✍️Исторический пост - 10 лет поправкам в 63-ФЗ

Поправки Минкомсвязи России в Федеральный закон «Об электронной подписи» одобрены Советом Федерации

Закон будет подписан в конце декабря 2015 года и получит номер 445. Начнётся большая реформа сферы электронной подписи.

✍️Застройщики выбирают неквал. И это не Госключ.

В Госдуму 3 декабря внесен законопроект, позволяющий дольщику подписывать акт приема-передачи квартиры в новостройке с помощью неквалифицированной электронной подписи.

В настоящее время подписания передаточного акта возможно:
🔹в бумажном виде дольщиком, после чего застройщик сканирует документ и подписывает своей КЭП.
🔹дольщик и застройщик сразу подписывают электронный документ КЭП.

Из пояснительной записки:

При этом выпуск сертификата усиленной квалифицированной электронной подписи без личного присутствия гражданина возможен лишь при его удаленной идентификации при наличии действующего загранпаспорта нового образца и телефона или планшета с NFC, либо при наличии подтвержденной биометрии (если гражданин зарегистрирован в Единой биометрической системе).

Приведенные способы удаленной идентификации не являются массовыми (к примеру, выдано не более 27 млн биометрических заграничных паспортов), что свидетельствует об отсутствии возможности подписания передаточного акта без личного присутствия удобными и незатратными способами.

Следует также отметить, что подписание передаточного акта в форме электронного документа усиленной квалифицированной электронной подписью влечет дополнительную нагрузку в виде затрат на получение сертификата ключа усиленной квалифицированной электронной подписи.

Понимают ли депутаты о каком НЭП речь? Конечно понимают, они же внесли ранее НЭП в часть 2.1 статьи 19 № 218-ФЗ «О государственной регистрации недвижимости»:

... может быть подписана усиленной неквалифицированной электронной подписью физического или юридического лица

даже МЧД с НЭП не требуют.

Почему эта НЭП - не Госключ. Во всех НПА для Госключа используется своя формулировка:

усиленная неквалифицированная электронная подпись, сертификат ключа проверки которой создан и используется в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме...

А мы имеем дело с классической НЭП, поэтому должно быть соглашение о признании электронных документов, отдельный УЦ для неквалифицированных сертификатов, процедура выдачи сертификатов. Понимают ли это депутаты?

✍️ Экспертный совет Минцифры по электронной подписи

Подписан приказ Минцифры России от 09.12.2025 № 1157 об Экспертном совете по вопросам внедрения и использования электронной подписи и сертификатов безопасности.

В фокусе работы не только нормативка и технологии, но и создание, выдача и работа сертификатов безопасности НУЦ.

Деятельность прошлого Экспертного совета была нулевой, единственное заседание прошло в декабре 2013 года, всё. Проблемы сферы, например, с долговременным хранением, не решались, только создавались новые, в итоге имеем:

🔹ни одно сертифицированное средство электронной подписи в стране не выполняет требования приказа Минцифры от 14 сентября 2020 года N 472 о формате электронной подписи.
🔹ни один удостоверяющий центр в стране не выполнял до 2025 года норму части 3 статьи 18 63-ФЗ, как она была написана, в части ознакомления с информацией о квалифицированном сертификате.
🔹в 2020 году граждане, которые в период пандемии были лишены возможности посетить удостоверяющий центр, не были обеспечены трехмесячными квалифицированными сертификатами. Ни один аккредитованный УЦ технически не был готов выполнить норму 166-ФЗ.
🔹более года Минцифры использовало несертифицированное средство электронной подписи (в том числе для подписания XML-представления аккредитованных УЦ) в инфраструктуре электронного правительства.
🔹Госуслуги не оповещают о приближении окончания срока квалифицированных сертификатов от УЦ ИИТ, полученных через Госключ.

Это только часть, сейчас к ним добавился ещё и ГУЦ.

Насколько эффективным будет новый совет покажет время, останется он и дальше ДСП или будет способствовать решению вопросов и развитию сферы. Обсуждать проблемы на имеющихся площадках в нашей сфере не принято, Минцифры может обидеться и не приехать следующий раз.

Что будет с Экспертным советом по вопросам совершенствования электронного документооборота в органах государственной власти - вопрос открытый.

На уходящей неделе в рамках форума "Антифрод Россия" заместителем министра цифры озвучена дата 01.09.2027, как создание Национального удостоверяющего центра и внедрение российских сертификатов безопасности.

Даты 1 сентября 2027 нет в редакции законопроекта по Антифроду, который прошел оценку регулирующего воздействия.

Ключевые этапы в части НУЦ из имеющейся редакции:
🔹01.01.2027 - вступают в силу фундаментальные нормы, создающие правовую основу для Национального удостоверяющего центра (НУЦ): определение и назначение сертификата (ч. 1), порядок утверждения Положения о системе и определения оператора (ч. 2, 3), структура системы (ч. 4) и виды сертификатов (ч. 5), порядок установления требований уполномоченным органом (ч. 6), правила бесплатной выдачи сертификатов госорганам и иным организациям (ч. 7), полномочия для некоммерческих организаций и регистраторов/хостинг-провайдеров (ч. 9, 10).
🔹01.07.2027 - начало практического внедрения, вступают в силу нормы для ключевых участников рынка:
- для разработчиков: обязанность предустанавливать сертификаты корневого НУЦ в средствах криптозащиты (ч. 11) и определенном ПО (ч. 12).
- для государства: обязанность госорганов обеспечить возможность взаимодействия с использованием сертификатов НУЦ (ч. 13).
🔹01.01.2028, этап коммерциализации: вступают в силу финальные положения.
- платные сертификаты: норма, разрешающая взимать плату с коммерческих организаций за выдачу сертификатов (ч. 8), сами правила установления размера этой платы начинают применяться уже с 01.07.2027.
- Правительство России получает право устанавливать случаи обязательного использования сертификатов НУЦ (ч. 14).

Законодатель выбрал поэтапный подход: сначала создается система и её базовые правила (2027), затем на ключевые группы накладываются обязанности по её использованию (середина 2027), и в последнюю очередь вводятся коммерческие нормы и возможность полного обязательного перехода (2028).

С учётом озвученной даты 1 сентября 2027 года, как создания НУЦ, приведенные сроки должны сдвинуться вправо, ждём внесения законопроекта в Госдуму.

✍️ "Об ЭП и УЦ"

✍️PKI и OSINT

PKI и OSINT - может ли одна сфера использовать другую? Я хоть и прочитал пару книг по бизнес-разведке, осинтером не являюсь. Но разве это мешает рассмотреть, как можно использовать PKI для OSINT?

OSINT - сбор, анализ и распространения информации, полученной из общедоступных источников. PKI - инфраструктура открытых ключей. И там и там есть про открытость и общедоступность, итак, PKI глазами осинтера:
🔹Поиск по реестрам УЦ.
🔹Файлы сертификатов с ПДн из ЭП.
🔹МЧД и цепочка получения персональных данных.

1. Реестры УЦ
Ещё 5-7 лет назад многие УЦ выкладывали на свои сайты реестры excel, содержащие информацию о выданных сертификатах, либо просто
УЦ предоставляли доступ к реестру сертификатов. Причины - неоднозначные трактовки ч. 3 ст. 15 63-ФЗ и 1138 приказа Минцифры России, согласно которым АУЦ обязан предоставлять безвозмездно любому лицу по его обращению сведения, содержащиеся в реестре квалифицированных сертификатов.

2. Файлы с электронными подписями
Самый простой метод сбора, скачиваем с условных госзакупок файл подписи, загружаем в e-trust и видим содержание сертификата - ФИО, СНИЛС, ИНН ФЛ, адрес электронной почты и т.д. Действительность подписи проверять необязательно.

3. Получение ПДн с использованием МЧД
Самый интересный способ, достаточно знать номер МЧД и получить не только данные из сертификата, но и паспортные данные (пока ещё).

✍️ "Об ЭП и УЦ"

✍️Простая электронная подпись и "рекомендации" Банка России (часть 3)

В прошлом году Банк России разместил на своем сайте рекомендации "Недостаточное информирование клиентов при подписании документов простой электронной подписью" (спасибо подписчику за ссылку). Прочитав их задаёшься вопросом - а сам Банк России достаточно информирован по данному вопросу?

В рекомендациях говорится, что банки и микрофинансовые организации активно используют ПЭП, например, код из SMS, для подписания договоров.

На что обращается внимание:
1️⃣ Не показывают документы перед "подписанием", условия объясняют "на словах".
2️⃣ Одним кодом подписывается целый пакет документов разом: от договора до согласия на рекламу.

Как должно быть (по рекомендациям ЦБ):
🔹Документы показывают ДО подписания - на телефоне, планшете или бумаге.
🔹Код используется только для тех документов, которые вы увидели и с которыми согласились.
🔹SMS с кодом должна содержать не просто цифры, а указание, что именно вы подписываете.

📣Самое главное - Банк России ничего не говорит про норму части 2 статьи 6 63-ФЗ и случаи признания электронного документа, подписанного ПЭП, равнозначным документу на бумажном носителе, подписанному собственноручной подписью.

часть 1, часть 2

✍️Об ЭП и УЦ