Использование электронных подписей: как обеспечить безопасность и соответствие закону

Современный документооборот в деловой практике немыслим без использования электронных подписей (ЭП). С их помощью заключаются договоры, подаются отчётности в контролирующие органы, оформляются кадровые и внутренние документы, ведётся переписка с контрагентами и государственными информационными системами. При этом закон различает подписи разной юридической силы, и ошибка в выборе вида ЭП способна обернуться тем, что документ признают неподписанным или сделку — незаключённой.

Коротко: Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи» устанавливает три вида ЭП — простую, усиленную неквалифицированную и усиленную квалифицированную. Юридическую силу, равную собственноручной подписи на бумаге, безусловно имеет только квалифицированная подпись (ст. 6 Закона № 63-ФЗ); силу двух других видов стороны должны закрепить соглашением или предусмотреть законом. При компрометации ключа подписи сертификат нужно немедленно отозвать через удостоверяющий центр — до отзыва все документы, подписанные этим ключом, формально считаются подписанными владельцем.

Ниже приведён подробный разбор видов электронной подписи, случаев, когда закон требует именно квалифицированную ЭП, порядка проверки подлинности подписи и действий при компрометации ключа, а также организационных мер безопасности и ответственности за нарушение порядка использования ЭП.

Какие виды электронных подписей существуют по закону?

Ключевым нормативным актом в этой сфере остаётся Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи» (далее — Закон № 63-ФЗ). Электронная подпись — это информация в электронной форме, которая присоединена к другой информации в электронной форме (подписываемой информации) или иным образом связана с ней и используется для определения лица, подписывающего информацию (ст. 2 Закона № 63-ФЗ). Статья 5 Закона № 63-ФЗ выделяет три вида ЭП.

Квалифицированной электронной подписью признаётся подпись, которая соответствует всем признакам неквалифицированной и дополнительно отвечает следующим требованиям: ключ проверки указан в квалифицированном сертификате, а для создания и проверки подписи применяются средства, соответствие которых Закону № 63-ФЗ подтверждено в установленном порядке (ч. 4 ст. 5 Закона № 63-ФЗ).

Когда электронная подпись имеет такую же силу, как подпись на бумаге?

Согласно ч. 1 ст. 160 Гражданского кодекса РФ, письменная форма сделки считается соблюдённой в случае совершения сделки с помощью электронных либо иных технических средств, позволяющих воспроизвести на материальном носителе в неизменном виде её содержание, если использован способ, позволяющий достоверно определить лицо, выразившее волю. Договор в электронной форме, заключённый путём обмена документами через электронную почту, иные информационные системы или мессенджеры, признаётся заключённым в письменной форме, если можно достоверно установить, что документ исходит от стороны договора (ст. 434 ГК РФ) — этот вопрос подробно разобран в статье «Когда электронная переписка превращается в полноценный договор».

Практическое правило простое:

• КЭП — юридически значима сама по себе для любого документа, где закон не требует нотариальной формы или бумажного оригинала; именно её требуют для отчётности в ФНС, участия в госзакупках по Закону № 44-ФЗ и Закону № 223-ФЗ, электронного документооборота с судами и государственными информационными системами;
• НЭП — значима, если стороны заранее заключили соглашение об использовании такой подписи (порядок проверки, признание равнозначности) либо это прямо предусмотрено нормативным актом;
• ПЭП — значима только в рамках отношений, где закон или соглашение сторон (например, регламент электронного кабинета, договор с оператором ЭДО) прямо признаёт её равнозначность собственноручной подписи; без такого соглашения документ, подписанный ПЭП, легко оспорить в суде.

Если сторона в суде заявляет, что документ подписан неуполномоченным лицом или с нарушением согласованного порядка использования ЭП, есть риск, что сделку признают недействительной по общим основаниям ст. 166–179 ГК РФ либо документ — неподписанным надлежащим лицом (не создавшим правовых последствий для стороны).

В каких случаях закон требует именно квалифицированную подпись?

Закон № 63-ФЗ и отраслевое законодательство прямо обязывают использовать КЭП в ряде случаев, где риск подделки или спора об авторстве документа особенно высок:

• сдача налоговой и бухгалтерской отчётности в электронной форме через оператора ЭДО;
• участие в электронных торгах и госзакупках по Закону № 44-ФЗ и Закону № 223-ФЗ;
• подача документов через личный кабинет на портале государственных услуг и в информационные системы ФНС, СФР, Росреестра;
• обмен электронными счетами-фактурами и первичными учётными документами между организациями;
• направление документов в суды общей юрисдикции и арбитражные суды через системы подачи документов в электронном виде.

Во внутреннем документообороте компании (кадровые приказы, служебные записки, согласование договоров между сотрудниками) стороны вправе договориться об использовании НЭП или ПЭП, закрепив это локальным актом или соглашением об электронном взаимодействии — таким документом обычно закрепляется и порядок проверки подлинности подписи, о котором ниже.

Как проверить подлинность электронной подписи на документе?

Проверка подлинности КЭП проводится техническими средствами, которые сверяют электронную подпись с сертификатом ключа проверки, выданным аккредитованным удостоверяющим центром, и подтверждают, что: сертификат действителен на момент подписания документа, подпись создана с использованием ключа, соответствующего сертификату, и после подписания в документ не вносились изменения. На практике это делается через:

1. сервис проверки электронной подписи на портале государственных услуг или сайте удостоверяющего центра, выдавшего сертификат;
2. встроенный функционал системы электронного документооборота (оператора ЭДО), через которую документ был подписан и передан контрагенту;
3. криптографическое программное обеспечение (например, КриптоПро CSP), если документ и подпись получены отдельным файлом.

Дополнительно стоит проверить сам сертификат в реестре аккредитованных удостоверяющих центров и в списке отозванных сертификатов — если сертификат на момент подписания уже был отозван или приостановлен, подпись не имеет юридической силы независимо от результата технической проверки.

Как обеспечить безопасность использования электронной подписи?

«Руководство по обеспечению безопасности использования квалифицированной электронной подписи и средств квалифицированной электронной подписи» (утв. Банком России 15.09.2021 № ТРД-57-6-4/2053) информирует владельцев квалифицированных сертификатов о рисках и правилах применения КЭП, а также о мерах безопасности. На практике безопасность использования ЭП складывается из четырёх групп организационных и технических мер.

Что делать при компрометации ключа электронной подписи?

Компрометация — это утрата, кража ключевого носителя, доступ к ключу посторонних лиц или обоснованное подозрение в этом. Пока владелец не обратился за отзывом сертификата, документы, подписанные скомпрометированным ключом, формально считаются подписанными самим владельцем — оспорить их придётся уже после того, как ущерб причинён. Порядок действий такой:

1. немедленно обратиться в удостоверяющий центр, выдавший сертификат (лично, по телефону горячей линии или через личный кабинет), с заявлением об отзыве (аннулировании) сертификата ключа проверки;
2. убедиться, что сертификат внесён в список отозванных, и получить подтверждение отзыва с указанием даты и времени;
3. уведомить контрагентов и оператора электронного документооборота о невозможности использовать документы, подписанные скомпрометированным ключом после установленного момента компрометации;
4. при обнаружении документов, подписанных ключом уже после его утраты, — обратиться с заявлением в полицию (признаки неправомерного доступа к компьютерной информации, ст. 272 УК РФ) и рассмотреть возможность взыскания причинённых убытков (ст. 15, 1064 ГК РФ);
5. оформить новый сертификат в удостоверяющем центре только после устранения причины компрометации (замены скомпрометированного оборудования, смены паролей доступа).

Похожая ситуация — когда сертификат оформлен на человека без его ведома (например, мошенниками по утраченным персональным данным); порядок действий в этом случае подробно разобран в статье «На ваше имя выпустили электронную подпись без ведома: как отозвать сертификат и проверить последствия».

Какая ответственность грозит за нарушение порядка использования электронной подписи?

Ответственность зависит от характера нарушения и наступивших последствий.

• Гражданско-правовая — оспаривание сделки как совершённой неуполномоченным лицом (ст. 166–179 ГК РФ), взыскание убытков, причинённых неправомерным использованием ЭП (ст. 15, 1064 ГК РФ);
• Административная — за разглашение информации с ограниченным доступом, включая данные ключа ЭП, полученные в силу трудовых или служебных обязанностей (ст. 13.14 КоАП РФ);
• Уголовная — за неправомерный доступ к охраняемой законом компьютерной информации, если он повлёк уничтожение, блокирование, модификацию либо копирование информации (ст. 272 УК РФ), а также за иные компьютерные преступления, совершённые с использованием чужой электронной подписи, — состав определяется конкретными действиями и последствиями.

Организация, которая не обеспечила надлежащий режим хранения ключей ЭП сотрудников, рискует не только оспариванием сделок, но и собственной ответственностью перед контрагентами и работниками за убытки, возникшие из-за утечки — вопросы возмещения таких убытков нередко решаются в рамках корпоративных и договорных споров.

Частые вопросы

Можно ли использовать одну квалифицированную подпись сразу нескольким сотрудникам организации?

Нет. Сертификат КЭП выдаётся на конкретное физическое лицо, и передача ключевого носителя другому человеку нарушает порядок использования подписи, лишает организацию возможности достоверно определить, кто подписал документ, и создаёт риск полной утраты доказательной силы всех подписанных этим ключом документов.

Нужно ли нотариально удостоверять документ, подписанный квалифицированной ЭП?

Нет, если закон не требует для такого документа обязательной нотариальной формы (например, для отдельных видов доверенностей и сделок с недвижимостью). Во всех остальных случаях КЭП сама по себе делает документ равнозначным подписанному собственноручно (ч. 1 ст. 6 Закона № 63-ФЗ).

Сколько действует сертификат квалифицированной электронной подписи?

Срок действия указан в самом сертификате и обычно устанавливается удостоверяющим центром в пределах, предусмотренных его регламентом; по истечении срока подпись, поставленная этим сертификатом, юридической силы не имеет, и требуется получение нового сертификата.

Можно ли оспорить документ, подписанный простой электронной подписью, без отдельного соглашения об ЭДО?

Да, и на практике это одна из самых частых причин споров: без предварительного соглашения сторон о порядке использования и признании ПЭП контрагент может заявить, что документ не подтверждает волю стороны и не порождает правовых последствий.

Что делать, если контрагент отказывается признавать документ, подписанный НЭП?

Проверить, было ли между сторонами заключено соглашение о признании такой подписи равнозначной собственноручной (устно, в виде отдельного документа или условия в основном договоре); при наличии такого соглашения отказ контрагента можно оспорить, ссылаясь на ч. 2 ст. 6 Закона № 63-ФЗ, при отсутствии — потребуется иное подтверждение воли стороны (переписка, последующие действия, подтверждающие исполнение).

Краткая сводка: электронная подпись и безопасность её использования

• Закон № 63-ФЗ выделяет три вида ЭП: простую, усиленную неквалифицированную и усиленную квалифицированную (ст. 5 Закона № 63-ФЗ);
• безусловную юридическую силу собственноручной подписи имеет только КЭП; силу ПЭП и НЭП стороны закрепляют соглашением или предусматривает закон (ст. 6 Закона № 63-ФЗ);
• письменная форма сделки в электронном виде соблюдена, если можно достоверно определить лицо, выразившее волю (ст. 160, 434 ГК РФ);
• КЭП обязательна для отчётности в госорганы, участия в закупках по Закону № 44-ФЗ и Закону № 223-ФЗ, электронного взаимодействия с судами и государственными системами;
• подлинность подписи проверяется через сервисы удостоверяющих центров, оператора ЭДО или криптографическое ПО — с обязательной проверкой статуса сертификата в реестре отозванных;
• при компрометации ключа сертификат отзывается немедленно через удостоверяющий центр — до отзыва документы, подписанные ключом, считаются исходящими от его владельца;
• нарушение порядка использования ЭП влечёт гражданско-правовую (ст. 166–179, 15, 1064 ГК РФ), административную (ст. 13.14 КоАП РФ) и уголовную (ст. 272 УК РФ) ответственность.

Таким образом, электронная подпись — инструмент с чёткой правовой рамкой: выбор её вида должен соответствовать значимости документа, порядок использования и признания подписи закрепляется соглашением сторон или локальным регламентом, а сохранность ключа и своевременный отзыв сертификата при компрометации остаются обязанностью самого владельца.

С уважением, адвокат Анатолий Антонов, управляющий партнер адвокатского бюро «Антонов и партнеры».

Адвокатское бюро «Антонов и партнеры» готово оказать юридическую помощь по всем категориям дел в любых регионах России. Эффективно и качественно решаем возникшие у Вас юридические задачи любой сложности.

Получить дополнительную информацию или ознакомиться с нашими услугами по данной теме можно по ссылкам ниже:

• Корпоративные споры
• Абонентское юридическое сопровождение бизнеса
• Взыскание убытков