи 22.3 и всем остальным. Смешанный вариант допустим и встречается чаще всего: работодатель везде подписывает УКЭП, работник по договорам — УНЭП из Госключа, по заявлениям — ПЭП сервиса.
Факт: УНЭП, выпущенная в Госключе с использованием инфраструктуры электронного правительства, не требует отдельного соглашения сторон о признании подписи. УНЭП, выпущенная удостоверяющим центром работодателя или коммерческим УЦ, без такого соглашения равнозначной собственноручной не признается.
Как определить, какая подпись нужна под конкретный документ: пошаговая инструкция
- Шаг 1. Проверьте, не входит ли документ в перечень тех, которые нельзя вести электронно: трудовая книжка, приказ об увольнении, акт о несчастном случае, подтверждение инструктажа по охране труда. Если входит — вопрос закрыт, нужна бумага.
- Шаг 2. Сверьте документ с перечнем части 1 статьи 22.3 ТК РФ. Попал в перечень — со стороны работодателя только УКЭП.
- Шаг 3. Определите, кто подписывает. Для работника по тому же перечню допустимы УКЭП и УНЭП, ПЭП не подходит.
- Шаг 4. Если выбрана УНЭП, установите ее происхождение. УНЭП из инфраструктуры электронного правительства работает без соглашения, УНЭП от УЦ или работодателя требует подписанного соглашения о порядке проверки подписи.
- Шаг 5. Проверьте, закреплен ли выбранный вид подписи в ЛНА о КЭДО и в приказе о введении электронного документооборота. Расхождение между фактическим маршрутом и ЛНА инспектор ГИТ читает не в пользу работодателя.
- Шаг 6. Для документов, которые уйдут во внешний контур — в госорган, банк, к контрагенту — заложите УКЭП сразу. Государственные органы обязаны принимать документ с УКЭП без дополнительных соглашений, для УНЭП такой обязанности нет.
В сервисе Добыто маршрут подписания привязан к типу документа: карточка трудового договора не уходит на подписание ПЭП, даже если сотрудник настроил себе именно ее. Это снимает основную часть ошибок, которые возникают при ручной раскладке документов по маршрутам.
Как понять по файлу, усиленная перед вами подпись или нет
Внешний вид документа о виде подписи не говорит ничего. Штамп «Подписано цифровой подписью» с датой на PDF — это визуализация, ее рисует программа при выводе на печать. Смотреть нужно на файлы, которые пришли вместе с документом.
Усиленная подпись существует в двух формах. Присоединенная — подпись упакована внутрь одного файла вместе с документом; открыть такой файл обычными средствами не получится, нужна программа с поддержкой формата. Открепленная — рядом с документом лежит отдельный файл подписи. В настройках Инструментов КриптоПро расширение этого файла выбирается из трех вариантов: p7s, sig или sgn, формат при этом остается CAdES-BES. Расширение на юридическую силу не влияет, но определяет, чем файл откроется и примет ли его принимающая сторона.
Дальше открывается сам сертификат. В нем видно, кому выдана подпись, кем выдана и срок действия. Если в цепочке сертификатов вверху стоит Минцифры, перед вами УКЭП. Если вершина цепочки — Госуслуги или коммерческий удостоверяющий центр без аккредитации в этой цепочке, это УНЭП.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Полезно знать: визуальный штамп подписи на документе юридической силы не несет. В спорной ситуации запрашивают исходный файл документа и файл подписи, а сам штамп остается элементом оформления.
Проверьте электронную подпись на своем документе онлайн
Проверка электронной подписи
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
2 Загрузите документ и файл подписи:
Документ
Файл подписи (.sig)
Нужно подписать документ?
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Для открепленной подписи потребуются два файла: сам документ и файл подписи с расширением sig, p7s или sgn. Для присоединенной достаточно одного.
Образцы документов по электронной подписи и КЭДО
Комплект собран под задачу выбора и подтверждения вида подписи, начать стоит с соглашения об использовании ПЭП и НЭП.
| Документ | Скачать |
|---|---|
| Соглашение об использовании ПЭП и НЭП | Скачать |
| Протокол проверки электронной подписи | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Машиночитаемая доверенность: образец и структура XML | Скачать |
| Реестр сертификатов сотрудников | Скачать |
| Приказ об ответственном за КЭДО и делегировании права подписи | Скачать |
Момент подписания: почему усиленной подписи мало без метки времени
Сертификат подписи чаще всего действует один год. Когда срок истек, проверяющая программа уже не может сама сказать, был ли сертификат действующим в момент подписания. Формально подпись есть, доказательственно она проседает.
Закрывают этот разрыв два механизма. Первый — штамп доверенного времени: в момент подписания система обращается к службе штампов времени, передает хеш документа и получает подписанный документ с точной меткой. Такие службы есть у налоговой службы и у удостоверяющих центров. Второй — ответы службы актуальных статусов сертификатов, которые подтверждают, что сертификат не был отозван раньше срока. Вместе они превращают обычную подпись в усовершенствованную, и она остается проверяемой после истечения сертификата.
Госключ штампов времени пока не проставляет. Косвенным подтверждением служат логи: когда пользователь вошел в приложение, когда открыл документ, когда подтвердил подписание. Это работает, но это опосредованное доказательство, а не метка доверенного времени.
Мария Ж, судебный эксперт по трудовому праву: «Суд смотрит не на штамп в углу документа, а на комплект: есть ли ЛНА, вводящий КЭДО, действовал ли сертификат на момент подписания и передавался ли в удостоверяющий центр именно тот документ, который стороны предъявляют. По спорам об увольнении суды восстанавливали работников и взыскивали средний заработок именно тогда, когда работодатель не смог закрыть эти три пункта.»
Отсюда практический вывод для юриста: если документ из перечня части 1 статьи 22.3 подписывается через сервис, стоит заранее выяснить у поставщика, чья служба штампов времени используется и попадает ли метка в файл подписи. Это один вопрос в переписке, но он определяет, чем вы будете доказывать дату через два года.
Носитель ключа: токен, облако или Госключ
Вид подписи и место хранения ключа — разные вещи, но связанные. Конфиденциальность закрытого ключа и его существование в единственном экземпляре обеспечивают аппаратными средствами, поэтому носитель влияет на то, насколько устойчива будет позиция при споре.
Ключи делятся на извлекаемые и неизвлекаемые. Извлекаемый ключ генерируется программным криптопровайдером, а токен работает как защищенное пин-кодом хранилище; в момент подписания ключ ненадолго попадает в оперативную память компьютера. Неизвлекаемый ключ рождается внутри криптоядра токена и никогда его не покидает, скопировать такой контейнер нельзя. Для того чтобы подпись на неизвлекаемом ключе считалась квалифицированной, само устройство должно иметь сертификацию ФСБ России; если токен выступает только хранилищем и внутреннее криптоядро не задействовано, достаточно сертификации ФСТЭК.
Версия криптопровайдера тоже задает границы. КриптоПро CSP 4.0 работает только с извлекаемыми ключами. Поддержка неизвлекаемых ключей и защищенного канала между провайдером и токеном появилась в версии 5.0, а работа через открытый интерфейс PKCS#11 — в сборке 5.0 R2. Если ключ создан в режиме с защитой канала, на машине со старым провайдером он просто не заработает.
Лайфхак: встроенная криптография токена не заменяет установленный КриптоПро CSP. Если информационная система требует провайдер, его ставят на рабочее место и вводят лицензию. Лицензия, вшитая удостоверяющим центром ФНС в сертификат, действует ровно столько, сколько сам сертификат подписи.
Третий вариант — мобильный. В приложении Госключ закрытая часть ключа хранится на телефоне владельца, доступа к ней нет ни у оператора, ни у ведомств. УНЭП там выпускается по подтвержденной учетной записи Госуслуг, УКЭП — при наличии биометрического загранпаспорта нового образца и телефона с NFC. Нерезиденты подтверждают учетную запись в центрах обслуживания, банк такую заявку не проведет.
| Сценарий | Что критично | Что вторично |
|---|---|---|
| Руководитель подписывает кадровые приказы и договоры | УКЭП аккредитованного УЦ, аппаратный носитель | Скорость выпуска |
| Массовое подписание работниками | Клиентский путь, выпуск подписи без явки | Тип носителя |
| Сотрудник подписывает от лица компании во внешнем контуре | УКЭП на физлицо плюс действующая МЧД | Расширение файла подписи |
| Документ уйдет в суд или в госорган | Метка доверенного времени, сохранение файла подписи | Визуальный штамп на PDF |
| Отчетность через ГИС с ГОСТ-алгоритмами | Формат ключа и версия криптопровайдера | Модель токена внутри поддерживаемой линейки |
Сценарии показывают, что универсального ответа «берите УКЭП всем» нет: для массового кадрового потока он дорог и медлен, а для внешнего контура УНЭП недостаточна.
Мария Ж, специалист по цифровой подписи и КЭДО: «Мы закладываем пилотную группу до раскатки на всю компанию: 30-50 человек с разными телефонами и разным уровнем цифровой грамотности. На пилоте вылезают именно те сбои, которые потом стоят дороже всего, — неустановленный корневой сертификат и отсутствие NFC у части сотрудников.»
Когда усиленной подписи сотрудника недостаточно: МЧД
С 1 сентября 2023 года сертификаты, где вместе с ФИО указывались наименование и должность в организации, больше не выдаются. Сотрудник получает квалифицированную подпись на себя как на физическое лицо в аккредитованном удостоверяющем центре, руководитель и индивидуальный предприниматель — в удостоверяющем центре ФНС. Полномочия подтверждает машиночитаемая доверенность.
МЧД — это XML-файл, который подписывает своей УКЭП руководитель. Внутри указываются данные доверителя и представителя, срок и перечень полномочий. Полномочия берутся из классификатора, размещенного в Единой системе нормативной и справочной информации; у каждого свой код, дата и уникальный идентификационный номер. Проверяет доверенность не человек, а алгоритм принимающей системы: он сверяет код полномочия с типом документа и решает, вправе ли подписант его подписывать. Пока классификатор наполняется, часть полномочий вписывается текстом. Организация может направить собственный перечень полномочий в Минцифры: на рассмотрение отводится 10 дней, при положительном решении коды присваивают и включают в классификатор в течение трех рабочих дней.
Отдельная развилка — передоверие. Если полномочия передаются внутри одной организации от одного сотрудника другому, доверенность удостоверяется нотариально, и МЧД здесь не исключение. Без нотариуса обходится случай, когда доверенность выдает руководитель обособленного подразделения. Нотариус подписывает новую доверенность своей квалифицированной подписью и выгружает ее в информационную систему.
Внимание: удаление сертификата из хранилища на рабочем месте не прекращает действие подписи. Чтобы квалифицированная подпись уволенного сотрудника перестала действовать, ее отзывают заявлением в тот удостоверяющий центр, который ее выдал.
Мария Ж, HR-эксперт с 13-летним стажем: «При увольнении сотрудника, на которого выпускалась подпись, мы закрываем два действия: отзыв сертификата в выдавшем удостоверяющем центре и отзыв МЧД. Реестр выданных сертификатов и токенов ведется отдельным файлом, иначе через год никто не вспомнит, у кого какая подпись на руках.»
Если вы читаете этот раздел со стороны работодателя и понимаете, что реестра подписей у вас нет, отдельный сотрудник для его ведения не нужен: в практике Добыто перечень действующих сертификатов и сроков собирается из карточек пользователей и обновляется автоматически.
Цена ошибки в виде подписи
Ошибка в выборе подписи стоит не переоформления документа. Трудовой договор, подписанный работодателем не квалифицированной подписью, требованию части 1 статьи 22.3 ТК РФ не соответствует. Нарушение трудового законодательства по части 1 статьи 5.27 КоАП РФ влечет предупреждение или штраф: на должностных лиц от 1000 до 5000 рублей, на юридических лиц от 30 000 до 50 000 рублей. Штраф здесь не главный риск. Главный — то, что в споре такой документ придется доказывать другими средствами.
Второй типовой сбой — потеря файла подписи. Открепленная подпись живет отдельным файлом, и если в архив кладут только PDF, проверить подпись потом нечем. Документ и файл подписи хранятся парой, это правило записывается в положение о КЭДО. В практике Добыто пара документ плюс подпись выгружается из архива одним пакетом, отдельно вытаскивать файл подписи не приходится.
Третий — разрыв цепочки сертификатов. При работе с УНЭП корневые сертификаты не устанавливаются автоматически: операционная система не доверяет всем сертификатам подряд. Пользователь видит сообщение о том, что корневой сертификат не найден, и подписание останавливается. Лечится установкой сертификата цепочки как доверенного, но делать это надо осознанно: после установки система будет доверять этому центру всегда.
Когда усиленная подпись не нужна
Не всякий кадровый процесс требует усиления. Ознакомление с локальным нормативным актом, получение расчетного листка, заявка на справку, согласование графика внутри подразделения — здесь ПЭП со стороны работника закрывает задачу и не создает лишней нагрузки. Требовать УКЭП от каждого сотрудника ради ознакомления с приказом об изменении режима работы — способ сорвать сроки, а не повысить защищенность.
Усиленная подпись избыточна и там, где документ вообще не переводится в электронный вид. Приказ об увольнении, акт о несчастном случае, подтверждение инструктажа по охране труда подписываются на бумаге независимо от того, какой сервис у вас внедрен.
Стоимость подключения КЭДО и электронных подписей для сотрудников
Стоимость зависит от численности подключаемых сотрудников и от набора видов подписи, который нужен под ваши документы.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | по запросу |
| Получение УКЭП | через партнеров-удостоверяющих центров | по запросу |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за один день |
Итоговая сумма складывается из численности и выбранного тарифа: на «Бизнесе» действует минимальный порог оплаты, поэтому компании до 50 человек считают экономику отдельно. Актуальный состав каждого пакета и условия перехода между ними приведены на странице тарифов ДОБЫТО КЭДО.
Тариф меняется в любой момент, при повышении разница пересчитывается пропорционально оставшемуся периоду. Квалифицированные подписи в тариф не входят и выпускаются через партнеров-удостоверяющих центров.
Выводы
Усиленная подпись требуется в двух ситуациях: когда вид подписи назван в законе прямо и когда документ уходит туда, где соглашение сторон не действует. Для кадровой сферы первый случай описан в части 1 статьи 22.3 ТК РФ и охватывает договоры, приказ о дисциплинарном взыскании и уведомление об изменении условий труда. Во всех остальных случаях выбор шире, но его нужно закрепить в ЛНА и в соглашении о признании подписи, если УНЭП выпущена не через инфраструктуру электронного правительства. Отдельно проверяются метка времени и сохранность файла подписи: без них усиленная подпись теряет доказательственную ценность вместе с истечением сертификата.
Мы в Добыто настраиваем маршруты подписания под этот перечень и ведем реестр действующих сертификатов сотрудников, чтобы вид подписи под каждым документом определялся правилом системы, а не решением конкретного кадровика в конкретный день.
Частые вопросы
Можно ли подписать один документ двумя разными подписями — работодателю УКЭП, работнику УНЭП?
Да, это штатная схема для документов из части 1 статьи 22.3 ТК РФ. Каждая сторона подписывает своим видом подписи, обе подписи прикладываются к одному документу. При присоединенной подписи вторая накладывается на файл, сформированный после первого подписания, поэтому порядок подписантов в маршруте фиксируется заранее.
Что делать, если сотрудник забыл пароль от Госключа или удалил приложение?
Восстановить доступ к прежнему ключу нельзя: закрытая часть хранится на самом устройстве, других способов входа, кроме пароля, у приложения нет. Подпись выпускается заново, это будет уже другой сертификат со своим сроком действия. Ранее подписанные документы остаются действительными.
Сколько сертификатов помещается на один аппаратный носитель?
Для носителей с 128 КБ защищенной памяти в формате извлекаемых программных ключей помещается до 31 контейнера. Реальное число зависит от того, какие расширения удостоверяющий центр записал в сертификат: объемный контейнер с полной цепочкой занимает порядка 12 КБ, и тогда носитель вмещает около десяти.
Обязана ли МЧД быть отозвана при увольнении сотрудника?
Если в доверенности указана должность, полномочия при увольнении прекращаются вместе с ней. Если МЧД выдана физическому лицу без привязки к должности, она продолжает действовать до истечения срока, поэтому отзыв делается отдельным действием. Практика по таким случаям пока формируется, поэтому безопаснее указывать должность и срок.
Можно ли отправить документ, подписанный УНЭП, в государственный орган?
Госорганы обязаны принимать документы, подписанные квалифицированной подписью, без дополнительных соглашений. Для УНЭП и ПЭП такой обязанности нет: они признаются равнозначными собственноручной подписи только там, где это установлено нормативным актом или соглашением участников обмена. Для внешнего контура закладывайте УКЭП.
Почему подпись не проверяется на другом компьютере, хотя на рабочем месте все работало?
Чаще всего дело в цепочке сертификатов: на исходной машине корневой сертификат установлен как доверенный, на второй его нет. Второй частый случай — версия криптопровайдера: ключ, созданный в защищенном канальном режиме, не откроется провайдером версии 4.0. Начните с проверки цепочки в свойствах сертификата, затем сверьте версии программного обеспечения.
