Проверка СКЗИ по номеру: как проверить легитимность в 2026

Проверка СКЗИ по номеру — это сверка номера сертификата средства криптографической защиты информации с перечнем сертифицированных средств ФСБ России, которая показывает, легитимно ли средство, действует ли его сертификат и можно ли создавать им юридически значимую электронную подпись. Разберём, где взять этот номер, как читать запись в перечне ФСБ, чем номер сертификата отличается от номера лицензии и серийного номера сертификата подписи, и что делать, если средство в перечне не нашлось. Это часть большого материала про проверку электронной подписи, где расписан весь процесс от проверки сертификата до разбора протокола.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Что такое СКЗИ и почему его легитимность вообще проверяют

СКЗИ — средство криптографической защиты информации. Программа или программно-аппаратный комплекс, который считает хэш документа, формирует электронную подпись закрытым ключом, проверяет подпись и шифрует данные по российским ГОСТам. КриптоПро CSP, ВипНет CSP, КриптоАРМ, Signal-COM — всё это СКЗИ. Без него «крипта» не работает: токен хранит ключ, а сами криптографические операции выполняет именно СКЗИ, установленное на машине.

Теперь к сути. Чтобы электронная подпись считалась квалифицированной и приравнивалась к собственноручной по 63-ФЗ (ту самую «тройку» все знают наизусть), для её создания и проверки нужно использовать средство, прошедшее оценку соответствия требованиям ФСБ. Проще — сертифицированное. Если СКЗИ не сертифицировано или его сертификат истёк, формально подпись, сделанная таким средством, уже не вполне УКЭП. И вот здесь начинается. На проверке, в суде, при сдаче в аккредитованный УЦ или при подготовке справки о лицензируемой деятельности у вас спросят: а чем подписывали? И назовут номер сертификата СКЗИ.

Мария Ж, специалист по цифровой подписи и КЭДО:
«Самый частый затык — люди путают сертификат подписи и сертификат на сам СКЗИ. Это разные бумажечки. Серт вашей подписи лежит на токене, а сертификат соответствия средства — это документ ФСБ на программу-крипто. Когда у вас просят «проверить СКЗИ по номеру», речь почти всегда про второе.»

Кому это вообще надо проверять. Госорганам и бизнесу с госучастием — им несертифицированные средства использовать либо не рекомендуется, либо прямо запрещено. Участникам закупок по 44-ФЗ и 223-ФЗ — заказчик должен быть уверен, что решение соответствует требованиям. Операторам ИС, которые подписывают документы обезличенным сертификатом автоматически. И обычным компаниям, которые ведут электронный архив кадровых или финансовых документов и не хотят, чтобы через 5 лет подпись «развалилась». В практике Добыто мы сталкиваемся с этим вопросом на этапе подготовки к проверке ГИТ — кадровик приносит протокол проверки подписи, а там фигурирует номер СКЗИ, и надо доказать, что средство было легальным на дату подписания.

Где зафиксирован номер: сертификат соответствия, формуляр, лицензия

Номеров, по которым «проверяют СКЗИ», на самом деле несколько, и они про разное. Если их не развести, проверка превратится в гадание.

Номер сертификата соответствия ФСБ. Главный номер. Его выдаёт Центр по лицензированию, сертификации и защите государственной тайны (ЦЛСЗ) ФСБ России — головное подразделение, которое организует сертификацию средств защиты. Сертификат подтверждает, что конкретная версия средства прошла оценку соответствия и пригодна для квалифицированной подписи. Срок действия такого сертификата — три года, с возможностью продления до пяти. Например, вся линейка КриптоПро CSP 5.0 — релизы R1, R2, R3 — сертифицирована по классам КС1, КС2, КС3, и сертификаты действуют до 1 мая 2027 года. А на четвёртую версию сертификат действует до 15 января 2026 года — то есть прямо сейчас вопрос её замены стоит ребром.

Формуляр. Документ, который идёт в комплекте с сертифицированным средством. В нём — те самые номера, класс защиты, правила пользования и, что важно, максимальный срок действия ключа подписи, который средство способно обеспечить. Удостоверяющий центр, назначая срок действия сертификата вашей подписи, отталкивается именно от формуляра. Так что формуляр — это не бумажка для архива, а первоисточник, по которому потом сверяют корректность встраивания и эксплуатации.

Мария Ж, судебный эксперт по трудовому праву:
«В суде на меня пару раз выкатывали довод: подпись, мол, сделана СКЗИ без действующего сертификата, значит документ ничтожен. Так вот — формуляр и запись в перечне ФСБ закрывают этот вопрос за минуту. Если на дату подписания сертификат средства действовал, всё в порядке. Поэтому я всем советую сохранять формуляр и фиксировать дату.»

Номер лицензии. Это уже про организацию, а не про продукт. Лицензия ФСБ на работы с шифровальными средствами есть у вендоров и интеграторов. Её тоже можно проверить в реестре лицензий, но к легитимности конкретного экземпляра СКЗИ у вас на компьютере она отношения почти не имеет.

Серийный номер сертификата ключа проверки подписи. Совсем другая история — это номер вашего личного сертификата на токене, видимый в свойствах сертификата. К проверке самого средства не относится, хотя по нему проверяют уже конкретную подпись.

Как проверить СКЗИ по номеру в перечне ФСБ: пошаговый разбор

Единственный источник истины здесь — перечень средств защиты информации, сертифицированных ФСБ России. Он опубликован на сайте ЦЛСЗ ФСБ в разделе «Сертификация» по адресу clsz.fsb.ru. Перечень — это, по сути, текстовый файл (раньше был и вовсе один длинный документ). По каждому сертификату в нём указаны: номер и дата выдачи, дата окончания, наименование средства, выполняемые криптографические функции и алгоритмы, изготовитель.

Логика проверки простая. Берёте номер с сертификата соответствия или из формуляра. Открываете перечень. Ищете запись. Сверяете три вещи: совпадает ли наименование и версия средства, действует ли сертификат на нужную дату, тот ли изготовитель. Всё сошлось — средство легитимно. Что-то не бьётся — повод разбираться.

Нюанс, на котором спотыкаются. Перечень — не самый дружелюбный интерфейс. Это не красивая база с поиском по полям, а текст, по которому вы шарите глазами или через Ctrl+F. Поэтому номер надо вводить ровно так, как он напечатан в документе, без лишних пробелов и с правильной серией. И ещё: средство в перечне может быть указано укрупнённо — семейством версий, а не каждой сборкой по отдельности. КриптоПро, например, лицензируется и сертифицируется целыми линейками, и дистрибутив 5.0 R3 отдельно даже не скачивается — он идёт в составе общего дистрибутива.

Как проверить СКЗИ по номеру сертификата ФСБ: пошаговая инструкция

Мария Ж, соучредитель сервиса КЭДО Добыто:
«Мы при внедрении КЭДО всегда фиксируем, каким средством и какого класса подписываются кадровые документы, и держим под рукой номер сертификата СКЗИ. Это экономит часы, когда приходит запрос. Лучше один раз записать денёк, чем потом перерывать перечень под давлением проверяющего.»

Классы защиты КС1, КС2, КС3 и что они меняют при проверке

Сертификат на СКЗИ выдаётся не «вообще», а по классу защиты. Базовых классов три: КС1, КС2, КС3. Грубо — это про модель нарушителя, от которого средство защищает, и про требования к среде, где оно работает. КС1 — типовой случай, когда нарушитель действует снаружи. КС2 и КС3 — выше, со своими требованиями к рабочему месту, к аппаратно-программным модулям доверенной загрузки и операционной системе.

Почему это важно при проверке легитимности. Одно и то же средство может быть сертифицировано сразу по нескольким классам, и в записи перечня это видно. Если ваша информационная система требует КС2, а вы используете исполнение КС1 — формально средство легитимно, но не подходит под задачу. Это контекстная ошибка, которую при поверхностной проверке легко пропустить: номер в перечне есть, а класс не тот.

Ещё момент про встраивание. Если СКЗИ используется через графический интерфейс — как это делают, наверное, 99% пользователей — никаких дополнительных исследований не нужно. А вот если вы начинаете дёргать его через API: появляются «белые функции» (их можно использовать после оценки влияния среды функционирования) и всё остальное (тут уже нужны полноценные тематические исследования ФСБ, в просторечии «темки»). Для проверяющего это значит, что легитимность средства — это не только живой сертификат, но и правильная эксплуатация по формуляру.

Мария Ж, юрист со стажем более 20 лет:
«Логику в делении на классы искать необязательно — её нужно просто учитывать. Если регулятор или ваша ИС требует КС2, ставьте исполнение КС2, и точка. Серт у вас будет, но если класс не тот, это всё равно затык, который вылезет на проверке.»

Образцы документов и памятки по работе с ЭП и СКЗИ

Признаки нелегитимного или поддельного СКЗИ

Если средства нет в перечне ФСБ или данные не сходятся — это повод не паниковать, а методично разобраться. Отсутствие записи может означать как подделку или нелегальную сборку, так и банальную опечатку в номере либо то, что вы смотрите устаревшую выписку. Сверьте источник: перечень должен быть актуальным, с сайта ЦЛСЗ ФСБ, а не из случайной статьи в интернете. Если документ официально называется «сертификат», а в перечне его нет вообще — тогда стоит обратиться с претензией к тому, кто его выдал.

На что смотреть, чтобы отличить нормальное средство от сомнительного. Первое — изготовитель. В записи указан конкретный производитель; если коробка от КриптоПро, а в перечне под этим номером значится другой вендор — это сигнал. Второе — совпадение версии. Сертификат выдаётся на конкретную версию или линейку, и «КриптоПро CSP» без указания версии — это ещё не доказательство. Третье — срок. Истёкший сертификат не делает средство «поддельным», но создавать им новую квалифицированную подпись уже нельзя.

Мария Ж, специалист по трудовому праву и КЭДО:
«Был случай: компания годами подписывала кадровые документы средством, у которого сертификат тихо истёк. Документы-то остались, но при споре пришлось доказывать действительность подписи через метки времени. Поэтому не ленитесь раз в год сверять, что серт вашего СКЗИ ещё живой — это пять минут и спокойный сон.»

Отдельно про распространённое заблуждение. Встроенная криптография на токене — это не то же самое, что установленный КриптоПро CSP. Аппаратная реализация алгоритмов в чипе токена есть, но для работы через интерфейс CryptoAPI всё равно нужна программная часть — то самое СКЗИ на компьютере, со своим сертификатом и лицензией. Так что наличие «умного» рутокена не отменяет проверки самого средства.

Где СКЗИ участвует в проверке электронной подписи

Когда вы проверяете подпись под документом — на Госуслугах, в КриптоАРМ или через сервис проверки — средство криптографической защиты работает фоном. Оно считает хэш документа заново и сверяет его с тем, что зашит в подписи. Если хэши совпали, документ не меняли после подписания. Дальше проверяется цепочка сертификатов: сертификат лица, сертификат удостоверяющего центра, сертификат вышестоящего и головного УЦ. И отдельно — не попал ли сертификат в список отозванных.

Для долгого хранения этого мало. Сертификат подписи живёт ограниченный срок — сейчас их выдают и на год, и дольше, но кадровые документы хранятся годами, а то и до 50 лет. Чтобы подпись осталась проверяемой после истечения сертификата, в неё добавляют штамп времени и метку о статусе сертификата на момент подписания, а затем архивную метку поверх — это и есть усовершенствованная подпись формата КАДЭС. Здесь снова всплывает легитимность СКЗИ: метки времени и архивное «ухаживание за подписью» имеют смысл только если их ставило сертифицированное средство.

В сервисе Добыто вся цепочка подписей фиксируется с отметками времени — это и есть та защита, которая выручает при проверке ГИТ и в суде, когда нужно показать не только кто подписал, но и чем, и что средство было легально на ту дату. Проверить отдельный документ можно и самостоятельно.

Проверка электронной подписи онлайн — сервис Добыто

Проверка электронной подписи

Загрузите файл подписи или пару файлов для открепленной подписи.
Сервис проверит целостность подписи и покажет сведения о сертификате.

1 Выберите тип подписи:

Для присоединенной подписи нужен один файл. Для открепленной проверки требуются документ и файл подписи.

2 Загрузите документ и подпись:

Документ

Следите за нашими каналами

Никакой воды — только важное и новости первыми.

Канал в MAX Канал в Telegram

Перетащите или выберите файл

Файл подписи

Перетащите или выберите файл

Нажимая кнопку «Проверить подпись», я даю свое согласие на обработку моих персональных данных, в соответствии с Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных», на условиях и для целей, определенных в Согласии на обработку персональных данных.

ОтправитьОтправить

Стоимость перехода на КЭДО с сертифицированной подписью в 2026 году

Прямой «прайс на проверку СКЗИ» не существует — сверка по перечню ФСБ бесплатна. А вот стоимость складывается из другого: лицензии на само сертифицированное средство, токенов и сервиса КЭДО, в котором подпись применяется и фиксируется. Цена зависит от численности штата, выбранного тарифа и набора подключаемых модулей.

Итоговая сумма зависит от того, сколько человек подписывают документы, какой вид подписи нужен под задачу и какие модули вы подключаете — электронный архив, интеграцию с учётной системой, кастомные шаблоны. Сориентироваться точнее помогут актуальные тарифы сервиса Добыто — там разложено, что входит в каждый тариф.

Выводы: как убедиться в легитимности СКЗИ

Легитимность средства криптографической защиты подтверждается одним способом — сверкой номера сертификата соответствия с перечнем сертифицированных средств ФСБ России на сайте ЦЛСЗ. Сертификат ФСБ действует три года с продлением до пяти; КриптоПро CSP 5.0 сертифицирована до 1 мая 2027 года, четвёртая версия — до 15 января 2026 года. Номер сертификата соответствия и формуляр — это документы на само средство, их нельзя путать ни с лицензией организации, ни с серийным номером вашего личного сертификата на токене.

При проверке сверяйте не только сам факт наличия записи, но и три параметра: наименование с версией, изготовителя и дату окончания сертификата на момент подписания документа. Отдельно проверьте класс защиты — КС1, КС2 или КС3 — под требования вашей информационной системы: средство с действующим сертификатом, но не того класса, формально легально, но задаче не соответствует. Фиксируйте дату проверки и сохраняйте формуляр — это снимает большинство вопросов на проверке и в споре.

Для документов, которые хранятся годами, одной разовой проверки мало. Подпись стоит усовершенствовать метками времени и переводить в архивный формат, чтобы она оставалась проверяемой и после истечения сертификата. Чем дальше, тем строже регуляторы относятся к использованию несертифицированных средств, поэтому привычку раз в год сверять статус своего СКЗИ имеет смысл закрепить регламентом.

Часто задаваемые вопросы