Что такое электронная подпись, виды ЭЦП

По закону № 63-ФЗ электронная подпись (ЭП) представляет собой набор криптографических данных, который привязывает конкретного человека к подписанному файлу и гарантирует, что после подписания файл никто не менял. В 2026 году ЭП превратилась в обязательную инфраструктуру для бизнеса. Она нужна для подписания отчетности в ФНС и СФР, регистрации компаний, торгов по 44-ФЗ и 223-ФЗ, заключения договоров через ЭДО, работы с Росреестром и Госуслугами. Без ЭП организация фактически выпадает из электронного контура взаимодействия с государством и контрагентами. Разберем, что такое ЭЦП, как сделать электронную подпись и как ее использовать.

Главное преимущество — математическая защищенность. Подделать рукописный росчерк опытный графолог сможет за полчаса; подделать криптографический отпечаток с актуальными алгоритмами по ГОСТ — задача за пределами возможностей даже специализированных лабораторий. Подпись привязана к содержимому файла, и изменение хотя бы одного символа в подписанном документе делает ее недействительной, и любой проверяющий сервис это сразу видит.

Второй плюс — отсутствие географических ограничений. Бумажный договор между сторонами из Владивостока и Калининграда требует курьерской доставки и зеркальных встречных подписей. Электронный отправляется за секунды и мгновенно вступает в силу. 

Третий — встроенная метка времени. Каждая подпись фиксирует точный момент проставления, что в спорных ситуациях решает вопрос хронологии без свидетелей и нотариусов. Наконец, ЭП удобней в массовом применении, поскольку договор на 50 страниц подписывается одним кликом, а не пятьюдесятью отдельными росчерками.

Российский закон различает три типа ЭЦП: 

• простую (ПЭП);

• неквалифицированную (НЭП);

• квалифицированную (КЭП). 

Различаются они уровнем защищенности, областью применения и тем, нужно ли заключать отдельное соглашение между сторонами для признания подписи юридически значимой. Это иерархия от самого простого инструмента к самому защищенному: ПЭП — пароль или СМС-код, НЭП — уже криптография, но без аккредитации, КЭП — полноценный «электронный паспорт» с государственной гарантией. 

Простая электронная подпись

Простая ЭП — это любой механизм, по которому система понимает, что действие выполнил конкретный пользователь. Это может быть связка логина и пароля, СМС-код, push-уведомление, проверочный код на электронную почту. Среди примеров — вход в личный кабинет банка, подтверждение операции на маркетплейсе, оформление заказа в службе доставки.

Юридической силы у такой ЭЦП самой по себе нет. Чтобы документ, подписанный ПЭП, признавался в суде, между сторонами должно быть отдельное соглашение, где описан порядок идентификации. Бизнес использует ПЭП во внутренних сервисах, например, корпоративных мессенджерах, системах согласования, кадровом ЭДО для незначимых процедур. Но подать через ПЭП отчет в ФНС или подписать контракт по 44-ФЗ невозможно.

Неквалифицированная электронная подпись

НЭП — следующая ступень. В процессе формирования генерируются открытый и закрытый ключи, документ хешируется, математически проверяется. Однако сертификат для НЭП выдает необязательно аккредитованный удостоверяющий центр — это может быть любой УЦ или даже корпоративный сервис.

Сценарии применения:

• внутренний документооборот компании;

• обмен документами с проверенными партнерами по предварительному соглашению;

• отдельные виды кадровых документов с согласия сотрудника. 

Юридическая сила у НЭП появляется только, когда стороны письменно договорились о ее признании. Если такого соглашения нет, документ, подписанный НЭП, в суде придется доказывать как обычное письменное доказательство — без презумпции подлинности.

Квалифицированная электронная подпись

КЭП (она же УКЭП — усиленная квалифицированная электронная подпись) —  выпускается только удостоверяющими центрами, аккредитованными Минцифры, и автоматически признается юридически значимой в любых отношениях — с государством, с контрагентами, в судах. Никаких дополнительных соглашений между сторонами не требуется.

Состав сертификата КЭП регулируется приказом ФСБ № 795. В нем прописаны ФИО владельца, ИНН, СНИЛС, должность (если ЭЦП юрлица), серийный номер, срок действия, наименование УЦ и применяемые криптоалгоритмы. СНИЛС используется для уникальной идентификации в государственных информационных системах — на Госуслугах, в ЕГРЮЛ, в ЕИС закупок. Именно эта подпись необходима для отчетности в налоговую, участия в торгах, регистрации онлайн-кассы, работы с Росреестром, подписания трудовых договоров через ЭДО.

С 1 апреля 2026 года для КЭП в части отчетности ФНС введены новые требования к криптоалгоритмам и носителям ключей. Если сертификат записан на устаревший рутокен или другой носитель, не поддерживающий обновленные ГОСТ-алгоритмы, расшифровать входящие требования от налоговой не получится. Поэтому перед стартом нового отчетного периода стоит проверить не только срок действия сертификата, но и совместимость носителя.

Способ получения зависит от того, кто будет владельцем ЭЦП. У руководителей юридических лиц и индивидуальных предпринимателей маршрут один — удостоверяющий центр ФНС, причем получение КЭП здесь бесплатное. Запись на прием оформляется на сайте налоговой, с собой нужно принести паспорт, СНИЛС, ИНН и сертифицированный носитель ключа (рутокен или JaCarta — продаются отдельно у аккредитованных производителей). Сам процесс занимает 15–20 минут, готовый сертификат записывается на ваш носитель сразу.

Сотрудникам организации сертификат КЭП на юрлицо больше не выдают. С 1 сентября 2024 года действует только связка «личная КЭП сотрудника + машиночитаемая доверенность (МЧД)». Подпись физлица сотрудник получает в любом коммерческом аккредитованном УЦ, а МЧД оформляет работодатель — она регистрируется в реестре ФНС и связывает конкретного сотрудника с конкретными полномочиями. С 1 февраля 2026 года в МЧД недостаточно указать только идентификатор полномочия — теперь обязательно прописывать его наименование. 

Формат МЧД 003 (EMCHD), рекомендованный Минцифры, принят повсеместно.

Физические лица оформляют КЭП в коммерческих УЦ — выбор широк, от крупных федеральных операторов до региональных центров. Стоимость для физлица обычно составляет 1 000–2 000 рублей в год без учета носителя.

Если вы получили подписанный документ от стороннего отправителя, есть способы убедиться, что подпись действительна, файл не изменялся, а владелец действительно тот, за кого себя выдает. Доступно несколько сервисов:

• Портал Госуслуг

В разделе «Проверка ЭП» загружаете подписанный файл (если подпись присоединенная) или два файла — документ и отдельный файл (если подпись открепленная). Сервис покажет результат за несколько секунд: действительна ли подпись, не поврежден ли файл, какие данные указаны в сертификате, кто выдавший УЦ и до какой даты сертификат действует.

• Сервисы КриптоАРМ, КриптоПро DSS, Добыто Подпись

Последний работает в браузере без установки криптопровайдера, поддерживает оба типа ЭЦП и более 100 форматов файлов, а с 1 марта 2026 года добавил визуальный штамп подписи в PDF. Для регулярной работы с десятками документов в день удобнее установить КриптоПро CSP с плагином. Он встраивается в Word и Adobe Reader, и проверка делается из контекстного меню.

Прежде чем загружать файл в проверочный сервис, нужно разобраться, с каким форматом вы имеете дело — от этого зависит, какие файлы загружать.  Присоединенная подпись зашита внутрь самого файла, то есть вы открываете подписанный документ — и ЭЦП уже там. Открепленная хранится отдельным файлом с расширением .sig или .sgn, и для проверки ее нужно загружать вместе с исходным документом. Сервисы проверки поддерживают оба варианта, но интерфейс загрузки у них отличается.

В результатах проверки отображается:

• ФИО владельца;

• организация-выпустивший УЦ;

• серийный номер сертификата;

• период действия;

• актуальность отзыва (нет ли сертификата в списке отозванных);

• целостность файла. 

Если хотя бы один параметр выходит за допустимые границы, документу нельзя доверять.

Юридически — нет, технически — крайне нежелательно. ЭП привязана к личности владельца, и все действия, совершенные с ее помощью, считаются действиями этого человека. Если вы передали рутокен главбуху, а тот отправил от вашего имени декларацию с ошибками, объяснять налоговой, что подписывали не вы, бесполезно — закон такую защиту не предусматривает. Для случаев, когда подписывать документ должен другой сотрудник, существует механизм МЧД. В данном случае он получает свою личную подпись и доверенность с конкретным перечнем разрешенных действий.

Стандартный срок жизни сертификата КЭП — 12 месяцев с даты выпуска. Некоторые УЦ выдают сертификаты на 15 месяцев, для физлиц можно найти годовые тарифы с возможностью продления без визита в офис. После окончания срока ЭП формировать нельзя. Сертификат с истекшим сроком юридически ничтожен.

Помимо срока сертификата нужно контролировать сроки криптоалгоритмов и носителей. Старые «подписи сотрудников» на юрлицо окончательно теряют силу 31 августа 2026 года — продлевать их нельзя, остается только переход на новую модель с МЧД. Рутокены и другие носители имеют физический срок службы (около 3–5 лет) и постепенно теряют поддержку новыми криптоалгоритмами.

Это та же ситуация, что и утрата паспорта или печати. Ваш ключ может оказаться в руках посторонних, и нужно как можно быстрее обнулить риски. Нужно сразу  связаться с выпустившим УЦ и подать заявление об отзыве сертификата. С момента отзыва ваша ЭЦП становится недействительной для всех новых документов; в реестрах УЦ появляется отметка об отзыве, которую видят все сервисы проверки. Если есть подозрение, что подпись могла быть использована мошенниками, дополнительно подается заявление в полицию.

После отзыва нужно оформить новый сертификат. Если речь о КЭП руководителя — повторная запись в УЦ ФНС, новый носитель, заявление на выпуск. Если о подписи сотрудника — новая личная КЭП в коммерческом УЦ. В обоих случаях процедура аналогична первичному выпуску, никаких упрощенных режимов «потерял — восстановил» нет. Новая ЭЦП — это всегда новый сертификат с новыми ключами.

Если вместе с подписью утеряна и МЧД сотрудника, ее тоже нужно отозвать в реестре ФНС со стороны организации и затем оформить новую. До оформления новой связки «подпись + МЧД» сотрудник не может действовать от имени компании в электронных системах.

Получить консультацию