ФЗ № 63: что необходимо знать об электронной цифровой подписи

ФЗ №63 внёс корректировки к ФЗ №1, регулирующий использование электронной цифровой подписи (далее - ЭЦП). По новому законодательству стандартное сокращение ЭЦП теперь является устаревшим и не подходит для новой терминологии. Таким образом, понятие ЭЦП потеряло свою актуальность с начала 2014 года, с момента вступления в силу ФЗ №63, но, несмотря на это, он пользуется широкой популярностью, так же как ЭП, ЦП и т.п.

Принятый закон, так же как и предыдущая версия регулирует взаимоотношения между ИП, юридическими и физическими лицами, использующими в работе ЭДО вместо бумажной. Закон регулирует область гражданских правоотношений в области предоставления государственных услуг и иных юридических процедур. Главная задача закона об ЭЦП, заключается в выполнении определённых условий ЭДО будет обладать юридической силой, аналогичной бумажным документам.

ФЗ № 63 об электронной подписи: обзор

Закон четко определяет порядок производства и использования ЭЦП. Документ затрагивает всех участников ЭДО, начиная от государственных органов надзора и удостоверяющих центров (далее  - УЦ) и заканчивая клиентами, заверяющими документы ЭЦП. Соблюдение законных предписаний обеспечит всем участникам ЭДО безопасность, целостность и неизменность пересылаемых документов. 

ЭЦП формируется на базе алгоритмов криптографического шифрования, поэтому её подделка просто невозможна (никакие третьи лица не смогут вносить изменения или правки в подписанный документ).

Состав закона

Закон включает в себя нормативно-правовые статьи, которые поделены на 6 групп:

1. Статья 1–4, 6,7, 10 знакомит с возможностями использования ЭЦП, обязанностями участников ЭДО и терминологией.

2. Статья 5 рассказывает о типах и особенностях ЭЦП.

3. Статьи 9 и 11 описывают принципы эксплуатации как простых, так и квалифицированных ЭЦП.

4. Статьи 13, 15 и 16 затрагивают УЦ, порядок их аккредитации, права, обязательства и т.п.

5. В статьях 12, 14 и 17 обозначены инструменты для формирования и проверки ЭЦП.

6. Статья 18 описывает порядок создания и предоставления ЭЦП.

В статьях 19 и 20 приведены заключительные положения, которые определяют дату вступления НПА в юридическую силу.   

Типы и сферы использования ЭЦП в соответствии с Российским законом

ФЗ №63 определяет два типа ЭЦП – простую (ПЭЦП) и усиленную. Усиленная в свою очередь делится на квалифицированную (КЭЦП) и неквалифицированную (НЭЦП).   

ПЭЦП генерируется без применения криптографического шифрования или паролей. Как пример, можно взять одноразовый СМС-код, который поступает к пользователю для авторизации на сайте, а также пароль к почте. Для пересылки юридических документов такая подпись не подходит, так как с лёгкостью может быть скомпрометирована. ПЭЦП подходит только для:

• Внутреннего и внешнего оборота документов, но только в случае, если между контрагентами заключено доп.соглашение.

• Получение физ.лицами услуг на сайте ЕСИА.

• Дистанционная интеграция с арбитражным судом.

НЭЦП, в отличие от ПЭЦП, не только позволяет подтвердить авторство, но и определяет, изменялся ли документ после подписания. НЭЦП можно приобрести в любом УЦ, даже в неаккредитованном. Данная подпись на сегодняшний день не особо актуальна, но до сих пор используется в некоторых компаниях для ЭДО с другими организациями и физ. лицами. Главное условие заключается в том, чтобы обе стороны были согласны на признание юридической силы ЭЦП. КЭП, как и НЭП, формируется через алгоритмы криптографического шифрования и имеет такие особенности:

• Генерируется только в УЦ, которые были аккредитованы министерством коммуникации и связи.

• Для законного использования КЭЦП необходим криптопровайдер, который был сертифицирован ФСБ.

В таком случае, сертификат обеспечит юридическую значимость документов без дополнительных соглашений  в соответствии с ФЗ №63, и подходит для всех сфер деятельности:

• Корпоративный оборот документов.

• Участие в электронных торгах, аукционах и тендерах и т.п.

• Передача запросов и отчётов в ИФНС, ПФР и остальные государственные учреждения.

• Взаимодействие с такими государственными реестрами как: Росреестр, ГИС ЖКХ, Центробанк, СМЭВ и т.п.

• Регистрация ККМ, а также подписание договоров с ОФД.

Электронные документы, подписанные КЭЦП, обладают такой же юридической силой, как и подписи, поставленные вручную.

Средства ЭЦП по ФЗ №63

ЭЦП – представляет собой не просто атрибут к документу, но целый ряд криптографических процессов. Получатель увидит только наличие ЭЦП в свойствах документа, а не саму подпись. Некоторые программные модули и приложения дают возможность проставлять на файле знак «Документ подписан ЭП». На штампе будут обозначены ФИО отправителя, а также номер и срок действия ЭЦП. 

Средства для создания ЭЦП

КЭЦП не может быть сгенерирована самостоятельно. В законе об ЭЦП чётко прописан набор специализированных инструментов для её создания:

1. Закрытый ключ — представляет собой очерёдность символов, которая создаётся самой ЭЦП. Также через данный инструмент пользователь может расшифровать документ, который отправитель может зашифровать  публичным ключом. 

2. Открытый ключ — это случайный набор символов представленый в свободном доступе для всех участников ЭДО. Ключ предназначен для кодирования пакета данных и осуществления проверки подлинности документов.

3. Сертификат открытого ключа для проверки ЭЦП. Данный документ подтверждает причастность публичного ключа к конкретному лицу, связывая числовую последовательность с собственником. СКПЭП предоставляется в электронном либо бумажном виде. В процессе ЭДО он в автоматическом режиме пересылается адресату совместно с заверенными файлами.

Все сертификаты и ключи могут быть пересланы пользователю на электронную почту, либо записаны на обычную флешку. Оба этих способа совершенно бесплатны, но при этом имеют достаточно низкую безопасность. Для полноценной защиты и сохранения данных лучше купить в удостоверяющем центре специализированный носитель (токен) и записать на него средства для ЭЦП.

USB-токены позволяют повысить защиту ключа, благодаря двухфакторной идентификации. Так пользователю необходимо внести пароль для аппаратного носителя и только после этого можно будет воспользоваться записанными на него ключами.

Если на носителе не предусмотрено встроенного криптопровайдера, то пользователю требуется дополнительно купить подходящее ПО и инсталлировать его на рабочее место. Большая часть торговых площадок и государственных систем интегрируются с программой КриптоПро CSP. Так как без криптозащиты, использование ключей и создания ЭЦП невозможно.

Порядок использования

Процедура подписи и кодировки сведений выглядит таким образом:

1. Держатель сертификата заверяет документ при помощи плагина, который «вшит» в редактор или через внешнюю программу. В процессе формирования ЭЦП участвует закрытый ключ.

2. В случае необходимости подписант кодирует документ, применяя при этом сертификат открытого ключа (его требуется предварительно взять у получателя и скачать на рабочее место).

3. Адресат получает документ и расшифровывает через секретный ключ.

В соответствии с ФЗ №63, через одно обращение к сертификату можно сразу подписать пакет соединённых между собой документов. Каждый из которых входит в общий пакет и будет в автоматическом режиме заверен выбранной ЭЦП. Также имеется возможность выбора формата КЭЦП:

• Отсоединенная (пересылается в отдельном документе).

• Присоединенная (присоединяется к документу).

Законные способы получения ЭЦП

Во второй половине 2020 года юридическую силу получили некоторые поправки принятые к ФЗ №63. Теперь приобретатели КЭЦП, могут получить подпись и сертификат только лично.

Принцип оформления КЭЦП

Для получения КЭЦП заявителю, необходимо предварительно подтвердить свою личность одним из следующих способов:

• Личное посещение удостоверяющего центра.

• Дистанционное оформление при помощи действующего сертификата КЭЦП.

• Предоставление биометрических сведений из заграничного паспорта либо ЕБС.

Для получения простой ЭЦП подтверждения личности не требуется, так как она не подходит для пересылки конфиденциальной информации. Подпись можно получить не только лично, но и через уполномоченное лицо.

Для представителей юр. лиц, оформляющих на себя СКПЭП, предусмотрены доп. условия:

1. Сотрудникам компании необходимо идентифицировать себя лично в офисе и предоставить заверенную нотариусом доверенность на получение сертификата от руководителя.

2. Руководитель имеет право на получение КЭЦП для себя и для персонала, к примеру, для специалистов, которые отвечают за участие в торгах.

Во второй ситуации сотруднику требуется подписать заявку на производство СКПЭП.

ФЗ №476 внёс значительные коррективы в ФЗ №63. Уже в 2022 году в юридическую силу вступят поправки, которые коснутся почти всех участников ЭДО.

От компаний подписи могут получать только руководители. Другие сотрудники должны обращаться в удостоверяющий центр только как физ. лица и получать подписи для осуществления своих функций (к примеру, для пересылки договоров и бухгалтерской документации).

Организации могут заказывать обезличенную ЭЦП, которой они будут подписывать техническую документацию.

Какие сведения требуется предоставлять

Перед тем как выпустить КЭЦП для физлица, УЦ необходимо осуществить проверку таких данных, как:

• ФИО.

• Дату рождения.

• Данные паспорта.

• ИНН.

• СНИЛС.

В отношении юридических лиц осуществляется проверка таких сведений, как:

• Наименование.

• Организационно-правовая форма.

• ИНН.

• Юридический адрес.

• ОГРН (ОГРНИП).

Какие обязанности по закону об ЭЦП осуществляют УЦ

В соответствии с законодательством, сертификаты должны предоставляться УЦ. После того как сведения будут подтверждены, а  оплата внесена, клиенту предоставляются программные и аппаратные средства.

Для выпуска КЭЦП удостоверяющий центр должен предварительно пройти гос. аккредитацию в министерстве коммуникаций и связи. Полный перечень аккредитованных УЦ можно найти на сайте министерства цифрового развития связи и массовых коммуникаций Российской Федерации.    

Помимо выпуска СКПЭП, УЦ осуществляют такие обязанности, как:

• Выставляют срок действия сертификатов.

• Аннулирую предоставленные ранее ключи.

• Осуществляют выпуск новых ЭЦП при потере либо поломке.

• Занимаются ведением выпущенных и аннулированных подписей.  

• Производят ревизию СКПЭП по требованию клиентов, государственных органов и т.п.

• Оповещают держателей о правилах и порядке использования ЭЦП.

• Гарантируют защиту данных о закрытых ключах.

Неисполнение обязательств влечёт за собой наложение штрафных санкций и потерю статуса аккредитованного УЦ.

Последние принятые поправки сделали требования к УЦ более жесткими, и не каждая организация может им соответствовать. Поэтому уже в будущем году их количество может значительно сократиться.     

Начиная с 2021 года, УЦ кроме аккредитации обязан получить лицензию на разработку и реализацию средств криптографической защиты.

Среди основных плюсов можно выделить право УЦ записывать и использовать ключи по поручению держателя. Данная поправка вступит в юридическую силу с будущего года. Это значит, что пользователи смогут перепоручать заверение документации УЦ, что избавляет пользователя от потребности настраивать ПК и инсталлировать дополнительное ПО.

В соответствии с поправками к ФЗ №476, начиная с 2022 года, сертификаты для держателей будут выдавать только новые УЦ от ФНС. Центры, получившие аккредитацию до того как поправки были приняты, смогут предоставлять сертификаты до окончания срока аккредитации.