Законы об электронной подписи: 63-ФЗ, ТК РФ и приказы ФСБ

Законы об электронной подписи в России образуют четыре уровня: Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи», статья 160 ГК РФ вместе со статьями 22.1-22.3 ТК РФ, введёнными Федеральным законом от 22.11.2021 № 377-ФЗ, приказы ФСБ России от 27.12.2011 № 795 и № 796, а также стандарты ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012. 63-ФЗ называет три вида подписи и условия, при которых каждая равнозначна собственноручной: УКЭП признаётся в силу закона, ПЭП и УНЭП — только когда это установлено нормативным актом или соглашением участников электронного взаимодействия. Исход спора чаще всего определяет основание применения подписи: для квалифицированной оно уже заложено в закон, для остальных его создаёт сама организация.

Ниже разобрано, какая норма отвечает за каждый элемент конструкции: кто выпускает сертификат, чем подтверждается момент подписания, кто отвечает за компрометацию ключа и что происходит с подписью сотрудника после увольнения. Отдельно показано, какие кадровые документы нельзя перевести в электронный вид ни при какой подписи. Разбор судебных споров о подписании, правовой режим машиночитаемой доверенности с 1 сентября 2024 года, образцы соглашений и регламентов, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.

Карта нормативной базы: какие законы регулируют применение электронной подписи

Единого кодекса об электронной подписи в России нет. Регулирование собрано из базового закона, отраслевых норм, подзаконных актов ФСБ и криптографических стандартов, и каждый уровень отвечает за свой элемент конструкции. Практическая проблема юриста обычно не в том, чтобы найти 63-ФЗ, а в том, чтобы понять, какой документ закрывает конкретный вопрос: состав сертификата, допустимость подписи для трудового договора или требование к средству подписи.

Из этой раскладки видно, где обычно возникает разрыв. 63-ФЗ отвечает на вопрос «какая подпись», ТК РФ — на вопрос «для какого документа», приказы ФСБ — на вопрос «каким средством». Вопрос «чем подтверждается момент подписания» не закрыт ни одним из них, и организация закрывает его сама.

Три вида ЭЦП по 63-ФЗ и условия юридической силы каждой

Закон объединяет все три вида подписи одним свойством: каждая должна позволять установить лицо, подписавшее документ. Именно на этом чаще всего рассыпается ПЭП. Код из SMS, пришедший на телефон, сам по себе простой электронной подписью не становится — участники информационной системы должны иметь возможность определить личность человека, который этим кодом воспользовался.

Второе различие — контроль целостности. Простая подпись фиксирует только факт подписания: никаких вычислений с текстом документа не происходит, поэтому подтвердить, что документ не менялся после подписания, невозможно. Усиленные подписи, и неквалифицированная, и квалифицированная, получаются криптографическим преобразованием: сначала вычисляется хэш документа, затем хэш подписывается ключом. Совпадение хэшей при проверке и означает, что в документ не вносили изменений.

Практический вывод из таблицы: при УКЭП соглашение с контрагентом не нужно, документ обязаны принять в силу закона. При ПЭП и УНЭП организация сама конструирует доказательственную базу, и качество регламента определяет, устоит ли подпись в суде.

Мария Ж, юрист со стажем более 20 лет: «Про простую подпись часто рассуждают как про упрощённый вариант усиленной. Это разные конструкции. Простая подпись не хранит хэш документа, поэтому доказать, что текст не подменили после подписания, вы не сможете ничем, кроме внутренних логов. Если предмет спора — содержание документа, а не сам факт подписания, простая подпись вас не защитит.»

Когда усиленная подпись избыточна

Есть сценарии, где переход на УКЭП не даёт ничего, кроме затрат. Внутренний документооборот между подразделениями с низкой ценой ошибки, ознакомительные рассылки, служебные записки, подтверждение операций физических лиц в закрытой информационной системе — здесь простая подпись работает и по закону, и по практике. Классическая иллюстрация — интернет-банк с одноразовым кодом: риски невелики, а вся обвязка из договорной документации подписана заранее. Смысл усиливаться появляется там, где документ может быть оспорен, а спор идёт о содержании.

Переписка по корпоративной почте заслуживает отдельного упоминания. Сама по себе она простой электронной подписью не является. Но если организация приказом установила порядок применения ПЭП, присвоила пользователям учётные данные по списку и получила подпись каждого работника под этим порядком, вход в доменную учётную запись с последующей отправкой письма при определённых условиях может рассматриваться как подписание простой электронной подписью. Ключевых элементов здесь два: документ, определяющий лицо, и обязанность работника хранить пароль в тайне.

Проверка подписи: что закон считает доказательством, а что визуализацией

Штамп «документ подписан электронной подписью» на распечатке или в PDF никакой юридической силы не несёт. Это картинка для читателя, и проверить по ней подпись невозможно. Юридически значим электронный оригинал вместе с файлом подписи, который можно загрузить в проверяющую программу и получить результат: кто подписал, каким сертификатом, действовал ли сертификат, не менялся ли документ.

Практическое следствие для судебного представителя: в дело нужно представлять сам файл документа и файл подписи. Проверить квалифицированную подпись бесплатно можно через официальный сервис проверки электронной подписи на Госуслугах — там же размещены реестр аккредитованных удостоверяющих центров и проверка машиночитаемой доверенности.

Проверьте файл подписи и статус сертификата перед приобщением к делу

Добыто · Проверка подписи

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Что за файл пришёл с документом

Загрузите файл — определим по расширению и содержимому: присоединённая это подпись или откреплённая, чем открыть и куда идти дальше. Архивы раскрываем и смотрим, что внутри.

Файл остаётся на вашем устройстве — мы его не получаем и не храним

Перетащите файл сюда или выберите на устройстве

.sig · .sgn · .p7s · .p7m · .pdf · .xml · .docx · .zip и другие. Ничего никуда не отправляется: файл читается кодом страницы прямо в вашем браузере.

Нет файла под рукой? Выберите расширение вручную:

.sig .sgn .p7s .pdf .xml .docx .zip

Проверить подпись онлайн в Добыто

Мы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся. Закройте страницу — и от файла не останется следов.

Как проверить юридическую силу документа, подписанного электронной подписью: пошаговая инструкция

1. Шаг 1. Запросите электронный оригинал и файл подписи. Распечатка со штампом и PDF с нарисованной отметкой для проверки не годятся.
2. Шаг 2. Откройте сертификат и определите вид подписи: у УКЭП цепочка доверия начинается с головного удостоверяющего центра Минцифры, у УНЭП — с выпустившего её удостоверяющего центра или Госуслуг.
3. Шаг 3. Постройте цепочку сертификатов и проверьте статус по списку отозванных сертификатов и службе актуальных статусов. Сертификат должен быть действителен на момент подписания и не отозван.
4. Шаг 4. Сверьте момент подписания. При наличии штампа времени берите метку доверенной службы, а не заявленное время из свойств файла.
5. Шаг 5. Для ПЭП и УНЭП поднимите основание применения: нормативный акт, соглашение сторон или регламент информационной системы с листом присоединения.
6. Шаг 6. Если документ подписан сотрудником от имени организации, проверьте машиночитаемую доверенность: полномочия, срок, статус в реестре.
7. Шаг 7. Зафиксируйте результат протоколом проверки с указанием подписанта, серийного номера сертификата, издателя и алгоритма подписи.

Важный нюанс из практики: в сервисе Добыто выгрузка по конкретному документу формируется комплектом — исходный файл, файл подписи и сведения о сертификате подписанта. Именно в таком виде документ уходит проверяющему, а не в виде PDF со штампом.

Соглашение сторон и ЛНА: где закон передаёт регулирование организации

Для квалифицированной подписи дополнительных документов не требуется: документ, подписанный УКЭП, признаётся равнозначным бумажному с собственноручной подписью, и адресат обязан его принять. Как только организация выбирает УНЭП или ПЭП, обязанность создать правовое основание переходит к ней. В соглашении или регламенте описывают порядок создания подписи, порядок её проверки, порядок разбора конфликтных ситуаций и обязанности участников по конфиденциальности ключа.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

В кадровой сфере эту роль выполняют ЛНА по статье 22.2 ТК РФ: положение о ведении электронного документооборота, приказ о переходе, согласия работников. При этом статья 22.1 ТК РФ содержит закрытый перечень исключений. Трудовые книжки и сведения о трудовой деятельности, акт о несчастном случае на производстве по установленной форме, приказ об увольнении и документы о прохождении инструктажей по охране труда в электронный вид не переводятся ни при какой подписи. Формулировка «мы полностью ушли от бумаги» на практике обычно означает, что эти четыре позиции просто не пересматривали.

Мария Ж, судебный эксперт по трудовому праву: «Когда суд разбирает спор о подписании кадрового документа, он смотрит не только на подпись. Он поднимает документы, которые вводят электронный документооборот в компании, порядок применения подписи и подтверждение того, что именно этот документ был передан на подписание и не подменён. Проверьте свой комплект по этой логике заранее: обычно не хватает не подписи, а описания процедуры.»

Что проверить до запуска электронного документооборота

1. Основание применения подписи. Для ПЭП и УНЭП — соглашение или регламент с листом присоединения; для УКЭП достаточно 63-ФЗ.
2. Порядок определения подписанта. Как именно вы докажете, что учётной записью воспользовался конкретный человек.
3. Перечень исключений. Какие документы по статье 22.1 ТК РФ остаются на бумаге.
4. Средства подписи. Для УКЭП — только программное обеспечение, прошедшее оценку соответствия по приказу ФСБ № 796.
5. Хранение и выгрузка. В каком виде вы отдадите проверяющим электронные оригиналы с файлами подписи.
6. Учёт сертификатов. Кто ведёт журнал выданных сертификатов и кто инициирует отзыв при увольнении.

Образцы соглашений, регламентов и документов по электронной подписи

Комплект закрывает основание применения подписи и её жизненный цикл, начинать разумно с соглашения об использовании ПЭП и НЭП.

Важный нюанс из практики: в практике Добыто чаще всего не хватает не самого положения о КЭДО, а листа присоединения к регламенту применения подписи. Положение принято, приказ издан, а подтверждения, что конкретный работник ознакомлен с порядком применения ПЭП, в комплекте нет.

Момент подписания: пробел закона, который закрывают штампом времени

Сертификат обычно действует год. Когда срок истёк, встаёт вопрос, в какой момент был подписан документ, и по самому файлу подписи ответить на него нельзя: заявленное время подписания формируется на стороне подписанта. В действующей редакции 63-ФЗ появилось определение штампа времени, но обязанность его проставлять из закона прямо не следует. Организация закрывает этот пробел сама.

Работают два инструмента. Первый — доверенная служба штампа времени: в момент подписания ей передаётся хэш документа, она возвращает подписанную метку с точным временем. Собственные службы штампа времени есть у ФНС и у удостоверяющих центров. Второй — ответы службы актуальных статусов сертификатов, подтверждающие, что на момент подписания сертификат не был отозван досрочно. Вместе они дают усовершенствованную подпись, которая сохраняет проверяемость после истечения срока сертификата.

Мария Ж, специалист по цифровой подписи и КЭДО: «Штампу времени при внедрении почти никто не уделяет внимания, а в споре именно он отвечает на вопрос, когда документ был подписан. Если метки нет, момент подписания приходится доказывать косвенно: логами входов и журналом действий пользователя в системе. Это работает, но требует, чтобы логирование было настроено заранее и выгружалось в читаемом виде.»

В практике Добыто журнал действий пользователя и реестр выданных сертификатов ведутся с первого дня эксплуатации: при отсутствии штампа времени именно эти данные становятся опорой позиции.

Обязанности владельца ключа по статье 10 и цена ошибки

Статья 10 63-ФЗ возлагает на участников электронного взаимодействия две обязанности: не допускать использование принадлежащих им ключей без их согласия и уведомить удостоверяющий центр и других участников при нарушении конфиденциальности ключа. После уведомления сертификат включается в список отозванных, и подпись под документами, созданными позже, проверку не проходит.

Отсюда прямое следствие для увольнений. Удаление контейнера с ключом из реестра операционной системы сертификат не аннулирует: пока владелец не подал заявление в выпустивший его удостоверяющий центр или в ФНС, сертификат остаётся действующим. Отзыв инициирует сам владелец подписи, а не работодатель, и довести процедуру до конца в интересах увольняющегося.

Кейс из практики: сотрудник федерального банка оспорил увольнение по соглашению сторон, заявив, что документ подписывал не он. Подпись была неквалифицированной, на токене, который хранился в сейфе подразделения. Суд исследовал комплект документов о применении электронной подписи и подтверждение того, что подписанный документ передавался на подписание без подмены, признал увольнение незаконным и взыскал компенсацию в пользу работника.

Кейс из практики: в розничной сети работник на позиции грузчика подписал электронной подписью заявление об увольнении по собственному желанию, считая, что подписывает документ по оплате больничного. Суд признал увольнение незаконным, восстановил работника в должности и взыскал средний заработок и компенсацию морального вреда. Цена ошибки здесь складывается из восстановления, выплат за время вынужденного прогула и судебных расходов, а стоимость самой подписи в этой сумме неразличима.

Мария Ж, HR-эксперт с 13-летним стажем: «Сотрудники относятся к своей подписи как к очередному паролю, а она равнозначна их собственноручной. При увольнении проверяйте два пункта: подано ли заявление на аннулирование сертификата в выдавший его удостоверяющий центр и закрыта ли машиночитаемая доверенность. Удаление ключа с рабочего компьютера ни первое, ни второе не заменяет.»

МЧД: правовой режим доверенности после 1 сентября 2024 года

С 1 сентября 2024 года сертификаты, выданные на юридическое лицо с указанием сотрудника, не применяются. Подписать документ от имени организации можно двумя способами: квалифицированной подписью руководителя либо подписью физического лица с приложением машиночитаемой доверенности. Сертификаты на руководителя и индивидуального предпринимателя выпускает удостоверяющий центр ФНС, сертификаты физических лиц — аккредитованные коммерческие удостоверяющие центры.

МЧД — это XML-файл, а не изображение доверенности. Она может быть выгружена в PDF для чтения человеком, но проверяют её алгоритмы: они считывают полномочия и определяют, вправе ли подписант подписывать конкретный документ. Полномочия задаются кодами из классификатора, размещённого в Единой системе нормативной и справочной информации. Каждое полномочие имеет код, дату и уникальный идентификационный номер, и именно код включается в доверенность.

Организация может расширить классификатор под себя: перечень своих полномочий направляют в Минцифры, там его рассматривают в течение 10 дней и принимают решение о включении либо мотивированном отказе. При положительном решении на присвоение кодов и включение в классификатор отводится три рабочих дня. Пока классификатор наполняется преимущественно полномочиями государственных органов, поэтому в переходный период полномочия допускается вписывать текстом.

Отдельный вопрос — филиалы. Филиал не является юридическим лицом, поэтому доверителем в МЧД выступает организация: доверенность подписывает руководитель юридического лица своей УКЭП, а данные представителя в файле — это ФИО, СНИЛС и ИНН конкретного физического лица, работающего в филиале. Передоверие оформляется через нотариуса: с паспортными данными нового уполномоченного лица и актуальной выпиской из ЕГРЮЛ, нотариус подписывает новую доверенность своей квалифицированной подписью и выгружает её в информационную систему.

Требования к средствам подписи: приказы ФСБ, ГОСТ и форматы файлов

Для квалифицированной подписи закон допускает только средства, прошедшие оценку соответствия требованиям приказа ФСБ России № 796, то есть сертифицированные. Сертификация добровольная: разработчик заявляется сам, и продукт поставляется вместе с формуляром и правилами пользования. Форму самого квалифицированного сертификата задаёт приказ № 795, действующий в редакции приказа от 02.02.2024 № 50.

Носитель ключа закон не предписывает. Ни в приказе № 796, ни в 63-ФЗ нет требования хранить ключ на токене в неизвлекаемом виде: формально ключ может лежать в реестре операционной системы, в файловом контейнере или в облаке удостоверяющего центра. Требование одно — конфиденциальность. Практика при этом сложилась в пользу аппаратных носителей: ключ, сгенерированный на токене с аппаратной реализацией ГОСТ, память устройства не покидает, и его существование в единственном экземпляре обеспечивается конструктивно. Для сравнения, европейская директива в аналогичной ситуации требует формировать квалифицированную подпись только специализированным устройством.

Связка КриптоПро CSP версии 5.0 с токеном ГОСТ работает в режиме неизвлекаемого ключа: хэш большого документа вычисляется программно, а подпись хэша выполняется на токене, среднее время операции около 0,3 секунды. Менять прикладное программное обеспечение при таком переходе не требуется, а срок действия ключа подписи в этой связке может достигать 3 лет, если регламент удостоверяющего центра это допускает.

Формат файла подписи для юриста важен не меньше вида подписи. Присоединённая подпись включается в один файл с документом: терять нечего, но открыть исходный документ без специальной программы не получится. Откреплённая подпись лежит рядом отдельным файлом с расширением .sig, .p7s или .sgn, и для проверки в программу загружают оба файла. Технически это контейнер CMS, он же PKCS#7. Усовершенствованные форматы CAdES надстраивают над ним штамп времени и данные о статусе сертификата.

Важный нюанс из практики: подписать электронной подписью можно не только документ, но и письмо. Отдельные средства подписи, например КриптоАРМ ГОСТ 3, содержат встроенный почтовый клиент и позволяют обмениваться подписанными письмами, а не только файлами. Сертификат ФСБ у этого продукта выдан в составе КриптоПро CSP по классам КС1 и КС2 и действует до мая 2027 года.

Стоимость перехода на электронный документооборот и подписи для сотрудников

Стоимость складывается из численности сотрудников, набора видов подписи и потребности в интеграции с учётной системой. Выпуск электронных подписей для сотрудников отдельной строкой не оплачивается и входит в тариф.

Итоговая сумма зависит от численности и выбранного набора функций: на тарифе «Старт» действует ограничение по количеству сотрудников, на «Бизнесе» — минимальный годовой платёж. Актуальный состав пакетов и условия перехода между ними приведены на странице тарифов ДОБЫТО КЭДО.

Тариф можно повысить или понизить в любое время: при повышении разница пересчитывается пропорционально оставшемуся периоду. Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ о персональных данных.

Выводы

Регулирование электронной подписи распределено между 63-ФЗ, нормами ГК РФ и ТК РФ, приказами ФСБ России и криптографическими стандартами, а юридический риск концентрируется в основании применения подписи. Квалифицированная подпись получает силу прямо из закона, простая и неквалифицированная — из документов, которые организация пишет сама. Два вопроса закон оставляет открытыми: чем подтверждается момент подписания и как сохранить проверяемость документа после истечения срока сертификата.

Мы в Добыто выстраиваем эту конструкцию целиком: комплект ЛНА и соглашений под выбранный вид подписи, реестр выданных сертификатов, журнал действий пользователей и выгрузка электронных оригиналов с файлами подписи в том виде, в котором их принимает проверяющий и суд.

Частые вопросы

Признаётся ли в России электронная подпись, созданная по нормам иностранного права?

63-ФЗ содержит отдельную норму о признании электронных подписей, созданных в соответствии с нормами иностранного права и международными стандартами. Такая подпись признаётся в России тем видом подписи, признакам которого она соответствует, а для трансграничного обмена дополнительно используются решения доверенной третьей стороны. Отдельные средства подписи, например Litoria Desktop, ориентированы именно на трансграничный документооборот и реализуют функции клиента доверенной третьей стороны.

Можно ли передать токен с ключом другому сотруднику?

Статья 10 63-ФЗ обязывает не допускать использование ключа без согласия владельца, но саму передачу ключа третьим лицам напрямую не регулирует. Юридически ответственность за все документы, подписанные этим ключом, остаётся на владельце сертификата: в отличие от бумажной доверенности, где представитель ставит собственную подпись, здесь под документом оказывается подпись владельца ключа. Разумная граница — подписание под контролем владельца и в его присутствии.

Остаётся ли документ действительным после истечения срока сертификата?

Сроки действия ключа подписи и ключа проверки подписи различаются: подписывать можно до истечения срока ключа подписи, проверять — до истечения срока ключа проверки. Чтобы юридическая значимость сохранялась дольше, применяют усовершенствованные форматы со штампом времени и ответами службы актуальных статусов, а для долговременного хранения — архивную метку с периодическим переподписанием.

Обязателен ли штамп времени по закону?

Определение штампа времени в действующей редакции 63-ФЗ есть, прямого требования проставлять его для обычного документооборота из закона не следует. Без метки доверенной службы момент подписания приходится доказывать косвенно: логами входов и журналом действий пользователя в информационной системе. Для документов с длительным сроком хранения штамп времени добавляют по решению организации.

Нужна ли отдельная машиночитаемая доверенность сотруднику филиала?

Филиал не является юридическим лицом, поэтому доверителем выступает организация: МЧД подписывает руководитель юридического лица своей квалифицированной подписью, а в качестве представителя указывается конкретное физическое лицо с ФИО, СНИЛС и ИНН. Отдельная доверенность «на филиал» не оформляется. Передоверие полномочий по МЧД возможно только через нотариуса.

Что делать, если утрачен доступ к электронной подписи в мобильном приложении?

Закрытый ключ хранится на самом устройстве, доступа к нему нет ни у оператора приложения, ни у государственных органов. При удалении приложения или утрате пароля подпись не восстанавливается: выпускается новая, с собственным сроком действия. Ранее подписанные документы остаются проверяемыми, поскольку проверка идёт по сертификату, приложенному к подписи.

Считается ли переписка по корпоративной почте подписанной простой электронной подписью?

Сама по себе нет. Для этого нужны внутренний документ, устанавливающий порядок применения ПЭП, правила определения лица, подписавшего документ, присвоение учётных данных конкретным работникам и подпись каждого работника под этим порядком, а также его обязанность хранить пароль в тайне. При выполнении этих условий вход в учётную запись и действия от её имени могут рассматриваться как подписание простой электронной подписью.