Электронная подпись и 63-ФЗ: виды ЭП, КЭП, как получить

Электронная подпись — это информация в электронной форме, которая присоединена к электронному документу или иным образом связана с ним и используется для определения лица, подписавшего документ. Определение закреплено в статье 2 Федерального закона от 06.04.2011 №63-ФЗ «Об электронной подписи» — базового нормативного акта, который регулирует применение ЭП при гражданско-правовых сделках, оказании государственных и муниципальных услуг и других юридически значимых действиях.

63-ФЗ принят взамен более раннего закона «Об электронной цифровой подписи» 2002 года (№1-ФЗ, утратил силу). С момента принятия закон правится часто и по частям: только за последние годы в него вносили крупные поправки о машиночитаемой доверенности (2019 год, раздел ниже), о требованиях к аккредитации удостоверяющих центров и, в 2025 году, — о включении госорганов в состав участников электронного взаимодействия (Федеральный закон от 21.04.2025 №94-ФЗ, действует с 01.09.2025).

Закон 63-ФЗ выделяет три вида электронной подписи: простую (ПЭП), усиленную неквалифицированную (НЭП) и усиленную квалифицированную (КЭП) — формально статья 5 закона говорит о «простой» и «усиленной» подписи, а усиленную делит на неквалифицированную и квалифицированную, но трёхчастная структура ПЭП/НЭП/КЭП используется и рынком ЭДО, и самим текстом закона повсеместно.

Сравнение трёх видов ЭП по ключевым параметрам:

↔ таблицу можно прокрутить вбок

Ключ проверки квалифицированной электронной подписи указывается в квалифицированном сертификате, без которого подпись физически не может считаться квалифицированной — сертификат выдаёт аккредитованный удостоверяющий центр (УЦ), его доверенное лицо либо, для отдельных категорий заявителей, государственный удостоверяющий центр. С 1 января 2022 года выдача КЭП централизована по категориям заявителей между государственными и коммерческими удостоверяющими центрами — до этой даты почти все категории заявителей обслуживали коммерческие УЦ.

↔ таблицу можно прокрутить вбок

После ужесточения требований к капиталу удостоверяющих центров (ниже) число аккредитованных коммерческих УЦ в реестре Минцифры сократилось многократно по сравнению с периодом до реформы. Точное число на конкретную дату стоит смотреть напрямую в реестре аккредитованных УЦ на digital.gov.ru — эта цифра быстро меняется, и приводить её без прямой сверки нецелесообразно.

Требования к минимальному размеру собственных средств (капитала) коммерческого удостоверяющего центра выросли на порядок по сравнению с периодом до реформы 476-ФЗ — теперь порог исчисляется миллиардами рублей, а не единицами миллионов, как было раньше. Аккредитация УЦ подтверждается на срок 3 года, решение принимает Минцифры России совместно с правительственной комиссией.

Точную формулировку порога по статье 16 закона стоит сверять по первоисточнику перед использованием в конкретном проекте — в открытых источниках она расходится.

Конкретный российский УЦ, токен или программно-аппаратный комплекс под задачу PKI-инфраструктуры компании разобран на странице «Российские PKI и средства электронной подписи». Эта статья ограничивается разбором закона и порядка получения ЭП, без сравнения вендоров.

Машиночитаемая доверенность (МЧД) — доверенность в электронном формате XML, которой руководитель организации наделяет сотрудника или иное лицо правом подписывать документы от имени организации его личной квалифицированной электронной подписью физического лица. Правовая основа закреплена Федеральным законом от 27.12.2019 №476-ФЗ, конкретный механизм — в статьях 17.2–17.3 закона 63-ФЗ.

↔ таблицу можно прокрутить вбок

Приказ ФСБ России от 27.12.2011 №796 «Об утверждении Требований к средствам электронной подписи и Требований к средствам удостоверяющего центра» — нормативная основа того, что для создания и проверки квалифицированной электронной подписи допускаются только сертифицированные ФСБ России криптографические средства. Приказ зарегистрирован в Минюсте России 09.02.2012 №23191, действует до 1 января 2027 года; сведений о продлении или замене на дату публикации этого материала не найдено.

Средства ЭП, сертифицированные по приказу №796, получают один из классов криптографической защиты — КС1, КС2, КС3, КВ1, КВ2 или КА1: чем выше класс, тем от более сильного потенциального нарушителя защищает средство. Это тот же классификатор, что применяется для средств криптографической защиты информации (СКЗИ) в целом, а не специфичный только для электронной подписи — подробный разбор классов и требований к СКЗИ дан на странице «СКЗИ и классы криптографической защиты».

На практике это означает: не любое криптографическое ПО подходит для создания КЭП — юридически значимой является только подпись, созданная сертифицированным средством, указанным в квалифицированном сертификате. Поэтому КЭП физически выпускается на защищённом носителе (токене) или в сертифицированном облачном либо мобильном сервисе, например в «Госключе», а не в произвольном криптографическом приложении.

Технически создание подписи всегда включает хеширование документа: подписывается не файл целиком, а его хеш по ГОСТ Р 34.11-2012 «Стрибог» — это на порядки быстрее и не меняет юридическую силу подписи, поскольку любое изменение документа меняет и его хеш.

Порядок получения КЭП в общих чертах одинаков для всех категорий заявителей — обращение в удостоверяющий центр по своей категории, идентификация личности, выпуск сертификата на защищённом носителе или в приложении, — но конкретный УЦ и детали процедуры различаются для юрлица, ИП, госслужащего и физического лица.

Для выпуска сертификата на токене обычно требуется сертифицированный защищённый носитель. Конкретные модели и производителей, включая российские PKI-решения и токены, стоит сверять на странице «Российские PKI и средства электронной подписи». Организациям, которым нужно защищённое хранение ключей самого удостоверяющего центра или крупной инфраструктуры, пригодится страница класса HSM.

Вид электронной подписи, а не сам факт её наличия, определяет, где документ можно использовать — от входа в личный кабинет, для которого достаточно простой подписи, до сделок с недвижимостью и участия в госзакупках, где годится только КЭП.

Идентификация заявителя при выпуске КЭП — паспортные данные, СНИЛС, в отдельных сценариях биометрия — пересекается с темой обработки персональных данных; краткий разбор этого пересечения — на странице «Персональные данные». Отдельная смежная тема — лицензирование деятельности по технической защите информации и работе с криптографией, которую ведут удостоверяющие центры и операторы СКЗИ, — разобрана на странице «Лицензии ФСТЭК и ФСБ».