Восстановление КЭДО после сбоя проходит без потери подписанных документов, если целы четыре части каждого документа: основная часть в PDF/A-1A, приложения, файлы электронной подписи и XML со служебными данными о подписантах. Подпись не хранится «внутри системы» как атрибут записи: она лежит отдельным файлом и проверяется математически, поэтому поднятая из резервной копии база без каталога подписей юридически пуста. Сроки при этом не останавливаются: по статье 22.3 ТК РФ работодатель обязан выдать работнику документ по его заявлению не позднее трёх рабочих дней. Порядок действий определяет вид подписи: УКЭП и УНЭП проверяются по файлу подписи и сертификату независимо от вашей системы, а ПЭП доказывается журналами и соглашением об использовании ПЭП, которые лежат в той самой упавшей системе.
Разберём, что ломается на каждом слое, в каком порядке поднимать сервис, чтобы не переподписывать документы заново, и как читать результат проверки подписи после восстановления. Покажем пять причин статуса «подпись недействительна» на живых файлах и объясним, почему истёкший сертификат сам по себе подпись не отменяет. Отдельно — что настроить заранее: штампы времени, форматы CAdES и выгрузку архива, которая переживает смену платформы. Сценарная таблица по типам сбоя, чек-листы диагностики, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.
Прежде чем разбирать процедуру, проверьте на любом документе из восстановленного архива, что подпись читается и сертификат подтверждается: форма работает с присоединённой и откреплённой подписью, файл до 100 МБ.
Проверка электронной подписи
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
2 Загрузите документ и файл подписи:
Документ
Файл подписи (.sig)
Нужно подписать документ?
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Что рушится при сбое КЭДО: четыре части подписанного документа
Кадровый электронный документ — это комплект, а не один файл. Единые требования к составу и форматам документов, связанных с работой, задаёт приказ Минтруда России № 578н от 20 сентября 2022 года, вступивший в силу 1 марта 2023 года. По нему документ состоит из основной части в формате PDF/A-1A, приложений в форматах, соответствующих типу данных, файлов электронных подписей в формате SGN и служебной части в XML со сведениями о виде документа, датах и подписантах. При необходимости к комплекту добавляется машиночитаемая доверенность в формате XML.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Отсюда следует практическое правило восстановления: бэкап базы данных — это одна четвёртая. Если объектное хранилище с файлами подписей не попало в резервную копию или попало со сдвигом по времени, вы получите записи о подписании без доказательства подписания. Проверить это можно за минуту: возьмите десяток документов разных типов и разных дат, выгрузите комплект целиком и убедитесь, что рядом с каждым PDF лежит парный файл подписи и XML.
Второй слой потерь — связь между частями. XML содержит сведения о подписантах, и именно он позволяет понять, чья подпись лежит рядом. Если при миграции переименовать файлы или потерять исходные имена, комплект придётся собирать вручную, сверяя серийные номера сертификатов внутри контейнеров подписи.
Мария Ж, юрист со стажем более 20 лет: «Требования к хранению электронных документов не самостоятельны, они наследуются от бумажных. Закон об архивном деле № 125-ФЗ в пункте 2 статьи 13 даёт организации право самой создавать архив и организовывать хранение, а типовые функциональные требования к системам электронного документооборота и системам хранения электронных документов, утверждённые приказом Росархива от 15 июня 2020 года, описывают, что такая система обязана уметь. Перед восстановлением сверьте свою конфигурацию с этим перечнем: там уже написано, какие функции должны пережить сбой».
Факт: ГОСТ Р 57762-2017 «Обеспечение долговременной сохранности электронных документов» описывает стратегию сохранности через восемь свойств: читаемость, интерпретируемость, идентифицируемость, доступность, аутентичность, конвертация, миграция, безопасность. План восстановления, который закрывает только доступность, закрывает одно свойство из восьми.
ПЭП, УНЭП и УКЭП: почему после сбоя они восстанавливаются по-разному
Разница между видами подписи по 63-ФЗ становится инженерной, а не юридической ровно в момент аварии. УКЭП и УНЭП — усиленные подписи: они создаются криптографическим преобразованием, у них есть сертификат ключа проверки, и результат подписания существует как самостоятельный файл. Такой файл проверяется любым сторонним средством: криптопровайдером, сервисом проверки, консольной утилитой. Ваша система для этого не нужна.
ПЭП устроена иначе: она подтверждает факт формирования подписи через коды, пароли или иные средства, а доказательством служат журналы информационной системы и соглашение сторон о её использовании. Самостоятельного проверяемого артефакта у ПЭП нет. Поэтому потеря журналов при сбое означает потерю доказательства, даже если сам PDF цел.
Таблица собирает то, что нужно знать администратору при планировании восстановления. Строки идут по возрастанию автономности доказательства.
| Вид подписи | Где лежит доказательство | Что обязательно поднять | Что происходит при потере системы |
|---|---|---|---|
| ПЭП | Журналы информационной системы плюс соглашение об использовании ПЭП | Журналы событий за весь срок хранения документа, реестр идентификаторов работников | Документ остаётся, доказательство подписания исчезает |
| УНЭП, выпущенная в информационной системе работодателя | Файл подписи SGN плюс сертификат, выпущенный вашим удостоверяющим контуром | Хранилище файлов подписи, база сертификатов работников, корневой сертификат вашего центра | Подпись проверяется, но цепочка доверия не строится без вашего корневого сертификата |
| УНЭП Госключа | Файл подписи плюс сертификат государственного удостоверяющего центра | Только хранилище файлов подписи | Проверка полностью автономна от вашей инфраструктуры |
| УКЭП | Файл подписи плюс квалифицированный сертификат аккредитованного удостоверяющего центра | Только хранилище файлов подписи и доступ к спискам отзыва | Проверка автономна, но требует данных о статусе сертификата на момент подписания |
Вывод из таблицы простой и неприятный для тех, кто экономил на подписи: чем проще подпись, тем дороже её восстановление. Документы, подписанные УКЭП или УНЭП Госключа, переживают полную потерю платформы. Документы на ПЭП живут ровно столько, сколько живут ваши журналы.
Мария Ж, специалист по цифровой подписи и КЭДО: «Когда мы разбираем архитектуру КЭДО у клиента, первый вопрос звучит не про подписи, а про журналы. Если внутренние документы подписываются ПЭП, журнал событий становится таким же обязательным объектом резервного копирования, как и сами файлы, и хранить его нужно столько же, сколько сам документ. Проверьте у себя простую вещь: за какой период ротация логов вообще оставляет записи о подписании».
Порядок восстановления: что поднимать первым и в какой срок
Сбои КЭДО делятся на три класса, и они требуют разного порядка действий. Отказ прикладного слоя: сервис не открывается, данные целы. Потеря данных: часть документов или файлов подписи недоступна. Разрыв интеграции: КЭДО жив, но не синхронизируется с учётной системой, и статусы подписания расходятся.
Норматив, который задаёт крайний срок, один: по статье 22.3 ТК РФ работодатель обязан безвозмездно предоставить работнику документы, связанные с работой, не позднее трёх рабочих дней со дня подачи заявления. Если документооборот по этим документам ведётся электронно, работник получает электронный документ. Отказ сервиса эту обязанность не приостанавливает, поэтому ручной канал выдачи включается в первый же день аварии, параллельно с восстановлением.
Как восстановить КЭДО после сбоя: пошаговая инструкция
- Шаг 1. Зафиксируйте точку отказа и остановите запись. Пока непонятно, что повреждено, новые подписания создают документы, которых не будет в бэкапе. Закройте создание и подписание, оставьте чтение.
- Шаг 2. Соберите инвентарь того, что должно быть восстановлено. База с карточками документов, объектное хранилище файлов, хранилище файлов подписи, журналы событий, база сертификатов работников, конфигурация маршрутов согласования.
- Шаг 3. Восстановите хранилище подписей раньше базы. Файл подписи невосстановим ничем, кроме резервной копии: его нельзя пересчитать заново без закрытого ключа работника. Карточку документа при худшем сценарии можно собрать из XML служебной части.
- Шаг 4. Сверьте комплектность по контрольным точкам. Возьмите выборку по каждому типу документа и каждому месяцу: PDF, приложения, файл подписи, XML. Расхождение показывает разъехавшиеся по времени бэкапы разных хранилищ.
- Шаг 5. Проверьте подписи на выборке, а не на одном файле. Берите документы с разными видами подписи и разными датами, включая те, у которых сертификат уже истёк. Результат оформляйте протоколом проверки, а не скриншотом.
- Шаг 6. Восстановите интеграцию и сверьте статусы. Расхождение статусов между КЭДО и учётной системой опаснее простоя: кадровик видит подписанный документ там, где подписи нет.
- Шаг 7. Откройте подписание пилотной группе, а не всей компании. Одно подразделение на день работы даёт ту же диагностику, что и полный запуск, но без второго инцидента.
Важный нюанс из практики: седьмой шаг чаще всего пропускают, и именно он ловит ошибки конфигурации маршрутов. В практике Добыто мы закладываем пилотную группу и перед первым запуском, и после любого восстановления из резервной копии: настройки маршрутов и ролей восстанавливаются вместе с базой, а значит, вместе с базой могут восстановиться в состоянии на позапрошлый месяц.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Внимание: при возврате сервиса в строй нагрузка приходит не равномерно, а пиком: сотрудники заходят одновременно. Вендоры подтверждают работу нагрузочными тестами на 50 000 одновременно работающих пользователей, и заказчики, которые не заложили масштабирование архитектурно, получали остановку системы ровно в момент массовой рассылки локального нормативного акта на ознакомление.
Сценарии сбоя различаются тем, что в них критично, а что вторично. Таблица помогает не тратить первые часы на второстепенное.
| Сценарий сбоя | Критично в первые часы | Вторично |
|---|---|---|
| Отказ прикладного слоя, данные целы | Ручной канал выдачи документов работникам, чтобы удержать трёхдневный срок | Проверка подписей: файлы не менялись |
| Потеря части файлов подписи | Инвентаризация: какие типы документов и какие периоды затронуты | Восстановление интерфейса и маршрутов |
| Разрыв интеграции с учётной системой | Заморозка статусов, чтобы не разошлись две картины подписания | Догрузка накопившихся документов |
| Компрометация или отзыв сертификата подписанта | Фиксация даты отзыва и выборка документов, подписанных после неё | Выпуск нового сертификата |
| Смена платформы или вендора | Выгрузка комплектов по 578н целиком, вместе с XML и файлами подписи | Перенос шаблонов и справочников |
Строка про отзыв сертификата не декоративная. Отзыв действует с даты внесения в список отзыва, и подписи, созданные до этой даты, остаются действительными, если доказано время подписания. Как это доказывать — в разделе про штампы времени.
Подпись не проходит проверку после восстановления: разбор причин
После подъёма системы типовая картина такая: часть документов проверяется, часть даёт красный статус. Причины делятся на пять классов, и только один из них означает реальную потерю документа.
- Нарушена целостность файла. Хэш не сходится: документ изменился после подписания хотя бы на байт. Частая причина при восстановлении — конвертация или пересохранение PDF инструментом миграции. Это единственный класс, который лечится только переподписанием.
- Не найден парный файл. Откреплённая подпись проверяется вместе с исходным документом. Потеряли исходник или переименовали его — проверка не запускается, хотя подпись цела.
- Не строится цепочка доверия. В хранилище восстановленного сервера нет корневого и промежуточных сертификатов удостоверяющего центра. Подпись математически верна, статус — «нельзя доверять».
- Истёк срок действия сертификата. Сертификаты сейчас выпускаются на разные сроки, вплоть до 12 лет, но кадровый документ живёт дольше. Без доказательства времени подписания проверяющая программа не может сказать, действовал ли сертификат в момент подписания.
- Сертификат отозван. Здесь важна дата: подпись, созданная до отзыва, сохраняет силу, если время подписания подтверждено штампом времени или ответом службы статуса сертификата.
Практический приём: прежде чем звать вендора, прогоните выборку через независимое средство проверки. Если сторонний сервис показывает действительную подпись, а ваша система — нет, проблема в конфигурации восстановленного сервера, а не в документах. В Добыто проверка подписи вынесена в отдельный инструмент, который работает без входа в систему и разбирает присоединённую и откреплённую подпись, — на время недоступности основного контура этого достаточно, чтобы подтвердить документ. Результат проверки фиксируйте протоколом: он потребуется, если по документу будет спор.
Документы для инвентаризации подписей после восстановления
Комплект под разбор последствий сбоя; начинайте с чек-листа диагностики, он задаёт порядок остальных проверок.
| Документ | Скачать |
|---|---|
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Чек-лист проверки файла SGN | Скачать |
| Протокол проверки электронной подписи | Скачать |
| Реестр сертификатов сотрудников (XLSX) | Скачать |
| Шпаргалка по командам cryptcp | Скачать |
| Акт о невозможности переподписания (образец) | Скачать |
Лайфхак: массовую проверку архива можно вынести на серверный контур и не трогать рабочие места. Оператор информационной системы вправе получить в удостоверяющем центре ФНС обезличенный сертификат и подписывать или проверять документы автоматически. Сертификат выдаётся на юридическое лицо и привязывается к информационной системе; сотрудники им пользоваться не могут.
Что настроить заранее, чтобы сбой не превращался в потерю документов
Обычная подпись доказывает авторство, но не доказывает время. Как только сертификат истёк или отозван, проверяющая программа теряет опору и переводит статус в «не удалось подтвердить». Решение отраслевое и давно отработанное: усовершенствование подписи. К подписи добавляются доказательства подлинности — штамп времени, ответ службы о статусе сертификата на момент создания подписи и архивная метка, которая заверяет обе предыдущие сверху.
Форматы идут по возрастанию: базовый CAdES-BES, CAdES-T со штампом времени, CAdES-X Long Type 1 с полным набором доказательств и CAdES-A с архивной меткой. Для кадрового архива, где сроки хранения составляют от 50 до 75 лет в зависимости от года окончания дела, базового формата не хватает по определению.
Полезно знать: сертификаты электронной подписи сейчас выдаются на сроки вплоть до 12 лет, но для кадровых и финансовых документов этого мало. Поэтому системы архивного хранения периодически обходят архив, находят документы, которые пора усовершенствовать, и добавляют доказательства подлинности автоматически, не переподписывая документ заново.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Усовершенствование подписи — это не переподписание. Исходная подпись остаётся неизменной, поверх неё добавляются штамп времени и подтверждение статуса сертификата. Разница видна в момент спора: переподписанный задним числом документ подписан не той датой, а усовершенствованный сохраняет исходную. Заложите регулярный обход архива в регламент, пока сертификаты подписантов ещё действуют, — после истечения добавить доказательство уже нечем».
Второй элемент подготовки — выгрузка. Проверьте не наличие кнопки «экспорт», а состав выгружаемого пакета: попадают ли в него файлы подписи и XML служебной части или только PDF. Выгрузка, из которой нельзя восстановить комплект по 578н, спасает от потери текста, но не от потери юридической значимости. В практике Добыто мы держим регулярную выгрузку архива в комплекте и отдельно ведём реестр сертификатов работников: этот реестр в аварии заменяет половину расследования.
Кейс из практики: производственная компания на 1800 сотрудников после переезда между площадками получила статус «подпись недействительна» на документах за 14 месяцев. Разбор занял два дня: инструмент миграции пересохранял PDF, чтобы унифицировать метаданные, и ломал хэш. Файлы подписи были целы, исходные PDF нашлись в предыдущей резервной копии объектного хранилища; после возврата исходников подтвердились 100% документов, переподписывать не пришлось ничего.
Когда восстановление не нужно и когда оно уже не поможет
Не всякий сбой КЭДО требует восстановления архива. Если упал только веб-интерфейс или сломалась авторизация, документы и подписи не пострадали: поднимается прикладной слой, архив не трогается. Разворачивать бэкап в такой ситуации вредно, вы откатите свежие подписания.
Не поможет восстановление в двух случаях. Первый: документ изменён после подписания и исходная версия не сохранилась ни в одной копии. Хэш не сойдётся никогда, документ придётся оформлять заново, а по невозможности переподписания оформлять акт. Второй: документ подписывался ПЭП, а журналы за нужный период уже вымыты ротацией. Восстанавливать нечего — доказательства не существовало в виде файла.
Отдельно про бумагу. Трудовые книжки, акты о несчастных случаях на производстве, приказы об увольнении и документы, подтверждающие прохождение инструктажей по охране труда, в электронный вид без дублирования не переводятся. Если сбой затронул только их сопровождающие материалы, юридический риск нулевой: оригиналы лежат на бумаге.
Сколько стоит ошибка при восстановлении КЭДО
Прямая стоимость простоя измеряется не часами работы администратора. Первое: нарушение трёхдневного срока выдачи документов работнику по статье 22.3 ТК РФ — это нарушение трудового законодательства, по части 1 статьи 5.27 КоАП РФ предупреждение или штраф на юридическое лицо от 30 000 до 50 000 рублей, и считается он по каждому эпизоду.
Второе: документ без проверяемой подписи в трудовом споре не работает как доказательство. Дополнительное соглашение об изменении оклада, приказ о дисциплинарном взыскании, соглашение о материальной ответственности — при отсутствии подтверждения подписи стороной считается, что документ не подписан.
Третье: восстановление из некомплектной копии порождает вторую проблему поверх первой. Если поднять базу без хранилища подписей и открыть подписание, вы получите смешанный архив, в котором документы с подписью и без неё внешне неотличимы. Разбор такого архива обходится дороже самого сбоя.
Важный нюанс из практики: отдельный источник потерь — лишние точки интеграции. Каждый внешний сервис в цепочке подписания добавляет свой сценарий отказа: перебои на стороне внешнего портала останавливают подписание целиком, а уведомления через мессенджеры перестают доходить, когда мессенджер блокируют. Универсальные каналы доставки — push в мобильном приложении и SMS, которая доходит даже на кнопочный телефон без интернета.
Мария Ж, судебный эксперт по трудовому праву: «Три рабочих дня на выдачу документов по заявлению работника отсчитываются от даты заявления, а не от даты, когда вы почините сервис. В инцидент-план стоит сразу вписать резервный порядок: кто принимает заявления, кто готовит заверенную копию и кто её подписывает, пока КЭДО недоступен. Это дешевле, чем объяснять инспектору, почему работник ждал документ две недели».
Стоимость подключения и тарифы Добыто КЭДО
Итоговая цена зависит от численности подключаемых сотрудников, набора видов электронной подписи и потребности в интеграции с учётной системой. Электронные подписи для сотрудников входят в тариф.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | годовой период |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск подписей ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | входит в тариф |
| УКЭП через партнёров-удостоверяющих центров | по запросу | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП, автоматическая синхронизация документов | входит в тариф «Бизнес» | установка и настройка за 1 день |
Для задачи восстановления определяющими становятся два параметра: наличие электронного архива и режим развёртывания. Электронный архив входит в тариф «Бизнес», выделенный сервер и SLA 99.9% — в тариф «Корпорация»; актуальный состав тарифов и условия перехода между ними опубликованы на странице тарифов ДОБЫТО КЭДО.
Смена тарифа доступна в любое время: при повышении разница пересчитывается пропорционально оставшемуся периоду, поэтому переход на конфигурацию с выделенным сервером не требует ждать конца оплаченного года.
Выводы
Подписанный кадровый документ переживает аварию платформы, если резервируется не база, а комплект целиком: содержание, приложения, файлы подписи и служебный XML. Вид подписи определяет глубину зависимости от вашей инфраструктуры: усиленные подписи проверяются автономно, ПЭП живёт ровно столько, сколько живут журналы системы. Штамп времени и усовершенствованный формат превращают истёкший сертификат из аварии в рядовую ситуацию, а трёхдневный срок выдачи документов работнику продолжает идти независимо от состояния сервиса.
Мы в Добыто собираем архив так, чтобы выгрузка отдавала комплект по требованиям 578н, а не отдельные PDF, и держим проверку подписи отдельным инструментом, доступным без входа в систему. Для команд, которым нужен свой контур и гарантированная доступность, есть конфигурация с выделенным сервером и SLA.
Частые вопросы
Можно ли переподписать документ задним числом, если подпись не восстановилась?
Нет. Подпись фиксирует момент подписания, и создать её «на прошлую дату» без подлога невозможно: штамп времени и метаданные покажут реальную дату операции. Корректный путь — подписать документ заново текущей датой, а по документам, которые переподписать нельзя (работник уволился, контрагент ликвидирован), оформить акт о невозможности переподписания и приложить его к делу.
Обязательно ли хранить электронные кадровые документы на материальных носителях?
Правила организации хранения, учёта и использования документов, утверждённые приказом Минкультуры № 526, предписывают хранить электронные документы на обособленных материальных носителях: запись на диски, помещение в контейнеры, шифр на носителе, отдельное помещение с контролем температуры и влажности. Часть организаций трактует это как обязанность вести физический архивный экземпляр параллельно с системой хранения. Зафиксируйте выбранный вариант в положении об архиве, чтобы решение не принималось заново при каждой проверке.
Что делать, если сертификат подписанта отозван, а документы им подписаны?
Проверьте дату внесения в список отзыва и сопоставьте её с датами подписания. Подписи, созданные до отзыва, сохраняют силу, если время подписания доказано штампом времени или ответом службы статуса сертификата. Документы, подписанные после даты отзыва, юридической силы не имеют и переоформляются. Выборку удобно делать по реестру сертификатов работников, если он ведётся.
Как проверить подпись, если система лежит, а документ нужен прямо сейчас?
Возьмите пару файлов из последней выгрузки — документ и файл подписи — и проверьте их независимым средством: криптопровайдером на рабочей станции, консольной утилитой или онлайн-сервисом проверки. Присоединённая подпись проверяется одним файлом, откреплённая требует пары. Результат сохраняйте протоколом с указанием подписанта, серийного номера сертификата, издателя и периода действия.
Нужно ли резервировать журналы событий, если все документы подписываются УКЭП?
Журналы всё равно нужны, но роль у них другая. При усиленной подписи доказательство подписания лежит в файле подписи, а журнал показывает контекст: кто открывал документ, когда он был направлен по маршруту, какие уведомления ушли работнику. В споре об ознакомлении с локальным нормативным актом это часто и есть предмет доказывания.
Что проверить у вендора, чтобы сбой не оставил компанию без системы вообще?
Лицензии на деятельность в области защиты информации: любая система, реализующая хотя бы одну функцию безопасности, требует лицензии на разработку средств защиты. Регуляторы вправе прекратить деятельность организации без лицензии или запретить использование продукта, и тогда потребитель остаётся без поставщика. Отдельно уточните, на какую именно версию продукта выдан сертификат соответствия: сертификат выдаётся на конкретную версию, а не на продукт вообще.
Чем режим локальной установки лучше облака при риске сбоев?
Локальное развёртывание даёт контроль над резервным копированием и сроками восстановления, но переносит ответственность за них на вашу команду: тестирование восстановления, хранение копий подписей, мониторинг становятся вашей зоной. Облако снимает эти работы, но добавляет зависимость от чужого регламента. Выбор определяется тем, есть ли у вас служба, которая регулярно проверяет восстановление из копии, а не только делает копии.
