Электронная подпись скомпрометирована или отозван сертификат: как не сорвать отчётность и платежи

Отозван, скомпрометирован или просто истёк: что у вас случилось на самом деле

Первое, что я делаю, когда мне говорят «подпись не работает», — выясняю, о какой из трёх историй речь, потому что порядок действий у них разный. Сертификат может истечь: срок вышел, ключ чистый, нужен перевыпуск, и это самая спокойная ситуация. Сертификат может быть прекращён по заявлению владельца или по решению удостоверяющего центра: ключ формально жив, но программа проверки показывает отзыв, и отчёт отклоняется. И, наконец, ключ может быть скомпрометирован: потерян носитель, к нему мог получить доступ посторонний, уволенный сотрудник унёс компьютер с установленной подписью. В третьем случае сертификат ещё может числиться действующим, а вот доверять подписи уже нельзя.

Отличить одно от другого просто. Откройте свойства сертификата в программе-криптопровайдере или в личном кабинете оператора ЭДО: там видны срок действия и статус. Если срок не вышел, а подпись не принимается, значит, вероятнее всего, сертификат прекращён или программе не удаётся проверить цепочку доверия. Звоните в удостоверяющий центр, который выдал сертификат, и спрашивайте прямо: когда и на каком основании действие прекращено. Не гадайте и не пробуйте подписать «как-нибудь иначе»: каждая неудачная попытка отправки оставляет след, а вот подтверждение от оператора о том, что вы пытались отправить отчёт вовремя, вам ещё пригодится.

Отдельный случай — требования к самому сертификату. С 1 сентября 2026 года СФР не принимает отчётность, если в квалифицированном сертификате нет параметра использования ключа «Согласование ключей» (keyAgreement). Сертификат при этом действителен и не отозван, но отчёт в Социальный фонд уходит с ошибкой. Если вы столкнулись именно с этим, ключ никто не крал, достаточно перевыпуска. Проверить просто: в свойствах сертификата откройте «Состав» и найдите «Использование ключей». Я ставлю эту проверку первым пунктом в диагностике, потому что ловить утечку ключа там, где нужен технический перевыпуск, — только тратить нервы.

• Сертификат истёк: перевыпуск по обычной процедуре, ключ не скомпрометирован.
• Сертификат прекращён или отозван: выясните у удостоверяющего центра дату и основание.
• Ключ скомпрометирован: потерян или украден носитель, доступ получили третьи лица.
• Нет параметра keyAgreement: отчёт в СФР отклоняется при действующем сертификате.
• Подпись «не видна» программе: проверьте носитель, драйвер и цепочку сертификатов, прежде чем паниковать.

Компрометация ключа: что делать в первые сутки и кого предупредить

Закон об электронной подписи (63-ФЗ, статья 10) обязывает владельца хранить ключ в тайне, не пользоваться им при нарушении конфиденциальности и сообщать об утечке не позднее одного рабочего дня, а ФНС в своих разъяснениях расписывает порядок: при утрате ключа подать заявление в удостоверяющий центр о прекращении действия сертификата нужно в течение одного рабочего дня с момента обнаружения пропажи. В тот же срок надо уведомить остальных участников электронного взаимодействия о нарушении конфиденциальности ключа. Даже если носитель потом нашёлся, исключить, что ключом воспользовались, нельзя, поэтому ФНС приравнивает утрату носителя к компрометации. Я требую от своих бухгалтеров не рассуждать «может, он в столе», а звонить в тот же час. Разговор про «найдётся» мы проведём после перевыпуска.

Порядок у меня всегда один. Сначала прекращаем пользоваться ключом: отключаем носитель, закрываем сессии в личных кабинетах, где вход идёт по сертификату. Затем руководитель, а в удостоверяющем центре ФНС с 2022 года квалифицированные сертификаты юридических лиц и ИП выдаются именно руководителю, подаёт заявление о прекращении действия сертификата. Дальше сообщаем тем, кто принимает вашу подпись: банку, оператору ЭДО, площадке, ключевым контрагентам. И только потом оформляем новый сертификат. Если сделать наоборот, вы получите несколько часов, в течение которых чужой человек может подписать платёжку или акт вашим именем.

Отдельно про банк. Электронная подпись в системе дистанционного обслуживания, как правило, существует отдельно от квалифицированного сертификата для отчётности, и блокируется своим порядком по договору с банком. Закон о национальной платёжной системе (161-ФЗ, статья 9) обязывает клиента уведомить банк об утрате электронного средства платежа или его использовании без согласия незамедлительно после обнаружения, но не позднее дня, следующего за днём получения от банка уведомления об операции; способ уведомления прописан в договоре с банком. Когда ключ мог утечь, не ждите уведомлений: звоните в банк сразу и просите заблокировать доступ, а потом уже выпускайте новые ключи. У нас в «РФ-БУХ» номера банковских горячих линий клиентов лежат в карточке клиента рядом с реквизитами, чтобы их не искали по почте в панике. Если вы передали нам сдачу налоговой отчётности, эти контакты и календарь сроков мы держим за вас.

• Остановить работу с ключом и отключить носитель от компьютеров.
• Руководитель подаёт заявление в удостоверяющий центр о прекращении действия сертификата в течение рабочего дня.
• Сообщить банку: заблокировать доступ и проверить операции за последние сутки.
• Предупредить оператора ЭДО и контрагентов, которые принимают документы с этой подписью.
• Записаться на получение нового сертификата и подготовить документы.

Сроки не отложатся: чем грозит просрочка отчётности из-за ЭЦП

Теперь о неприятном, ради чего вы, вероятно, и открыли статью. Отзыв сертификата не продлевает налоговые сроки: обязанность представить декларацию остаётся, а ответственность за просрочку наступает по общим правилам. Главная норма здесь — статья 119 НК РФ. Штраф за несвоевременную декларацию — 5 % от неуплаченной в срок суммы налога, подлежащей уплате по этой декларации, за каждый полный или неполный месяц просрочки, но не больше 30 % этой суммы и не меньше 1 000 рублей. Именно «неполный месяц» ловит людей: опоздали на день — заплатите как за месяц.

Хорошая новость 2026 года: Федеральный закон от 26.06.2026 № 201-ФЗ дополнил статью 119 НК РФ пунктами 3 и 4. По новому пункту 3 штрафа по пункту 1 статьи 119 за опоздание с нулевыми декларациями и нулевыми расчётами по страховым взносам больше нет, если по документу нет суммы к уплате; норма действует с 26 июня 2026 года и обратной силы не имеет. Пункт 4 снял штраф за просроченную 3-НДФЛ по доходам от продажи или дарения недвижимости. А статья 15.5 КоАП РФ, по которой штрафовали должностных лиц, утратила силу с 4 июля 2026 года (Федеральный закон № 220-ФЗ). Лично директору по этой статье КоАП за просрочку декларации теперь ничего не грозит, но вся налоговая ответственность осталась на организации, а это деньги компании и вопросы собственников.

Хуже штрафа может быть блокировка расчётного счёта. По подпункту 1 пункта 3 статьи 76 НК РФ налоговая вправе приостановить операции по счетам организации, если декларация не представлена в течение 20 дней после установленного срока, причём решение можно принять в течение трёх лет после окончания этих 20 дней. Нулевую отчётность это тоже касается: отмена штрафа от блокировки не спасает. Для компании с зарплатой, поставщиками и ежедневными платежами остановка счёта — это не штраф, а остановка бизнеса. И здесь мы возвращаемся к ЭЦП: у НДС, например, декларация принимается только в электронной форме, бумажная считается не представленной. Значит, отозванный сертификат у плательщика НДС — прямая дорога к просрочке, если не успеть выпустить новый ключ или не найти обходной путь, о котором дальше.

На эту тему у нас есть отдельный разбор того, что делать, когда налоговая уже заблокировала счёт и надо выплатить людям зарплату, — заблокирован счёт и зарплата. Но лучше туда не попадать, а для этого нужно знать, на какую дату у вас стоят отчёты. Если вы не помните, откройте календарь отчётности и посмотрите ближайшие десять дней, пока не заказали новый сертификат.

Пока вы читаете этот раздел, поймите одно: цена просрочки считается днями, а не вашими намерениями. Мы в «РФ-БУХ» берём на себя именно этот участок: сверяем сроки, готовим отчёты и доводим их до подписи, как только появляется рабочий ключ, а до этого строим обходной маршрут по налогам и платежам. Первая консультация бесплатная, и она нужна именно тогда, когда срок поджимает.

Как отчитаться и заплатить, пока нет нового ключа

Новый сертификат выпускается не за пять минут: нужно время на очный визит или на запись в пункт выдачи, а у руководителя может быть командировка. Поэтому параллельно с перевыпуском стройте обходной маршрут. Первое — уплата налогов. Налог может быть уплачен за организацию иным лицом, это прямо допускает пункт 1 статьи 45 НК РФ. Так что платёж, который не получается подписать из-за потерянного ключа, можно провести с другого счёта или силами другого лица, а потом разобраться с отражением на ЕНС. Это не красиво, но это закрывает риск пеней и блокировки, пока вы возитесь с токеном. Подробнее о том, как сменить подписанта и не потерять отчёты в такой ситуации, я писала в статье смена директора с просроченной электронной подписью: механика там соседняя, только причина другая.

Второе — отчётность. Здесь работает несколько вариантов, и какой выбрать, зависит от вида отчёта и от вашей численности. Декларацию по НДС принимают только в электронном виде, значит, без подписи вам нужен рабочий сертификат либо представитель с действующей подписью и доверенностью. Для части других отчётов при небольшой численности допускается представление на бумаге: по общему правилу статьи 80 НК РФ электронная форма обязательна при среднесписочной численности свыше 100 человек, а для расчёта по страховым взносам и 6-НДФЛ порог ниже — свыше 10 человек. Но проверять нужно по конкретной форме: не всё, что можно сдать на бумаге в теории, спокойно принимают на практике. Я всегда советую звонить в инспекцию и уточнять, а не рассчитывать на «наверное, примут».

Третье — представитель по машиночитаемой доверенности. Если у бухгалтера или аутсорсера есть собственный действующий сертификат и МЧД от руководителя, отчёт можно подписать его подписью. Но есть условие: МЧД подписывается квалифицированной подписью руководителя, а значит, при потерянном ключе руководителя вы упираетесь в тот же вопрос — сначала новый сертификат у директора. Если же МЧД уже выпущена и принята налоговой раньше, а скомпрометирован ключ не руководителя, а работника, то доверенность можно оставить, перевыпустив только сертификат сотрудника. Как устроена такая схема, подробно описано в материале МЧД на подписание УПД и отчётности.

И четвёртое — доказательства. Сохраняйте всё: письмо удостоверяющего центра с датой отзыва, переписку со службой поддержки оператора ЭДО, скриншоты ошибок отправки с датой и временем, квитанции о приёме. В 2024 году ФНС разбирала похожий случай, когда удостоверяющий центр лишился аккредитации и сертификаты перестали действовать: отчёты, отправленные на такой подписи в определённый период, налоговая считала непредставленными, но для подтверждения своевременной попытки отправки принимала документ от оператора ЭДО (письмо ФНС от 09.08.2024 № ЕА-4-15/9132@). У вас ситуация может быть другой, но принцип тот же: документ о попытке отправки в срок лучше всего защищает от штрафа.

• Налог платит другое лицо или с другого счёта (п. 1 ст. 45 НК РФ), если свой платёж не подписать.
• НДС и другие обязательные электронные декларации: только рабочий сертификат или представитель с МЧД.
• Отчёты, которые допускают бумагу: проверить форму и позвонить в инспекцию.
• Хранить переписку с УЦ и оператором ЭДО, скриншоты ошибок и подтверждения отправки.

Новый сертификат и доверенности: что проверить после перевыпуска

Получить новый сертификат — это половина дела. Вторая половина — вернуть всё, что было привязано к старому. В удостоверяющем центре ФНС квалифицированный сертификат юридического лица выдаётся руководителю, то есть лицу, имеющему право действовать без доверенности. Предприниматель получает сертификат на себя. Для визита обычно нужны документ, удостоверяющий личность, СНИЛС и носитель, на который запишут новый ключ. Сотрудники работают уже по своим сертификатам и машиночитаемым доверенностям от руководителя. Если вы планируете оформить сертификат, лучше заранее проверить требования к параметрам: чтобы не получить ключ, который опять не примет СФР, убедитесь, что в составе сертификата есть «Согласование ключей».

Что нужно сделать после выдачи нового сертификата. Первое: перепривязать подпись в программах учёта и в личных кабинетах — оператор ЭДО, банк, налоговый кабинет, площадки. Второе: проверить МЧД. Доверенности подписаны ключом руководителя; ФНС напоминает, что МЧД направляется в налоговый орган один раз до начала сдачи отчётности и что создать и проверить её можно в сервисе ФНС. Отзывается доверенность заявлением в электронной форме. Если старый сертификат отозван из-за компрометации, выданные под ним доверенности лучше проверить у оператора и при сомнениях переоформить, а ненужные отозвать, чтобы не осталось «живых» полномочий у людей, которым они больше не нужны.

Третье: информационное сообщение о представительстве. ФНС разъясняет, что представителю по МЧД не нужно отдельно направлять информационное сообщение, если при сдаче отчётности в формате XML по телекоммуникационным каналам связи 36-значный идентификатор доверенности указан в поле «НаимДок» раздела «СвПред». Это экономит день там, где его обычно нет. Если отчёт подаётся не в XML, формат без такого поля или доверенность бумажная, сообщение по-прежнему нужно. Четвёртое: проверить подтверждение первой отправки после перевыпуска на небольшом отчёте или тестовом документе, а не на декларации в последний день срока. Подробности про распределение прав между директором и бухгалтером, когда директор недоступен, я разбирала в статье директор недоступен: доверенность, банк, ЭДО и ФНС.

Как не повторить: гигиена подписи, которую я требую у своих бухгалтеров

Подпись, которую нельзя потерять, — это фикция, но потерю можно сделать недорогой. Мы в «РФ-БУХ» держим несколько простых правил. Носитель с ключом не лежит в ноутбуке и не передаётся «на минутку» знакомому айтишнику. Каждый ключ привязан к человеку, а не к должности: уволился сотрудник — в тот же день отзываем его доверенности и блокируем доступы. Пароль от токена не пишется на самом токене. Всё это скучно, но именно из этих мелочей состоит большинство звонков вида «ключ ушёл, а отчёт завтра».

Второе правило — календарь. У каждого сертификата в нашей таблице стоят дата окончания и напоминание за месяц. Квалифицированный сертификат выдаётся на ограниченный срок, и продление нужно планировать заранее, а не в день сдачи декларации. Если вы работаете в 1С, там можно настроить уведомления об истечении срока действия, но полагаться только на программу я бы не стала: уведомление приходит тому, кто давно не открывал программу. Третье правило — запасной вариант. У организации должен быть хотя бы один представитель с собственным сертификатом и действующей МЧД, чтобы отзыв ключа руководителя не останавливал сдачу отчётов целиком.

И последнее. Подписью занимается не только бухгалтерия, поэтому я прошу своих клиентов закрепить ответственного за ключи, того самого человека, который знает, где лежат носители, кто и когда ими пользовался и кому нужно звонить при потере. Если вы не хотите держать эту функцию внутри, передайте её на сопровождение, чтобы календарь сроков, перевыпуски, доверенности и отчёты шли по расписанию. Когда это делает один человек в панике, это называется ночным авралом, а когда по регламенту — рабочим четвергом.

• Ключ привязан к человеку: уволился — отозвали доверенности и доступы в тот же день.
• Напоминание об окончании сертификата за месяц, а не за день.
• Есть второй подписант с собственным сертификатом и действующей МЧД.
• Носитель хранится отдельно от компьютера, пароль не пишется на нём.
• Назначен ответственный за ключи и список контактов УЦ, банка и оператора ЭДО.

Частые вопросы