УКЭП разных удостоверяющих центров отличаются друг от друга владельцем сертификата, способом идентификации, носителем ключа и набором областей применения. Юридическая сила при этом у всех вариантов одинаковая, а вот условия выдачи расходятся заметно: один УЦ отдаёт сертификат бесплатно за две минуты со смартфона, другой просит личную явку и от 2 000 руб. в год на сотрудника. Разберём, кто и какие УКЭП выдаёт в 2026 году, чем сертификат физлица отличается от сертификата руководителя и обезличенного, зачем к нему МЧД, и какой вариант закрывает кадровые документы работодателя без замечаний со стороны ГИТ.
Почему сертификаты УКЭП у разных удостоверяющих центров отличаются
Квалифицированная электронная подпись описана в 63-ФЗ одним набором требований: сертифицированные ФСБ средства криптографии, аккредитованный удостоверяющий центр, квалифицированный сертификат. Но внутри этой рамки УЦ собирают разные продукты. Отличия укладываются в пять слоёв, и именно они определяют, подойдёт сертификат под вашу задачу или нет.
- Владелец сертификата. Физлицо, руководитель юрлица или ИП, должностное лицо госоргана, обезличенный сертификат организации.
- Кто выдал. Коммерческий аккредитованный УЦ, УЦ ФНС России и его доверенные лица, УЦ Федерального Казначейства, УЦ в инфраструктуре электронного правительства через Госключ.
- Способ идентификации. Личная явка, загранпаспорт нового образца с чипом по NFC, биометрия ЕБС, действующий сертификат УКЭП.
- Носитель ключа и СКЗИ. USB-токен плюс лицензия крипто-провайдера, ключ на борту смартфона, ключ на стороне УЦ.
- Срок и плата. От 12 месяцев бесплатно до платного выпуска с ежегодным продлением.
Практический вывод для кадровика простой: перед выпуском подписи нужно решить, от чьего имени человек подписывает документ. Если от себя как от работника, подойдёт сертификат физлица. Если от имени компании, к сертификату физлица потребуется машиночитаемая доверенность, либо сертификат руководителя. Заявку на выпуск оформляют по типовой форме, и удобнее взять готовый бланк заявления на выпуск КЭП: в нём уже разложены поля под реквизиты владельца, вид носителя и области применения, которые УЦ всё равно запросит.
Когда сертификат получает не сам владелец, а сотрудник кадровой службы или внедренец, УЦ потребует подтверждение полномочий. Здесь работает доверенность на получение сертификата электронной подписи — её подписывает руководитель, а представитель приходит с ней и паспортом. Без такой доверенности УЦ выдаст носитель только владельцу лично.
Юлия К, специалист по ЭЦП и электронному документообороту:
«Первое, что я смотрю, когда клиент присылает мне серт и спрашивает, почему он не подходит — поле Издатель. По нему сразу видно происхождение подписи: УЦ ФНС, Казначейство, коммерческий УЦ или обезличка на организацию. Половина вопросов снимается на этом шаге, вторая половина — когда доходим до владельца и МЧД.»
Кто выдаёт УКЭП в 2026 году: четыре типа удостоверяющих центров
Рынок УКЭП разложился на четыре канала выдачи, и у каждого своя аудитория. УЦ ФНС России обслуживает руководителей юрлиц и индивидуальных предпринимателей, к нему же относятся доверенные лица, которые принимают заявителей вместо самой инспекции. УЦ Федерального Казначейства выдаёт сертификаты должностным лицам государственных органов — для КЭДО этот канал уже реализован в МФЦ Ярославской области и в Единой информационной системе управления кадровым составом государственной службы, которую используют 13 федеральных органов. Коммерческие аккредитованные УЦ работают с физлицами и сотрудниками компаний. И отдельный канал — выпуск сертификата через мобильное приложение Госключ, где УЦ стоит за приложением, а пользователь взаимодействует только с интерфейсом.
Ниже собраны отличия по параметрам, из-за которых читатели чаще всего путаются при выборе.
| Вид УКЭП | Владелец сертификата | Кто выдаёт | Способы идентификации | Плата |
|---|---|---|---|---|
| УКЭП ЮЛ и ИП | Руководитель организации, индивидуальный предприниматель | УЦ ФНС России | Очно в территориальном органе ФНС России | Бесплатно при выпуске через Госключ |
| УКЭП ФЛ | Гражданин РФ | УЦ в инфраструктуре электронного правительства | Загранпаспорт нового образца с чипом по NFC, подтверждённая или стандартная биометрия ЕБС, действующий сертификат УКЭП, очно в банке или МФЦ | Бесплатно |
| УКЭП ДЛ | Должностное лицо государственного органа | УЦ Федерального Казначейства | Действующий сертификат УЦ Казначейства, очно в ТОФК после одобрения запроса на портале Казначейства | Бесплатно при выпуске через Госключ |
| УКЭП коммерческого УЦ | Работник или руководитель | Аккредитованный удостоверяющий центр | Личная явка в офис УЦ | От 2 до 5 тыс. руб. в год на сотрудника |
Разброс по идентификации объясняет, почему у одного УЦ сертификат готов за минуты, а у другого процесс растягивается на дни. Для удалённых сотрудников и массового подбора решает именно этот столбец: очная явка 2 500 человек в офис УЦ растягивает сроки трудоустройства на месяцы.
ℹ️ Полезно знать: УКЭП в инфраструктуре электронного правительства доступна только гражданам РФ. Иностранные работники получают УНЭП ИЭП, если у них подтверждённая учётная запись на Госуслугах и в личном кабинете указан СНИЛС.
Образцы заявлений и соглашений для работы с сертификатами УКЭП
Выпуск, отзыв и применение подписи в кадровом контуре сопровождают четыре документа: без них УЦ не примет заявку, а ГИТ не увидит основания для электронного обмена с работником.
Открыть список документов
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных для выпуска сертификата | Скачать |
| Заявление на аннулирование квалифицированного сертификата | Скачать |
| Соглашение с работником о применении ПЭП и НЭП | Скачать |
| Положение о ведении кадрового электронного документооборота | Скачать |
Согласие на обработку данных подписывают до подачи заявки в УЦ, соглашение о применении подписей — до первой отправки документа работнику, а заявление на аннулирование держат наготове на случай смены сотрудника или утери носителя.
Сертификат физлица, сертификат руководителя и обезличенный сертификат
Сертификат физического лица содержит ФИО и СНИЛС владельца, но не содержит реквизитов организации. Такой подписью работник закрывает свои кадровые документы — трудовой договор, допник, заявление на увольнение. Для действий от имени компании к нему нужна машиночитаемая доверенность: МЧД связывает физлицо с юрлицом и описывает объём полномочий. Сертификат руководителя от УЦ ФНС России содержит реквизиты организации сразу, поэтому гендиру доверенность не требуется.
Отдельная история — обезличенный сертификат. Порядок его получения в ФНС России опирается на часть 3 статьи 14 и подпункт 5 части 1 статьи 17.2 закона 63-ФЗ. Ключ подписи и ключ проверки формируют двумя способами: самостоятельно заявителем с использованием собственных сертифицированных СКЗИ либо в присутствии заявителя на рабочем месте оператора УЦ ФНС России. То есть организация вправе сформировать ключевую пару у себя, через КриптоПро CSP или ViPNet CSP, и обратиться в ФНС уже с готовым запросом на сертификат в формате pkcs#10. Пояснения ФНС России публикует на своём сайте — раздел про обезличенный сертификат ключа проверки электронной подписи содержит порядок обращения и перечень оснований.
Обезличенный сертификат в кадровом контуре нужен работодателю, который подключает Госключ самостоятельно, а не через агентский договор с вендором. У этих двух схем разная нагрузка. По агентскому договору компания использует API-ключ вендора, но собирает с сотрудников согласия на передачу персональных данных в сторону вендора. При самостоятельном подключении API-ключ выпускают на организацию, а обезличенный сертификат оформляет руководитель — лично и на один год, с личным визитом при каждом перевыпуске. В проектах Азбуха мы разводим эти два сценария на старте: если гендир физически недоступен раз в год, самостоятельное подключение превращается в риск остановки обмена.
💡 Лайфхак: Группа компаний, работающая в одной информационной системе, использует один API-ключ и один обезличенный сертификат сразу на несколько юрлиц. Отдельный сертификат под каждое юрлицо в этом сценарии не нужен.
Как проверить, какой УЦ выдал сертификат и подходит ли он под кадровый документ
- Шаг 1. Откройте свойства сертификата в персональном менеджере на машине или карточку подписи в системе КЭДО и найдите поле «Издатель сертификата».
- Шаг 2. Сопоставьте издателя с назначением: УЦ ФНС России выдаёт сертификаты руководителям юрлиц и ИП, УЦ Федерального Казначейства — должностным лицам госорганов, коммерческий аккредитованный УЦ и УЦ инфраструктуры электронного правительства — физлицам.
- Шаг 3. Проверьте поле владельца. Если там только ФИО без реквизитов организации, это сертификат физлица: для подписания от имени компании к нему приложите МЧД.
- Шаг 4. Посмотрите срок действия и серийный номер. У сертификатов, выпущенных в Госключе, срок составляет 12 месяцев с даты выпуска.
- Шаг 5. Проверьте саму подпись через сервис проверки на портале Госуслуг: отчёт покажет статус подписи, статус сертификата, издателя и штамп доверенного времени.
- Шаг 6. Сверьте вид подписи с перечнем документов из статьи 22.3 ТК РФ — именно он определяет, хватит ли УНЭП или требуется УКЭП.
Носитель ключа, СКЗИ и лицензия крипто-провайдера
Стоимость УКЭП у коммерческого УЦ складывается не из одного сертификата. В комплект входят носитель ключа, лицензия крипто-провайдера и, часто, услуги по установке. Аппаратный токен вроде Рутокена или JaCarta хранит закрытый ключ внутри чипа и позволяет подписывать на борту — ключ не покидает устройство. Расплата за это — физическая логистика: токен нужно выдать сотруднику, учесть, а при увольнении забрать. Для распределённой компании с удалёнщиками схема не работает уже на первом регионе.
Криптография тоже не бесплатна. Формирование ключей и запроса на сертификат требует сертифицированных СКЗИ — на практике это КриптоПро CSP или ViPNet CSP. Часть УЦ включает лицензию в цену сертификата, часть продаёт отдельно, и отсюда берётся разница в прайсах при внешне одинаковом продукте. Если компания строит интеграцию с национальным мессенджером МАХ, набор шире: КриптоПро NGate, КриптоПро CSP, ViPNet TLS Gateway, ViPNet PKI Client, ViPNet OSSL. Выбор конкретного средства криптографической защиты организация делает самостоятельно, регулятор его не навязывает.
Госключ закрывает эту статью расходов целиком. Ключ хранится в смартфоне, средства электронной подписи сертифицированы ФСБ России, отдельный токен и лицензия крипто-провайдера работнику не нужны. Одна интеграция открывает доступ ко всем видам сертификатов сразу, без отдельных дополнительных условий под каждый, и снимает необходимость поднимать собственный УЦ или арендовать его у подрядчика. Канал защищается по TLS-ГОСТ уровня КС1. За это компания платит разовыми затратами на интеграцию, а не ежегодным платежом за каждого сотрудника.
Юлия К, консультант по внедрению КЭДО и криптографии:
«Когда мне говорят, что подпись у УЦ стоит 400 рублей, я всегда переспрашиваю — а флешка входит? А лицензия крипто-провайдера? А доставка в Новосибирск? Обычно выясняется, что нет. Вот эти три позиции и превращают дешёвый серт в нормальные такие денежки при штате в пару тысяч человек.»
Области применения и формат подписи: почему сертификат не подходит под КЭДО
Квалифицированный сертификат несёт набор областей применения — технических идентификаторов, которые определяют, в каких системах подпись принимается. Сертификат, выпущенный под сдачу отчётности или под торговые площадки, формально остаётся УКЭП, но система КЭДО его отклонит, если её оператор ограничил перечень принимаемых сертификатов. Это частая причина сообщения о неподходящем сертификате при внешне валидной подписи с зелёной галочкой в отчёте проверки.
Второй технический слой — формат самой подписи. Госключ формирует отсоединённые файлы подписи с расширением .sig на каждый направленный документ и возвращает подпись в формате CAdES-T с меткой доверенного времени. Метка позволяет проверить подпись после истечения срока действия сертификата, а информационная система работодателя расширяет формат до CAdES-A для долгосрочного архива. Обязанность обеспечивать архивное хранение лежит на работодателе по части 8 статьи 22.1 ТК РФ, и это тот участок, где сервис КЭДО и УЦ ответственность не делят. В одном пакете на подпись уходит до 50 файлов, включая pdf и xml.
Ещё один нюанс, который всплывает при приёмке: сам Госключ синие штампы на документ не наносит. Подписанный файл остаётся без визуализации, а графический штамп формирует система КЭДО на основе полученного sig-файла — как отдельный печатный экземпляр в дополнение к юридически значимому. Юридическую силу проверяют именно у версии без штампа. В сервисе Азбуха мы разделяем эти два файла на уровне интерфейса, чтобы кадровик не отправил в ГИТ печатную версию вместо оригинала.
📌 Факт: Срок действия сертификатов УНЭП и УКЭП в Госключе составляет 12 месяцев. Напоминание об окончании приходит за 30 календарных дней пуш-уведомлением, за 14 дней на Госуслуги и за 7 дней в приложение Госключ.
Какой УКЭП нужен работодателю для кадровых документов
Статья 22.3 ТК РФ прямо перечисляет документы, при подписании которых работник применяет усиленную подпись: трудовой договор, договор о материальной ответственности, ученический договор, договор на получение образования без отрыва или с отрывом от работы, изменения в них, согласие на перевод, заявление об увольнении, отзыв заявления об увольнении, а также ознакомление с уведомлением об изменении определённых сторонами условий трудового договора и с приказом о применении дисциплинарного взыскания. Работнику для этого доступны три варианта: УКЭП, УНЭП с порядком проверки по соглашению сторон трудового договора и УНЭП, выданная с использованием инфраструктуры электронного правительства. Работодателю по этому же перечню требуется УКЭП — вариантов у него нет.
Отсюда практический расклад для компании. Директор или уполномоченный кадровик получает УКЭП: гендир — в УЦ ФНС России или через Госключ, кадровик — сертификат физлица плюс МЧД либо доверенность. Работникам массово выпускать УКЭП не нужно: по большинству кадровых документов им хватает УНЭП инфраструктуры электронного правительства, а соглашение об использовании подписи с работником в этом случае не подписывают — основание даёт часть 2 статьи 22.3 ТК РФ и Постановление Правительства РФ от 1 декабря 2021 г. № 2152. Полное описание сценариев выпуска подписи для граждан Минцифры собрало на странице Госключа на портале Госуслуг, там же перечислены способы идентификации и доступные виды сертификатов.
Расходы на получение и использование электронной подписи работника несёт работодатель. В проектах Азбуха мы собираем матрицу подписей до закупки: документ, подписант, вид подписи по 22.3 — и уже по ней считаем бюджет. Перекладывать расходы на сотрудника нельзя, и это ещё один аргумент против массовой закупки коммерческих УКЭП: на 2 500 человек разница между платным и бесплатным каналом выпуска измеряется миллионами рублей в год.
Юлия К, эксперт по трудовому праву:
«Работодателю на кадровые приказы и договоры нужна УКЭП, тут выбора нет. А вот раскатывать её на всех работников — лишние денежки из бюджета компании. Мы на пилоте всегда собираем матрицу: какой документ, кто подписывает, какая подпись по 22.3. После этого список тех, кому реально нужна квалифицированная, сокращается человек до пяти.»
Ошибки при выборе УКЭП и цена каждой
Разница между удостоверяющими центрами стоит денег ровно в тот момент, когда решение принимают без расчёта. Четыре ошибки встречаются чаще остальных.
- Выпустить коммерческую УКЭП всем работникам. Мотив понятный: перестраховаться и закрыть любой документ одной подписью. Цена ошибки считается прямым умножением. При стоимости 400 руб. за одну подпись и штате 2 500 человек расходы на выпуск составят 1 000 000 руб. Прибавьте плату за подписание: 25 руб. за документ при 20 документах в год на сотрудника даёт 50 000 документов и ещё 1 250 000 руб. в год.
- Взять сертификат физлица на кадровика и подписывать им приказы от имени компании. Мотив — сэкономить на выпуске сертификата с реквизитами организации. Результат: полномочия подписанта ничем не подтверждены, документ придётся переподписывать, а при споре работник получает аргумент против работодателя.
- Оформить обезличенный сертификат и забыть про перевыпуск. Обезличенный сертификат выпускает лично руководитель, срок — один год, перевыпуск на текущий момент возможен только при личном посещении ФНС России. Пропущенная дата останавливает подписание документов работодателем по всей компании.
- Не заложить время на идентификацию. Личная явка каждого сотрудника в офис УЦ ложится на отдел кадров: приглашение, сопровождение, сбор согласий, контроль явки. У банка, который проходил этот путь, от старта общебанковской интеграции до пилота ушло порядка 4 месяцев, и большая часть срока пришлась на согласования и работу с действующими сотрудниками, а не на технику.
⚠️ Внимание: Согласие работника на переход на КЭДО на текущий момент подписывают на бумаге. Статья 22.2 ТК РФ и письмо Минтруда от 12.02.2025 не позволяют оформить его электронно, вопрос прорабатывают Минтруд России и Минцифры России совместно.
Кейс из практики показывает, как выглядит правильный расчёт. В проекте на 1 100 сотрудников кадровый обмен перевели с коммерческих подписей на бесплатные сертификаты Госключа, интеграция с которым работает с 2022 года. Документооборот по одному процессу сократился до 15-30 минут против нескольких недель на бумаге, экономия на электронных подписях составила 0,5 млн руб. в год. Другой проект — 40 000 сотрудников с интеграцией решения с 1С:ДО — дал сокращение трудозатрат на кадровый документооборот в 6,5 раз.
Юлия К, специалист по кадровому делопроизводству:
«Классические грабли — сначала закупить токены на всю компанию, потом сесть считать. Мы в Азбуха просим клиента перед закупкой выгрузить статистику: сколько документов в год на человека и сколько из них попадает под 22.3. Дальше калькуляция делается за полчаса, и решение обычно принимается само.»
Стоимость КЭДО и работы с электронными подписями в 2026 году
Итоговый бюджет складывается из численности штата, выбранного тарифа и набора подключаемых модулей. Вид подписи влияет на цену отдельно: тариф с поддержкой УКЭП и on-premise размещением стоит иначе, чем базовый с УНЭП.
| Тариф / Услуга | Стоимость | Условия |
|---|---|---|
| Азбука.КЭДО, тариф Лайт | 490 ₽/сотрудника в год | Компании до 70 человек, подписание через УНЭП |
| Азбука.КЭДО, тариф Стандарт | 390 ₽/сотрудника в год | Компании от 70 до 500 человек, интеграция с 1С:ЗУП |
| Азбука.КЭДО, тариф Корпоративный | от 290 ₽/сотрудника в год | Компании от 500 человек, УКЭП, on-premise, интеграция с SAP |
| Азбука.КЭДО, отдельный модуль | от 290 ₽/год | За сотрудника, пробный период 30 дней |
| Азбука.HCM Старт | от 8 900 ₽/мес. | От 50 сотрудников: Подбор, КЭДО, Адаптация |
| Азбука.HCM Бизнес | от 24 900 ₽/мес. | От 100 сотрудников: Подбор, КЭДО, Адаптация, Обучение, Пульс |
| Азбука.HCM Enterprise | индивидуально | От 500 сотрудников: все модули, API, SSO, on-premise |
На итоговую сумму влияют численность персонала, число юрлиц в контуре, глубина интеграции с учётной системой и требования информационной безопасности к размещению. Сориентироваться по позициям помогут актуальные тарифы сервиса Азбуха с разбивкой по модулям и пробным периодам.
Выводы
Разные УКЭП появляются потому, что удостоверяющие центры собирают вокруг одного и того же квалифицированного сертификата разную обвязку: свой круг владельцев, свой способ подтверждения личности, свой носитель ключа и свою модель оплаты. Юридическая сила у всех вариантов одинаковая. Пригодность под конкретную задачу различается. Для кадрового контура ориентир простой: работодателю квалифицированная подпись обязательна, работнику по большинству документов достаточно неквалифицированной из инфраструктуры электронного правительства, а сертификат физлица для действий от имени компании дополняется машиночитаемой доверенностью.
Мы в Азбуха подбираем схему подписей под численность и географию компании, разводим сценарии подключения через агентский договор и через собственный обезличенный сертификат, а на пилоте проверяем связку до того, как компания заплатит за первую партию носителей.
Часто задаваемые вопросы
Можно ли подписать УКЭП должностного лица через национальный мессенджер МАХ?
На текущий момент в МАХ поддерживается подписание УКЭП физического лица. Подписание УКЭП должностного лица в национальном мессенджере не реализовано. Сценарий работает так: документ поступает в чат-бот из внешней системы, пользователь выбирает вид подписи, происходит переход в приложение Госключ, после подписания в чат-бот возвращаются сам документ и файл подписи в формате sig. Доступ ко всем документам сотрудника учётная запись МАХ при этом не получает.
Что делать, если у сотрудника кнопочный телефон и приложение с сертификатом не установить?
Минцифры России анонсировало, что до конца 2026 года станет доступна версия Госключа для Windows и Linux — для наиболее популярных операционных систем, включая Windows 10, Astra Linux Special Edition 1.7 и 1.8, Debian 12, с подписанием документов в среде их создания. До этого момента работает норма абзаца 4 части 3 статьи 22.2 ТК РФ: работодатель утверждает исключительные случаи, при которых документы оформляются на бумажном носителе. В регионах доля работников без смартфонов доходит до 10-15%.
Кто отвечает, если документ не подписался из-за технического сбоя инфраструктуры?
Информационная система работодателя получает ответ со статусом ошибки, и этот статус нужно обработать на своей стороне. Файл отсоединённой подписи после успешного подписания сохраняется и в системе работодателя тоже, а не только в приложении. При недоступности инфраструктуры применяется абзац 4 части 3 статьи 22.2 ТК РФ — обмен документами на бумажном носителе как исключительный случай, утверждённый работодателем.
Сколько времени занимает выпуск нового сертификата, если старый истёк?
Выпуск нового сертификата УНЭП занимает несколько минут, в сервисах КЭДО процесс от старта до готовой подписи укладывается в 2 минуты. Контролировать сроки действия подписей работников работодателю отдельно не нужно: при отправке документа на подписание информация об истёкшем сертификате отображается в самом приложении, и работник перевыпускает подпись самостоятельно. Для УКЭП сценарий сложнее — там срок и порядок перевыпуска зависят от выдавшего УЦ.
Можно ли отправить на подпись сразу пачку документов и в каких форматах?
В одном пакете на подписание направляется до 50 файлов, в том числе в форматах pdf, xml и других, включая файлы с машиночитаемой информацией. Для КЭДО установлен формат pdf/a-1a. Поддержка формата mxl на текущий момент не планируется. Заявление, направленное на подписание, работник подписывает не позднее 24 часов, дальнейшие действия выполняются автоматически.
Как долго придётся хранить подписанные документы и хватит ли для этого сертификата от УЦ?
Обязанность архивного хранения возложена на работодателя частью 8 статьи 22.1 ТК РФ, сроки определяет приказ Росархива № 77. Сертификат от любого УЦ действует ограниченный срок, поэтому долгосрочная доказательность обеспечивается метками доверенного времени: подпись возвращается в формате CAdES-T, а информационная система расширяет её до CAdES-A. Платформу архивного хранения подписанных в Госключе документов на портале Госуслуг планируют запустить в 2027 году.
Обязательно ли обезличенный сертификат ФНС должен быть экспортируемым?
Формирование ключа электронной подписи и ключа проверки допускается двумя способами: самостоятельно заявителем с использованием собственных сертифицированных СКЗИ либо в присутствии заявителя на рабочем месте оператора УЦ ФНС России. Организация вправе сформировать ключ у себя и обратиться в ФНС России за сертификатом на основании созданного запроса в формате pkcs#10. Формирование ключей и запроса выполняется сертифицированными СКЗИ, к ним относятся ViPNet CSP и КриптоПро CSP.