Интерфакс-ЦРКИ: к сожалению, в связи с серьезными сложностями в реализации механизма поддержки машиночитаемых доверенностей Интерфакс-ЦРКИ не может гарантировать запуск функционала МЧД с 1 сентября 2023 года. Тем не менее, мы продолжаем поиск путей реализации, понимая всю важность данного вопроса для многих из наших клиентов.

Государство и бизнес решают судьбу электронных цифровых подписей - архивная статья декабря 2018 года

Сегодня вспомним что говорили на совещании в Аналитическом центре при Правительстве 4,5 года назад, когда обсуждались поправки, которые были приняты 476-ФЗ.

Бизнес в лице АНО «Цифровая экономика»: «Сегодня есть две альтернативные концепции по управлению полномочиями в сфере применения электронной цифровой подписи. Первую представило государство в лице Минкомсвязи, вторую - бизнес в лице АНО «Цифровая экономика. Реализация наших инициатив уже к 2022 году позволит 80% активного населения России дистанционно получать госуслуги с помощью квалифицированной цифровой подписи»

Правовой департамент Минкомсвязи России: «Электронные машиночитаемые доверенности прекращают свое действие в соответствии с гражданским законодательством. Мы используем существующие правовые технические механизмы, переход на которые потребует минимальных расходов»

8 Центр ФСБ России: «Любой не ангажированный анализ схемы с атрибутными сертификатами показывает их технологическую несостоятельность»

Очередное подтверждение мифа о визуализации подписания документа электронной подписью от Натальи Храмцовской

Вопрос: Наша организация осуществляет отправку исходящих документов в том числе посредством различных ЭДО. Есть реквизит документа «Отметка об электронной подписи». Если мы на наших исходящих, которые направляются посредством ЭДО, указываем просто наименование должности и ФИО, это является нарушением? (файл документа в формате xml, конечно, имеется). Я имею в виду, что конкретно самой отметки (которая должна включать фразу: «Документ подписан электронной подписью, номер сертификата ключа электронной подписи, фамилию, имя, отчество владельца сертификата и срок действия сертификата ключа электронной подписи») на исходящих документах нет.

Какие здесь могут быть нарушения, когда ни закон, ни подзаконные акты ничего не говорят об обязательности проставления такой отметки.

Часть 3 статьи 12 63-ФЗ говорит о визуализации ЭП средствами электронной подписи при её проверке (отображение информации о факте подписания, номере, владельце и периоде действия сертификата)

Внедрение МЧД в Росфинмониторинге

🔹МЧД планируется формировать в соответствии с Единым форматом версии 3.0. Разработка собственного формата не предусматривается.
🔹Проводятся работы по обеспечению механизма использования МЧД, в том числе в Личном кабинете на официальном сайте Росфинмониторинга. Планируемый срок завершения работ – 31.08.2023. Сведения о завершении работ, информация по организации работы с МЧД будет доведена до пользователей через ЛК.
🔹Опубликованные в ЕС НСИ полномочия сформированы в соответствии с нормами, утвержденными Указом Президента от 13.06.2012 № 808, Федеральным законом от 07.08.2001 № 115-ФЗ, постановлением Правительства от 19.03.2014 № 209, приказом Росфинмониторинга от 20.07.2020 № 175.
🔹Порядок представления МЧД в ЛК планируется утвердить по завершении работ по обеспечению механизма использования МЧД.
🔹Возможность представления МЧД в ЛК будет доступна по завершении работы по обеспечению механизма использования МЧД.
🔹На данный момент ведутся работы по предоставлению возможности прикрепления МЧД к документам через ЛК.
🔹Подключение к распределенному реестру ФНС не планируется.

Новый вид доступа для удостоверяющих центров

Минцифры разработан проект постановления Правительства, предусматривающий в том числе и для аккредитованных удостоверяющих центров санкционированный доступ с использованием ЕСИА к информации, содержащейся в государственных, муниципальных и иных информационных системах.

Доступ осуществляется одним из способов:
🔹посредством использования квалифицированных ЭП в порядке, устанавливаемом Правительством;
🔹 посредством использования простой ЭП (Госуслуги), при условии прохождения дополнительной аутентификации через ЕБС, код подтверждения или СМС
🔹 путем передачи в ЕСИА кода подтверждения, сформированного ЕСИА, и отображаемого на экране устройства, с использованием которого осуществляется аутентификация пользователя.

Участники информационного взаимодействия вправе выбрать способ получения санкционированного доступа в момент проведения аутентификации, а также изменять способы дополнительной аутентификации с использованием личного кабинета ЕПГУ.

Планируется, что нормы вступят в силу с 1 октября 2023 г.

Проверка МЧД. Теоретический сценарий

Рассмотрим, как может осуществляться проверка документа, подписанного КЭП, с приложением МЧД

1. Получение пакета документов с МЧД. Далее уже первая развилка, что проверять первым - направленный документ или файл МЧД. Логика здесь следующая: сначала мы проверяем ЭП документа, она проходит проверку, затем переходим к ЭП МЧД - допустим, что ЭП МЧД уже не проходит проверку, поэтому может сначала нужно было проверить МЧД, если она действительная, то переходить к документу, если нет, то сразу отказ в приеме документа? Нет, всё таки мы обмениваемся конкретными документами, а не МЧД, поэтому в первую очередь нужно проверять их, МЧД является приложением к документу.

2. Проверка ЭП документа, действительности квалифицированного сертификата. Далее важно установить связь между сертификатом ФЛ и МЧД, это можно сделать через связку ФИО+СНИЛС или ФИО+ИНН (вдруг приложена МЧД иного лица?) Если связь установлена, то переходим непосредственно к проверке МЧД, там самое интересное.

3. Проверка МЧД.
223 постановление говорит, что при проверке МЧД необходимо:
🔹проверить срок действия МЧД на момент подписания документа, причём получить эту информацию от оператора ИС, в которой хранится МЧД. Соответственно интеграция с ИС хранения МЧД, а не ЕСИА, куда операторы должны передавать информацию в том числе фактах отмены МЧД. В постановлении ничего не говорится про проверку статуса доверенности.
🔹проверить полномочия, указанные в МЧД. Рассмотрим проверку полномочий из классификатора, т.к.если они текстовые, то их нужно вывести проверяющему лицу. Мне кажется, что это самое сложное и важно в процессе, т.к. из XML-МЧД нужно выделить одно или блок нужных нам полномочий, сопоставить их с классификатором, чтобы убедиться, что они действительно взяты из него. Далее сопоставить полномочия из МЧД с полномочиями, которые назначены пользователю при его регистрации в ИС (как без регистрации пользователь появится в ИС?) Допустим, у пользователя полномочия на подписание отчётов, а в МЧД включили подписание счетов, система должна вернуть ошибку, что нет нужного полномочия.
🔹проверка КЭП, которой подписана МЧД (есть смысл при проверке МЧД проверять сразу её ЭП, если она недействительная, то смысла других проверок нет)

4. По итогам проверки документа, МЧД и полномочий, выполнение действия, например, принятие счета к оплате.

Это упрощённый сценарий, чтобы обсудить тему с подписчиками, на практике всё сложнее, особенно с составными полномочиями. Надеюсь, что появятся более детальные методические рекомендации.