OFF CryptoPro — можно использовать на нескольких ПК одновременно? Как установить

Последствия передачи своего ключа УКЭП другому лицу

Автор
Марина Климова
профессиональный бухгалтер и независимый налоговый консультант, автор более 70 книг и многочисленных статей по проблемам бухгалтерского учёта и налогообложения, к. э. н.

Рассмотрим, какие последствия могут грозить, если третьи лица получат доступ к ключу вашей усиленной квалифицированной электронной подписи (УКЭП), а также разберем конкретные примеры из судебной практики, когда владельцы УКЭП в результате несанкционированных действий третьих лиц были привлечены к ответственности.

Принадлежность подписи конкретному лицу

Квалифицированный сертификат и сертификат ключа проверки УКЭП обязательно содержат данные о владельце электронной подписи, в числе которых (п. 2 , п. 3 ст. 14, п. 2 ст. 17 Федерального закона от 06.04.2011 № 63-ФЗ «Об электронной подписи» (далее – Закон № 63-ФЗ)):

— ФИО, СНИЛС, ИНН – для физического лица, не являющегося индивидуальным предпринимателем;

— ФИО, СНИЛС, ИНН и ОГРН – для индивидуального предпринимателя;

— наименование, ИНН, место нахождения и ОГРН – для юридического лица. В качестве владельца сертификата ключа проверки электронной подписи также указывается физическое лицо, действующее от имени юридического лица на основании учредительных документов юридического лица или доверенности (с 2022 г. – только физическое лицо, действующее от имени юридического лица без доверенности).

Эти атрибуты делают квалифицированную электронную подпись именной и обеспечивает признание электронных документов, заверенных ею, равнозначным документам на бумажном носителе, подписанным собственноручной подписью (п. 1 ст. 6 Закона № 63-ФЗ). И так же, как не должно предлагать другому человеку за себя расписываться, не следует допускать использования ключа УКЭП другим лицом.

Ст. 10 Закона № 63-ФЗ (п. 1) говорит, что при использовании усиленных электронных подписей участники электронного взаимодействия обязаны обеспечивать конфиденциальность ключей электронных подписей, в частности – не допускать использование принадлежащих им ключей электронных подписей без их согласия. Это довольно расплывчатая формулировка, но с учетом вышесказанного ее смысл проясняется: если владелец ключа не в состоянии научиться с ним обращаться, он может воспользоваться технической помощью другого лица, но не доверить тому использовать ключ самостоятельно, будь то на свое усмотрение или по поручению владельца.

Нельзя передать право использования своей электронной подписи ни на основании распорядительного документа, ни на основании договора, ни на основании доверенности на распоряжение ключом – никаким образом. Если требуется уполномочить иное лицо подписывать документы от имени организации, ИП, гражданина, необходимо оформить электронную подпись на это лицо и снабдить его доверенностью на совершение соответствующих действий.

Необходимые действия в случае компрометации ключа

Что делать, если конфиденциальность ключа нарушена, то есть он попал в чужие руки? Алгоритм действий владельца и АУЦ четко обозначен в Законе № 63-ФЗ (п. 2, 3 ст. 10, пп. 3, 5 п. 1 ст. 13, пп. 2 п. 6, п. 6.1, п. 9 ст. 14, п. 6 ст. 17):

1. не использовать ключ электронной подписи при наличии оснований полагать, что конфиденциальность данного ключа нарушена;

2. немедленно (в течение 1 рабочего дня) обратиться с заявлением в аккредитованный удостоверяющий центр, выдавший квалифицированный сертификат, для прекращения действия этого сертификата. Заявление можно подать на бумажном носителе или в форме электронного документа;

3. уведомить других участников электронного взаимодействия о нарушении конфиденциальности ключа электронной подписи в течение не более чем одного рабочего дня со дня получения соответствующей информации;

4. удостоверяющий центр аннулирует сертификат ключа УКЭП и отражает в своем реестре дату и основания для аннулирования. До внесения в реестр сертификатов информации об аннулировании сертификата ключа проверки электронной подписи удостоверяющий центр обязан уведомить владельца сертификата ключа проверки электронной подписи об аннулировании его сертификата ключа проверки электронной подписи путем направления документа на бумажном носителе или электронного документа;

5. аннулированный сертификат ключа проверки электронной подписи использоваться не может. Его использование не влечет юридических последствий, за исключением тех, которые связаны с его аннулированием.

На практике крайне распространены случаи передачи ключа ЭП другим лицам. Пожалуй, два наиболее популярных связаны с тем, что директор вместе с передачей ряда полномочий главбуху или другому сотруднику, не задумываясь, допускает их к ключу своей УКЭП, а также с т.н. номинальными директорами – гражданами, числящимися руководителями организаций, однако фактически не участвующими в их деятельности. Последние до поры до времени абсолютно безмятежно относятся к тому, что оформленным на их имя ключом УКЭП распоряжается кто-то другой. Можно не рассчитывать на то, что такой персонаж добровольно выполнит требования Закона № 63-ФЗ, хотя бы потому, что вряд ли о них подозревает.

Но если сам владелец УКЭП добровольно и своевременно не обращается в УЦ, это не означает, что проблема рано или поздно не вскроется. Так, например, если налоговый орган в ходе мероприятий налогового контроля устанавливает, что руководитель утратил (или не имел) контроль над ключом ЭП, ему предлагают написать соответствующее заявление, которое затем передается налоговым органом в АУЦ с просьбой принять меры к аннулированию сертификата ключа проверки (Письма ФНС России от 28.07.2016 № ПА-4-6/13752@, от 28.07.2016 № 6-3-03/0043@, Письмо ФНС России от 20.08.2020 № ЕА-3-26/5960@, Письмо Минкомсвязи России от 12.07.2016 № ОП-П15-085-13646).

Последствия использования ключа другим лицом

Аннулирование УКЭП производится на определенную дату. Что, если при попустительстве владельца до этого момента его подписью пользовался кто-то другой? Удастся ли, например, потом откреститься от ответственности, сославшись на утрату контроля над ключом подписи?

Безусловно, нет! Не случайно закон предписывает как действовать, если владелец обнаружил неладное. Могут иметь место мошеннические действия или действия, которые повлекли негативные последствия для бизнеса со стороны лиц, в распоряжении которых оказался ключ ЭП.

Именно поэтому и нужно внимательно следить за сохранностью ключа и немедленно информировать о его компрометации. Не случайно еще в начале мы подчеркнули, что УКЭП приравнивается к собственноручной подписи и, как следствие, именно на владельца ключа ложится ответственность за подписанный документ вне зависимости от того, кем указанная подпись была использована фактически (см., например, Постановление АС Дальневосточного округа от 26.06.2020 № Ф03-781/2020 по делу № А51-20242/2018, Постановление АС Дальневосточного округа от 23.12.2019 № Ф03-6040/2019 по делу № А51-26035/2018 (Определением Верховного Суда РФ от 07.05.2020 № 303-ЭС20-4234 отказано в передаче дела № А51-26035/2018 в Судебную коллегию по экономическим спорам Верховного Суда РФ для пересмотра в порядке кассационного производства данного постановления)).

Приведем несколько примеров.

Организация представила уточненную налоговую декларацию по НДС, при проверке которой налоговый орган выявил неправомерное принятие к вычету налога на крупную сумму. Решение о привлечении к ответственности за налоговое правонарушение попытались оспорить, сославшись на то, что налоговая декларация была направлена в инспекцию бывшим главным бухгалтером, которая воспользовалась электронной цифровой подписью директора без его уполномочия.

Суд, куда обратилась организация с соответствующим заявлением, возразил, что поскольку электронная подпись является аналогом собственноручной подписи, ответственность за ее исполнение лежит на ее владельце. Использование электронной подписи с нарушением конфиденциальности соответствующего ключа не освобождает владельца от ответственности за неблагоприятные последствия, наступившие в результате такого использования. Директор не представил доказательств нарушения конфиденциальности ключа электронной подписи и уведомления об этом удостоверяющего центра.

Как следствие, уточненная декларация была признана подписанной уполномоченным лицом – руководителем организации – и штраф за искажение суммы налога суд счел наложенным правомерно (см. Постановление 9 ААС от 05.08.2019 № 09АП-31911/2019 по делу № А40-42134/19).

К подобным выводам суды приходили многократно, см., например, также Постановление АС Московского округа от 03.10.2018 № А40-179170/16, Постановление 9 ААС от 25.06.2018 № 09АП-7/2018, 09АП-13779/2018, 09АП-14757/2018 по делу № А40-179170/16 и др.

Клиент обратился в банк с жалобой на несанкционированное списание средств со счета. В ходе проверки выяснилось, что во время работы компьютера, на котором оборудовано автоматизированное рабочее место системы «Клиент-Банк», произошло его внезапное отключение, а на следующий рабочий день было установлено, что в этот момент с расчетного счета ООО была списана денежная сумма в размере 1 760 000 руб. в пользу другой организации в качестве оплаты за аренду автомобилей по платежному поручению, подписанному подлинной электронной подписью директора.

При этом АРМ «Клиент-Банк» ООО было установлено на персональном компьютере главного бухгалтера, доступ в его кабинет был свободным для персонала организации; приказа о предоставлении доступа и о назначении администратора и оператора АРМ «Клиент-Банк» не было, носитель USB с электронной подписью директора ООО был передан директором главному бухгалтеру и хранился в сейфе последнего.

Все обстоятельства свидетельствуют о том, что в ООО не выполнялись условия договора с банком о соблюдении требований по обеспечению безопасности в процессе эксплуатации АРМ «Клиент-Банк», в результате чего имелась возможность использования ключа УКЭП руководителя лицами, не имеющим таких полномочий, как со стороны работников организации, так и со стороны сети Интернет. Владелец подписи не обращался ни в удостоверяющий центр, ни в банк с информацией о том, что ключ скомпрометирован.

В таких условиях ООО не удалось доказать, что названное платежное поручение было несанкционированным. Банк выполнил распоряжение клиента без нарушений, и требовать возмещение потерь от банка оснований нет (см. Постановление ФАС Центрального округа от 03.09.2013 по делу № А35-10589/12 (Определением ВАС РФ от 18.11.2013 № ВАС-15780/13 отказано в передаче дела № А35-10589/2012 в Президиум ВАС РФ для пересмотра в порядке надзора данного постановления)).

Организация обанкротилась. Конкурсный управляющий попросил суд привлечь к субсидиарной ответственности по долгам банкрота директора организации, мотивируя это тем, что данные бухгалтерской отчетности организации за подписью директора были искажены, в результате чего существенно затруднено проведение процедур, применяемых в деле о банкротстве, в том числе формирование и реализация конкурсной массы. Это в силу п. 1 и 2 ст. 61.11 Федерального закона от 26.10.2002 № 127-ФЗ «О несостоятельности (банкротстве)» является основанием для привлечения контролирующего должника лица (в данном случае — директора) к субсидиарной ответственности по обязательствам должника.

В суде директор возразил, что он являлся номинальным руководителем, фактически обязанности по управлению организацией не исполнял, а его электронной подписью воспользовалось другое лицо (судьба ключа подписи ему неизвестна). При этом директор не представил доказательств нарушения конфиденциальности ключа электронной подписи и уведомления об этом соответствующего центра.

Суд отклонил эти аргументы и одобрил привлечение директора организации к субсидиарной ответственности по ее долгам, указав, что поскольку электронная подпись является аналогом собственноручной подписи, ответственность за ее исполнение лежит на ее владельце. Использование электронной подписи с нарушением конфиденциальности соответствующего ключа не освобождает владельца от ответственности за неблагоприятные последствия, наступившие в результате такого использования (см. Постановление АС Московского округа от 03.10.2018 № Ф05-14276/2018 по делу № А40-179170/16).

Решение по другому делу с похожими обстоятельствами и таким же результатом оформлено Постановлением АС Поволжского округа от 15.03.2021 № Ф06-42411/2018 по делу № А12-35538/2017.

OFF CryptoPro — можно использовать на нескольких ПК одновременно? Как установить

Доброго времени суток! Может кто сталкивался?
У нас CryptoPro установлен на ПК для сдачи налоговой отчетности, ГБ хочет отправлять сведения в федресурс со своего ПК, то есть чтобы ключ и ЭЦП федресурса стояли на ее ПК, соответственно и CryptoPro нужно ей ставить.

Мы можем использовать один и тот-же экземпляр CryptoPro на нескольких ПК? или для каждого ПК нужно приобретать свой экземпляр CryptoPro?
Если можно использовать один экземпляр на нескольких ПК, то можно перенести информацию о регистрации и сертификате с ПК где уже установлен CryptoPro на другой, или нужен обязательно исходный установочный дистрибутив?

(0) Сам дистрибутив легко устанавливается на неограниченное количество компьютеров, но в лицензионном соглашении прописывается скольки-пользовательская версия

(1) могут. Надо сделать несколько движений, но все-таки можно.
(2) + он даже будет работать без ввода лицензии месяц или три (точно не помню)

К некоторым клиент-банкам выдаётся лицензия на CryptoPro на неограниченное число рабочих мест, то есть при установке клиент-банка ставится Crypto Pro, а ставить можно на несколько машин — конечно — это тоже нарушение, но так как вы не ставите Crypto Pro напрямую, то можно ссылаться на банковское приложение.

а могу-ля я поставить CryptoPro на Виндовс2008Сервер и работать с ним в терминальном режиме доступа? машинка с ViPNet ЭДО Отчет хилая и ненадежная, есть желание закинуть ее на сервак в терминальный сеанс, соответственно ей CryptoPro нужна. технически будет работать под несколькими терминальными пользователями одновременно? для юридической чистоты достаточно ограничить доступ на уровне ОС, оставив его одному пользователю сервера?

ПО правилам ФСБ криптопровайдеры не разрешается устанавливать в терминальной среде. МОжет не запуститься. СКЗИ Сбебанка не установился в терминале

(9)»ПО правилам ФСБ криптопровайдеры не разрешается устанавливать в терминальной среде»

насколько это строго? чем чревато? кто сталкивался?

с точки зрения юридической чистоты я-же ограничу использование одним юзером. мне-то не для обмана нужно, а сточки зрения отказоустойчивости.

(10) Ну возьми и попробуй, это же не атомная бомба, не бойся не взорвется. Ну если за неделю никто не ответил, ты думашь кто-то специально для тебя попробует и напишет?

Ставить можешь, а лицензия, если однопользовательская, своя должна быть на каждый комп. Стоит копейки, но максимальный срок — 1 год. Правда многие банки при регистрации/перерегистрации бользователя КБ дают бессрочный ключик на 1 пользователя. Я такие в файлик записывал и использовал по необходимости 🙂

(0)У меня на бывшей работе было куча лицензий на крипто-про,так как каждый банк вместе с клиент банком присылали лицензию для криптопро.

(12) Не знаю, насчет года. Она бессрочная, если не нужны обновления. По крайней мере при продлении ключей не предлагают продлить лицензию и в окошке лицензия криптопровайдера написано бессрочная

ВНИМАНИЕ! Если вы потеряли окно ввода сообщения, нажмите Ctrl-F5 или Ctrl-R или кнопку «Обновить» в браузере.

Тема не обновлялась длительное время, и была помечена как архивная. Добавление сообщений невозможно.
Но вы можете создать новую ветку и вам обязательно ответят!
Каждый час на Волшебном форуме бывает более 2000 человек.

Можно ли использовать свой ключ ЭЦП на нескольких компьютерах?

Как таковой сертификат ключа подписи можете, да. Стоит сказать только о том, что для работы механизмов электронной подписи на Вашем компьютере необходима установка программы-криптопровайдера (чаще всего, это Крипто Про или Лисси CSP) . Одна лицензия на данную программу распространяется на один ПК. В составе ключа Вы обычно будете приобретать именно одну лицензию на программу. Поэтому если Вы хотите пользоваться несколькими ПК, придётся отдельно докупать ряд лицензий или нарушать законодательство на свой страх и риск.

Вопросы и ответы

Электронная подпись уже не относится к категории «молодых» и «незрелых» технологий. Скорее она уже достаточно «взрослая» и надежная. И все-таки периодически ЭП и процедура ее оформления обрастает вопросами. Специалисты удостоверяющего центра ООО «БТП», который уже 8 лет работает в этом направлении, предоставили наиболее популярные вопросы, возникающие у клиентов и ответили на них.

В: Как можно получить ЭП?

О: ЭП выдается после прохождения процедуры оформления:

1. Подача заявки на получение ЭП;
2. Регистрация организации в личном кабинете;
3. Прикрепление скан-копий документов;
4. Оплата счетов;
5. Получение электронной подписи в офисе УЦ/РЦ.

В: На какой срок выдается ЭП?

О: Срок действия сертификата ключа проверки электронной подписи составляет 12 календарных месяцев с момента его создания. Процедура перевыпуска ЭП выполняется не позднее 1 месяца, чтобы к окончанию срока действия предыдущего ключа выпустить новый.

В: Ответственное за ЭП лицо уволилось, может ли его подписью пользоваться другой человек?

О: Использовать данную электронную подпись не допускается, Вы можете понести административную и уголовную ответственность. Необходимо отозвать сертификат ключа проверки электронной подписи уволившегося сотрудника и провести перевыпуск сертификата ЭП на действующего сотрудника.

В: Ключ ЭП был утерян/украден

О: В данной ситуации Вы должны немедленно отозвать сертификат. Позвонить в офис удостоверяющего центра и написать заявление на отзыв (аннулирование) сертификата подписи.

В: Почему неограниченная лицензия КриптоПро не работает?

О: Потому что неограниченная лицензия КриптоПро рассчитана на одну версию КриптоПро, при выходе новой версии КриптоПро данная лицензия перестает действовать и необходимо приобретать новую лицензию. Исходя из этого, лучше приобретать лицензию сроком на 1 год, так как даже при выходе новой версии КриптоПро в течение срока действия данная лицензия будет актуальна.

В: Можно ли получить ЭП на физическое лицо?

О: Да, можно. Для этого необходимо пройти процедуру оформления электронной подписи, аналогичную юридическим лицам и индивидуальным предпринимателям, предоставить пакет документов (паспорт, свидетельство ИНН, СНИЛИС, заявление) и оплатить счет на изготовление ЭП.

В: Не работает ЭП в Microsoft Word 2010

О: Если у Вас Microsoft Word 2010 года, то необходимо приобрести лицензию на право использования КриптоПро Office Signature.

В: Можно ли записать ЭП на дискету или другие носители?

О: Нет. Так как ЭП записывается на специальный сертифицированный защищенный носитель ключа.

В: Можно ли начать участвовать в электронном аукционе с одной ЭП, а продолжить с другой ЭП?

О: Можно. Для этого необходимо добавить нового пользователя на электронной торговой площадке или новый сертификат ключа проверки электронной подписи (если владелец подписи не изменился).

В: Не работает ЭП на компьютере, на котором установлен «Банк – клиент»

О: У программы КриптоПро CSP и «Банк-клиент» схожи методы шифрования. Поэтому может возникнуть конфликт программ. Рекомендуется устанавливать ЭП на компьютер, на котором не установлен Банк – клиент.

В: У меня есть ЭП, могу ли я с ней участвовать в электронном аукционе от имени другой организации?

О: Нет. ЭП выдается на определенную организацию, для участия в аукционах данная организация должна получить аккредитацию на электронной торговой площадке, соответственно с ЭП другой организации не будет возможности зайти в личный кабинет на электронной торговой площадке, подать ценовое предложение, подписать контракт. Также ЭП равнозначна собственноручной подписи, то есть фактически будет следовать, что от имени организации – участника размещения заказа подписывается и ставит печать другая организация.

В: Можно ли установить одну ЭП на несколько компьютеров?

О: Да, можно. Для этого на всех компьютерах должно быть установлено программное обеспечение для ЭП, включая программу КриптоПро, при этом лицензия на использование данной программы приобретается на каждое рабочее место.

В: Сколько стоит ЭП?

О: В зависимости от назначения электронной подписи изготовления сертификата составляет от 2000 рублей.

В: Где применяются ЭП?

Электронные подписи могут использоваться для:

1. участия в электронных торгах на федеральных и коммерческих электронных торговых площадках;
2. Заказчиков в соответствии с ФЗ от 18.07.2011г. № 223-ФЗ«О закупках товаров, работ, услуг отдельными видами юридических лиц»;
3. электронного документооборота с государственными органами: с ФНС, ФСТ, ФТС, ФСС, Росстат, Росимущество, Росреестр, Росалкогольрегулирование, Росфинмониторинг, Роспатент, Росприродназор, Банк России;
4. обмена информацией между юридическими и/или физическими лицами в электронном виде, а также для документооборота внутри корпоративной системы;
5. доступа к АИС «Электронный работодатель»;
6. операторов связи с целью выгрузки доменных имен в Единый реестр;
7. работы в Едином федеральном реестре сведений о фактах деятельности юридических лиц;
8. передачи информации органам местного самоуправления, организациям, работающим в сфере ЖКХ;
9. подписания регламентной отчетности, сдаваемой страховыми компаниями в НССО;
10. работы в ЕГАИС;
11. передачи сведений в систему маркировки изделий из натурального меха;
12. иных сфер применения.

В: Можно ли использовать ЭП, выпущенную для налоговой отчетности, для электронных торгов?

О: Нет. ЭП, изготовленная для налоговой отчетности, не применяется электронными торговыми площадками. При изготовлении ЭП вы сами выбираете, где вы будете использовать ЭП, если необходима подпись для участия в торгах и отправки документов в ФНС, то соответственно подписи выпускаются отдельно по каждому направлению.