Компания может согласовать акт или заявление через внутренний сервис за несколько минут. Однако обычного входа по паролю иногда мало: нужно определить подписанта и убедиться, что файл после подписания не менялся. Эту задачу решает «неквалифицированная электронная подпись (НЭП)».
НЭП использует криптографию, однако не обладает универсальной юридической силой квалифицированной подписи. Чтобы она заменила подпись от руки, такое правило должно следовать из закона, иного нормативного акта или соглашения участников.
Ну а сегодня мы посмотрим, как работает НЭП и чем она отличается от других электронных подписей. Кроме того, выясним, где ее получают, как закрепить порядок использования и что проверить в подписанном документе.
О понятии
Итак, неквалифицированная электронная подпись — это усиленная электронная подпись, созданная с помощью криптографического преобразования. Она позволяет определить подписанта, а также обнаружить изменение электронного документа после подписания.
Обращаясь к первоисточнику, признаки НЭП закреплены в части 3 статьи 5 Федерального закона от 6 апреля 2011 года № 63-ФЗ «Об электронной подписи». Подпись должна создаваться с использованием ключа и средств электронной подписи, определять подписанта и выявлять последующие изменения файла. Кроме того, закон разрешает не создавать сертификат ключа проверки, если соответствие этим признакам обеспечивается без него.
Проще говоря, НЭП связывает конкретного человека с конкретной версией электронного документа. В полном названии используется слово «усиленная», поэтому наряду с сокращением НЭП встречается обозначение УНЭП.
Пример ситуации
Допустим, подрядчик подписал НЭП акт на 480 000 рублей в системе заказчика. Если после этого заменить сумму на 680 000 рублей, проверка подписи должна показать, что файл изменен.
Вместе с тем положительный результат проверки не отвечает на все юридические вопросы. Например, НЭП может подтвердить автора и целостность файла, однако для признания документа равным бумажному нужна отдельная правовая основа.
Как работает НЭП
При подписании программа обрабатывает данные файла и применяет ключ электронной подписи. В результате формируется уникальная последовательность, связанная и с подписантом, и с содержанием документа.
Для проверки используется другой, связанный с ним ключ. Если документ изменили после подписания, результат проверки уже не совпадет. Кроме того, система может применять сертификат, который подтверждает принадлежность ключа проверки владельцу.
Однако сертификат нужен не всегда. Закон прямо допускает НЭП без него, если выбранная технология и правила системы обеспечивают все обязательные признаки подписи.
Кстати, общую схему цифрового обмена мы раскрыли в статье про электронный документооборот. В свою очередь, простую, неквалифицированную и квалифицированную подписи мы сопоставили в материале о видах электронных подписей.
По сути, НЭП нельзя сводить к токену, приложению или картинке «документ подписан». Это способ криптографического подтверждения, а конкретный интерфейс зависит от сервиса.
Когда НЭП заменяет подпись от руки
Квалифицированная подпись по общему правилу действует без отдельного соглашения сторон. НЭП устроена иначе: ее юридическая сила зависит от заранее установленного правила.
Согласно части 2 статьи 6 Закона № 63-ФЗ, документ с НЭП признается равным бумажному документу с собственноручной подписью, если это предусмотрено:
- федеральным законом;
- принятым на его основании нормативным правовым актом;
- нормативным актом Банка России;
- соглашением участников электронного взаимодействия.
Кроме того, соответствующий акт или соглашение должен устанавливать порядок проверки НЭП. То есть одной фразы «стороны используют электронные подписи» может оказаться недостаточно.
Если закон или правила сервиса требуют КЭП, заменить ее неквалифицированной подписью нельзя. Более того, НЭП не отменяет требование об исключительно бумажной форме, когда оно прямо установлено законом.
Для договорного обмена стороны могут заранее согласовать подходящую систему, круг документов и способ проверки. В таком случае НЭП будет работать именно в пределах установленного порядка.
Пример юридической силы
Представим, что поставщик и покупатель закрепили в договоре обмен актами через определенную систему с НЭП. Кроме того, они описали проверку подписи и признали такие акты равными бумажным. Если поставщик отправит подписанный акт через согласованный сервис, покупатель не сможет отвергнуть его только из-за электронной формы.
Однако тот же файл может не подойти для другой площадки или государственного органа. В частности, получатель вправе требовать иной вид подписи, если это следует из обязательных правил его системы.
Что закрепить в соглашении
Закон прямо требует определить порядок проверки НЭП. Вместе с тем для надежного обмена лучше заранее описать и другие условия, которые помогут связать файл, подписанта и момент отправки, а именно:
- Определить перечень документов, которые разрешено подписывать НЭП.
- Назвать систему, через которую стороны обмениваются файлами.
- Описать создание подписи и способ определения ее владельца.
- Установить порядок проверки подписи и целостности документа.
- Зафиксировать момент отправки, получения и подписания файла.
- Предусмотреть хранение подписей, сертификатов и журналов событий.
- Согласовать действия при утрате ключа, техническом сбое или споре.
Например, стороны могут ограничить НЭП актами и заявками, а договоры подписывать КЭП. Кроме того, полезно установить форматы файлов и порядок повторной отправки при технической ошибке.
Помимо этого, за основу можно взять подготовленное нами соглашение об электронном документообороте между юридическими лицами. Однако его условия нужно привести в соответствие с фактическим сервисом, видом подписи и процедурой проверки.
В итоге соглашение должно описывать не столько название технологии, сколько доказуемый порядок работы. Если из текста непонятно, кто, чем и где подписывает файл, при споре возникнут лишние вопросы.
Чем НЭП отличается от простой и квалифицированной подписи
Все три вида подтверждают действия в электронной среде, однако делают это по-разному. Главное отличие НЭП заключается в сочетании криптографической защиты и ограниченной области юридического признания.
| Критерий | Простая ЭП | НЭП | КЭП |
|---|---|---|---|
| Основа | Код, пароль или иное средство | Криптографическое преобразование | Криптография, квалифицированный сертификат и средства с подтвержденным соответствием |
| Проверка изменений | Не относится к обязательным признакам | Позволяет выявить изменение после подписания | Позволяет выявить изменение после подписания |
| Сертификат | Не требуется | Может использоваться, но иногда не создается | Обязателен квалифицированный сертификат |
| Юридическая сила | Признается в случаях, предусмотренных законом, нормативным актом или соглашением | Требует правового основания и установленного порядка проверки | По общему правилу равнозначна собственноручной подписи, кроме специальных исключений |
Хотя НЭП технически сильнее простой подписи, это не делает ее «почти КЭП» для любых документов. В чем причина? В том, что квалифицированная подпись отвечает дополнительным требованиям к сертификату и средствам создания.
Название подписи в интерфейсе не гарантирует нужный правовой статус. Прежде всего нужно сверить требования закона, договора и конкретной информационной системы.
Поэтому выбирать вид подписи следует до подключения сервиса. Иначе организация может настроить обмен, а затем обнаружить, что часть документов получатель не принимает.
Где применяют и как получают НЭП
Область применения зависит от нормативных правил и договоренностей участников. В частности, НЭП используют во внутреннем и договорном ЭДО, кадровых системах, а также в государственных сервисах, которые прямо поддерживают УНЭП.
Например, статья 22.3 Трудового кодекса Российской Федерации допускает НЭП в кадровом ЭДО. Однако подходящий вариант зависит от документа, системы и того, кто подписывает файл — работодатель или работник.
В свою очередь, практические вопросы такого обмена мы разобрали в статье о кадровом электронном документообороте. При работе с конкретным документом нужно дополнительно сверяться с ТК РФ и правилами выбранной системы.
Единого места выдачи НЭП для всех задач нет. Поэтому сначала выбирают сервис и проверяют, допускает ли он такую подпись. Затем пользователь проходит идентификацию, создает ключ и при необходимости получает сертификат.
К примеру, на странице Госуслуг указано, что сертификат УНЭП можно бесплатно получить в приложении «Госключ» или «Госуслуги» при соблюдении требований сервиса. Затем подпись используют для документов, которые направлены в приложение на подписание.
Впрочем, наличие УНЭП в приложении не означает, что ею разрешено подписать любой файл. Если закон или получатель требует КЭП, придется использовать именно ее.
Как проверить документ с НЭП
Универсальной проверки для всех вариантов НЭП нет, потому что системы могут использовать разные форматы и сертификаты. Поэтому получатель следует порядку, указанному в нормативном акте, соглашении или правилах сервиса.
Проверку проводят по шагам:
- Открывают исходный электронный файл, а не его распечатку.
- Загружают подпись в нужную программу или открывают документ в исходной системе.
- Проверяют целостность файла и данные подписанта.
- Сверяют сертификат и его статус, если он используется.
- Проверяют время подписания и полномочия человека.
- Сохраняют файл, подпись, квитанции и журнал обмена.
Кроме того, техническая проверка не подтверждает полномочия автоматически. Например, подпись сотрудника показывает, кто совершил действие, однако право заключить договор может следовать из доверенности или должности.
Распечатка с надписью «подписано НЭП» не заменяет исходный файл и данные проверки. Если электронные доказательства не сохранены, подтвердить целостность и принадлежность подписи будет сложнее.
В результате архивировать нужно весь комплект. Помимо документа, в него могут входить отделенная подпись, сертификат, квитанция оператора и сведения о времени отправки.
Что делать при утрате ключа
Ключ нельзя передавать коллеге или оставлять доступным другим пользователям. Если устройство потеряно, пароль раскрыт или появились подозрительные документы, подпись нужно немедленно перестать использовать.
Обращаясь к нормам права, статья 10 Закона № 63-ФЗ обязывает пользователей усиленных подписей сохранять конфиденциальность ключей. Кроме того, о ее нарушении нужно уведомить выдавший сертификат удостоверяющий центр и других участников электронного взаимодействия не позднее одного рабочего дня после получения такой информации.
После обнаружения проблемы нужно:
- Прекратить использование ключа.
- Сообщить оператору системы и удостоверяющему центру, если он выдавал сертификат.
- Уведомить контрагентов и других участников обмена.
- Проверить документы за спорный период.
- Прекратить действие сертификата и выпустить новый, если система его использует.
Кстати, в отдельном материале мы объяснили, почему нельзя передавать электронную подпись другому лицу. НЭП подтверждает действия конкретного владельца, так что общий ключ для нескольких сотрудников разрушает саму логику проверки.
В итоге безопасность НЭП зависит не только от криптографии. Если стороны не описали порядок работы, не сохранили исходные файлы или допустили доступ к ключу посторонних, технически корректная подпись не избавит их от спора.