Привет, Хабр! Меня зовут Руслан Нуриев, я методолог-аналитик компании Directum, спикер и организатор обучающих мероприятий по цифровизации бизнеса и переходу на КЭДО. За 5 лет работы с продуктом Directum HR Pro я заметил парадоксальную вещь: компании тратят ресурсы на перевод кадровых документов в цифру, но часто забывают об их легитимности в будущем.

Можно внедрить самую крутую HR-платформу или систему для КЭДО, но часть выгоды будет упущена, если через 20 лет электронный приказ о приеме на работу превратится в тыкву. Поэтому сегодня обсудим, как сделать так, чтобы юридическая значимость электронной подписи сохранялась десятилетиями.

Бомба замедленного действия в архиве

По закону некоторые кадровые документы (например, приказы, трудовые договоры, положения о персональных данных) должны храниться 50–75 лет. А срок действия электронной подписи с обычным сертификатом — 12-15 месяцев. То есть если компания использует обычную ЭП, то в будущем могут возникнуть, мягко говоря, неприятности.

Давайте посмотрим на реальные риски, с которыми сталкиваются компании, которые не следят за сроком действия электронной подписи.

Трудовые споры. Сотрудник оспаривает увольнение через 10 лет. Вы предъявляете электронный приказ с обычной ЭП. Суд запрашивает подтверждение статуса сертификата электронной подписи на определенную дату. Вы не можете его предоставить. Результат: штраф от инспекции труда и проигрыш в суде.

Проверки госорганов. Роструд или ПФР приходят с проверкой и просят документы за прошлые периоды. Часть файлов не проходит автоматическую проверку из-за отсутствия юридической значимости электронной подписи. Нарушение зафиксировано в акте. Штраф.

Подтверждение стажа. Самый грустный кейс. Человек не может доказать свой стаж для пенсии, потому что его электронные приказы могут не быть признаны надлежащим доказательством из‑за невозможности подтвердить статус подписи на момент подписания.

После истечения срока действия сертификата подтвердить юридическую силу электронной подписи становится существенно сложнее: без дополнительных атрибутов (метки времени, OCSP/CRL, архивных форматов) документ могут не признать надежным аргументом в споре. Доказывать обратное придется месяцами, собирая бумажные выписки и нотариальные копии. И не факт, что суд их примет. Поэтому если вы переводите документооборот в цифру, ваша задача — обеспечить ему цифровое бессмертие.

Сокращаем риски при хранении кадровых документов

Электронная подпись отвечает только на вопрос: «кто подписал?». Но без ответа остаются вопросы «когда подписал?» и «имел ли право подписывать?.

Усовершенствование электронной подписи добавляет два критически важных элемента:

• метку доверенного времени (TSP): независимое доказательство того, когда именно был подписан документ, которое исключает возможность подписать задним числом;

• доказательство статуса сертификата электронной подписи (OCSP/CRL): подтверждение, что на момент подписания ЭП была действительна и не был отозвана.

Теперь у вас есть неоспоримое доказательство подлинности при хранении кадровых документов. Через 50 лет любой проверяющий сможет подтвердить: «да, 50 лет назад менеджер Иванов действительно подписал этот приказ своим действующим ключом».

Форматы CAdES: уровни юридической защиты

Реализация долгосрочной подписи в российских системах, работающих с УКЭП/УНЭП строится на международном стандарте CAdES (CMS Advanced Electronic Signatures). Он определяет, как именно должна быть оформлена усовершенствованная электронная подпись. Существует несколько таких форматов. Каждый следующий добавляет больше доказательств подлинности.

«Золотой стандарт» для долгосрочного хранения кадровых документов — формат CAdES-A v3. Его главная фишка — архивная перештамповка. Система автоматически, до истечения срока действия текущей метки времени, накладывает новую, сохраняя всю цепочку доказательств.

Вместо выводов — ЧаВо об усовершенствованной электронной подписи 

Какие бывают основные виды усовершенствованных (усиленных) электронных подписей в России?

В России выделяют два основных вида усиленных электронных подписей:

УКЭП — усиленная квалифицированная электронная подпись. Создается с помощью сертифицированных ФСБ средств и выдается только аккредитованными удостоверяющими центрами. По закону приравнивается к собственноручной подписи на бумаге. Используется для сдачи отчетности, работы с Госуслугами, участия в торгах.

УНЭП — усиленная неквалифицированная электронная подпись. Может быть выдана любым удостоверяющим центром или оформлена внутри организации. Признается аналогом собственноручной подписи только по соглашению сторон или в случаях, предусмотренных законом. Подходит для внутреннего документооборота и обмена документами с контрагентами по договоренности.

Как проверить, что электронная подпись действительно является усовершенствованной?

Проверить, что электронная подпись действительно является усовершенствованной, можно с помощью специального программного обеспечения для работы с электронной подписью (например, КриптоПро CSP или аналоги). При открытии документа такая программа покажет не только данные о владельце сертификата, но и дополнительные атрибуты: метку доверенного времени и доказательства статуса сертификата электронной подписи (OCSP-ответы или CRL).

Нужно ли вручную обновлять усовершенствованную подпись?

Обновлять усовершенствованную подпись не нужно. В современных системах этот процесс автоматизирован.

Например, в цифровой платформе Directum HR Pro все процессы, связанные с усовершенствованием электронной подписи, происходят незаметно для пользователя. Платформа самостоятельно добавляет к документам метки доверенного времени, проверяет статус сертификатов по реестрам отзыва (CRL/OCSP) и преобразует подпись в современный формат CAdES-A.

Для этого решение бесшовно интегрируется с удостоверяющими центрами. В результате каждый кадровый документ всегда готов к проверке: все необходимые юридические атрибуты уже встроены в файл. Благодаря этому сотрудники избавлены от рутинных операций и юридических рисков — работа с документами проходит быстро, удобно и абсолютно легитимно.

В чем разница между меткой времени (TSP) и просто датой, указанной в самом документе?

Разница между меткой времени (TSP) и просто датой, указанной в самом документе, заключается в том, что дата, вписанная в текст документа, не имеет юридической силы и может быть легко изменена. Метка доверенного времени — это защищенный криптографический штамп, который выдается независимой третьей стороной (службой штампов времени). Он математически связан с подписью и самим документом. Изменить его задним числом невозможно, что делает его неоспоримым доказательством момента подписания.

Если я подпишу документ усовершенствованной электронной подписью, сможет ли его прочитать человек, у которого нет специального ПО?

Да, человек, у которого нет специального ПО, сможет прочитать текст документа, подписанного усовершенствованной электронной подписью. Однако для проверки подлинности подписи и ее атрибутов (метки времени, статуса сертификата) получателю потребуется специальное программное обеспечение или сервис для проверки электронных подписей. Без такого ПО он увидит только сам документ, но не сможет убедиться в его юридической чистоте.