Электронная подпись, токены и криптопровайдеры: как не потерять доступ к отчётности и ЭДО

Когда бухгалтер получает квитанцию с формулировкой «подпись недействительна» или «сертификат отозван», время уже работает против него: срок сдачи отчёта ограничен, ЭДО-документ от контрагента ждёт подписи, а контрагент ждёт закрывающие. Электронная подпись, токены и криптопровайдеры — это три звена одной цепочки, и если ломается хотя бы одно, вся отчётность и электронный документооборот встают. Ниже разобрано, как устроена эта связка, что проверять в Saby и СБИС, чтобы отчёты уходили в ФНС, СФР и контрагентам без отказов, и что делать, если подпись уже не работает.

Как связаны электронная подпись, токен и криптопровайдер

Разбираться в этой связке нужно хотя бы для того, чтобы понимать, что именно менять при сбое — сертификат, носитель или программу.

Электронная подпись — это криптографический результат, который подтверждает авторство и неизменность документа. По 63-ФЗ есть три вида: простая (ПЭП), неквалифицированная (НЭП) и квалифицированная (КЭП). Для отчётности в ФНС, СФР, для ЭДО с контрагентами и для работы с МЧД на практике используется КЭП, выданная аккредитованным удостоверяющим центром.

Токен — это физический носитель, на котором лежит закрытый ключ подписи. Это не «флешка с файлами», а защищённое устройство с криптографическим чипом. Именно поэтому его нельзя просто скопировать проводником: ключ записан в защищённую область и переносится только через криптопровайдер. Сейчас массово используются Рутокен ЭЦП 3.0, JaCarta-2 ГОСТ и аналогичные носители. Устаревшие Рутокен 2.0 и подобные им постепенно выходят из оборота: они не поддерживают актуальные алгоритмы и подписи на них блокируются.

Криптопровайдер — это программа, которая умеет работать с ключом: шифрует, подписывает, проверяет подпись и обращается к токену. Основной на рынке — КриптоПро CSP, есть и отечественные аналоги (например, ViPNet CSP, Signal-COM). Без криптопровайдера ни Saby, ни СБИС, ни Контур.Экстерн, ни Диадок не увидят ни сертификат, ни закрытый ключ.

Вывод простой: сертификат можно перевыпустить, криптопровайдер — обновить, а токен — заменить. Но если носитель физически устарел, никакое обновление ПО не поможет.

Когда подпись перестаёт работать без предупреждения

Сбои почти никогда не происходят «вдруг». Есть три типовых сценария.

Первый — смена алгоритмов на стороне оператора. ФНС переходит на новые ГОСТы, и старые подписи перестают приниматься. В этом случае отчёт не отклоняется сразу с понятной ошибкой, а сначала уходит с формулировкой об ошибке проверки подписи.

Второй — истёк срок действия сертификата. КЭП обычно выдаётся на 12–15 месяцев. Если бухгалтер не следит за датой, узнать об этом можно в самый неудобный момент — при отправке квартального отчёта.

Третий — носитель физически не поддерживает актуальную криптографию. Как только ФНС или СФР ужесточают требования, Рутокен 2.0 и аналогичные устройства перестают проходить проверку. Исправить это обновлением драйверов или криптопровайдера нельзя — нужен новый токен, например Рутокен ЭЦП 3.0.

Отдельно стоит упомянуть изменения по 63-ФЗ, которые поэтапно вступают в силу: меняются требования к аккредитации УЦ, к форматам МЧД, к хранению ключей. Бизнесу важно не пропустить дату вступления — она и определяет, когда прежняя связка «токен + сертификат» перестанет быть рабочей.

Как проверить токен и криптопровайдер в Saby и СБИС

Проверка занимает 5–10 минут, но экономит дни простоя. Порядок такой.

Сначала посмотрите, какой носитель определяется. В Saby и СБИС откройте раздел с электронной подписью (обычно «Электронная подпись» или «Настройки → Подпись») и нажмите «Проверить». Система покажет, видит ли она подключённый токен, какой сертификат считывается и действителен ли он.

Затем уточните модель токена. На корпусе Рутокена указано «ЭЦП 2.0» или «ЭЦП 3.0», у JaCarta — маркировка модели. Если это Рутокен 2.0 или другое устаревшее устройство, решается вопрос о замене.

Далее посмотрите версию криптопровайдера. В КриптоПро CSP она отображается в окне «Общие» при запуске программы. Для актуальных нужд нужна версия 5.0 R2 и выше. Если версия старше, криптопровайдер обновляют с сайта производителя, предварительно сохранив лицензию.

После обновления ПО перезапустите Saby или СБИС и заново проверьте подпись. Если отчёт всё равно не проходит, отправьте его повторно с включённым протоколом проверки — по нему видно, на каком этапе отваливается подпись: на считывании сертификата, на проверке цепочки или на стороне приёмника.

Полезно один раз в квартал прогонять эту проверку до сдачи отчётности, а не в день дедлайна.

Что делать, если токен устарел: замена и перенос ключа

Если носитель — Рутокен 2.0 или аналогичное устройство с поддержкой только старых алгоритмов, порядок действий такой.

Купите актуальный носитель. На сегодня стандарт — Рутокен ЭЦП 3.0 (или аналог, включённый в перечень поддерживаемых ФНС и оператором ЭДО). Обычно его выдают в том же удостоверяющем центре, где обслуживается подпись, либо продают отдельно.

Далее есть два пути. Если сертификат ещё действителен и УЦ подтверждает совместимость, контейнер ключа копируется со старого токена на новый через криптопровайдер (в КриптоПро CSP — «Сервис → Копирование контейнера»). При использовании Рутокена 3.0 перевыпуск сертификата не требуется — подпись продолжает действовать с тем же сертификатом.

Если сертификат уже на старых алгоритмах или истекает, оформляется новый в УЦ. Это дольше — нужно подать заявление, подтвердить личность, иногда — лично прийти в УЦ или пройти удалённую идентификацию.

После переноса или перевыпуска сертификат нужно заново установить в Saby/СБИС и в Контур.Экстерн, если он используется для отчётности. В Saby при выборе подписи в карточке организации укажите новый сертификат и сохраните настройки. В Контур.Экстерн сертификат подключается в разделе «Подпись и шифрование» — после обновления отправьте тестовый отчёт или проверочный документ.

Требования ФНС, СФР и что грозит за просрочку

ФНС принимает отчётность только с валидной КЭП, выпущенной аккредитованным УЦ. Если подпись не проходит проверку, отчёт считается непредставленным — это не «ошибка отправки», а именно отсутствие отчётности со всеми вытекающими: блокировка счёта по ст. 76 НК РФ, штраф по ст. 119 НК РФ, пени.

СФР с недавних пор усилил требования к электронной подписи для сдачи ЕФС-1 и других форм. Здесь важна не только корректная КЭП, но и действующая МЧД — машиночитаемая доверенность, если подписывает не директор, а уполномоченное лицо (главбух, сотрудник по доверенности). Если МЧД просрочена или в ней не тот сертификат, отчёт уходит в отказ.

Отдельный блок — электронные документы ЭДО. В Диадоке и СБИС.ЭДО отклонённый документ означает для контрагента, что сделка не подтверждена. Если это акт или УПД по крупному контракту, у покупателя могут возникнуть вопросы по вычету НДС, а у продавца — по признанию выручки. Поэтому важно не оставлять «красные» документы без ответа больше одного рабочего дня.

Частые ошибки и как действовать, если отчёт не приняли

Ошибка «не удалось проверить подпись». Первым делом проверьте, какой сертификат выбран при отправке. В Saby в карточке организации часто «залипает» старый сертификат, даже если уже установлен новый. Переключите на актуальный и отправьте заново.

Ошибка «сертификат отозван». Загляните в личный кабинет УЦ: причина может быть в смене паспортных данных, реорганизации компании или в решении самого УЦ. Пока сертификат не перевыпущен, отчёт отправить не получится.

Ошибка «контейнер ключа не найден». Обычно это про криптопровайдер: он не видит токен или лицензия на него не активна. Проверьте, определяется ли устройство в диспетчере, и активна ли лицензия КриптоПро.

Отказ по МЧД. В ответе ФНС или СФР видно, что машиночитаемая доверенность не найдена или не соответствует сертификату. Откройте реестр МЧД, проверьте срок действия, полномочия и связку с конкретным сертификатом подписанта. Если требуется — выпустите новую МЧД и привяжите её к отправителю.

Отказ из-за несоответствия формата. Иногда причина не в подписи, а в самом файле: устаревший формат, неверный XML-тег, ошибка в контрольных соотношениях. Тогда помогает проверка встроенным тестером Saby или Контур.Экстерна до отправки — он покажет конкретную строку с ошибкой.

Правило простое: не отправляйте повторно то же самое «наугад». Сначала посмотрите протокол, потом устраняйте причину.

Как выбрать сервис под конкретную задачу

Saby и СБИС традиционно сильны как единая среда: там и отчётность, и ЭДО, и кадры, и бухгалтерия, и работа с МЧД. Один вход, один сертификат, сквозные статусы. Для компаний с большим объёмом документов и несколькими юрлицами это удобно.

Контур.Экстерн чаще выбирают те, кому важна именно отчётность с прозрачным разбором ошибок и подробными подсказками на каждом шаге. Диадок — если основной фокус на ЭДО с контрагентами и нужны гибкие маршруты согласования, интеграция с 1С и удобная работа с УПД, актами, счетами-фактурами.

Многие компании работают в связке: отчётность через один сервис, ЭДО — через другой. Это нормально, если оба поддерживают актуальные ГОСТы, КриптоПро 5.0 и Рутокен 3.0. Проверить это стоит до покупки, а не после.

Частые вопросы

Что делать, если пришло требование ФНС, а подпись не работает?

Сначала посмотрите срок ответа — обычно он 5 или 10 рабочих дней в зависимости от типа требования. Если подпись не проходит, восстановите её как можно быстрее: перевыпустите сертификат в УЦ или перенесите контейнер на совместимый токен. Пока подпись не работает, ответить на требование нельзя, но можно уведомить инспекцию через личный кабинет налогоплательщика или по телефону. После восстановления ответ отправляется через Saby, СБИС или Контур.Экстерн с тем же вложением.

Как понять, что мой токен устарел?

Посмотрите маркировку на корпусе. Рутокен 2.0 и его аналоги на сегодня не поддерживают актуальные алгоритмы, хотя внешне выглядят рабочими. Если Saby или СБИС пишет «носитель не поддерживается» либо ФНС отклоняет подпись по алгоритму, это верный признак. Обходной путь один — заменить токен на Рутокен ЭЦП 3.0 или аналог.

Нужно ли перевыпускать сертификат при замене токена?

Не всегда. Если используется Рутокен ЭЦП 3.0 и старый сертификат выпущен с поддержкой актуальных алгоритмов, контейнер просто копируется с прежнего носителя на новый через криптопровайдер. Сертификат и его срок действия сохраняются. Перевыпуск нужен, если старый сертификат выпущен на устаревших ГОСТах или уже истекает.

Что делать, если СБИС не видит токен?

Проверьте порядок: подключён ли токен в USB-порт напрямую (не через хаб), установлен ли драйвер производителя, активна ли лицензия КриптоПро CSP, обновлена ли сама программа СБИС до актуальной версии. Если токен виден в диспетчере устройств, но не в СБИС — обычно причина в криптопровайдере. Перезапуск службы КриптоПро и повторная проверка подписи решают большую часть таких случаев.

Можно ли подписывать отчёты на старом Рутокене 2.0?

По актуальным требованиям ФНС — нет. Старые носители не поддерживают актуальные алгоритмы, и подпись просто не проходит проверку на стороне приёмника. Обновление ПО или драйверов здесь не помогает, нужен новый носитель. Эксплуатация устаревшего токена допустима только для внутренних задач, где подпись не проверяется внешним контуром.

Как быстро выпускается новый сертификат КЭП?

В большинстве аккредитованных УЦ срок — от нескольких часов до двух рабочих дней при дистанционной идентификации. Если требуется личный визит, срок может увеличиться. Для бухгалтера критично начинать этот процесс не в последний день сдачи отчётности, а минимум за неделю до дедлайна.

Что делать, если контрагент не принял документ в ЭДО из-за подписи?

Сначала проверьте статус документа у себя: возможно, подпись прошла, но контрагент увидел ошибку в самом файле — в сумме, дате, реквизитах. Если ошибка в подписи, перевыпустите документ и подпишите его заново актуальным сертификатом. Если причина в МЧД — проверьте, привязана ли доверенность к сертификату подписанта и действует ли она сейчас.

Обязательно ли менять криптопровайдер вместе с токеном?

Не всегда. Установленный КриптоПро CSP 5.0 R2 и выше работает и со старыми, и с новыми токенами. Обновление криптопровайдера требуется, если версия устарела и не поддерживает актуальные алгоритмы. В этом случае сначала обновляют КриптоПро, а затем при необходимости меняют носитель.

Что сделать в ближайшие дни

Проверьте три вещи: модель токена, версию криптопровайдера и срок действия сертификата. Один раз пройдите этот чек-лист в Saby, СБИС или Контур.Экстерне и запишите дату проверки. Если токен — Рутокен 2.0 или подобный, планируйте замену заранее, не дожидаясь следующего дедлайна. Если сертификат истекает в ближайшие месяцы — запускайте перевыпуск уже сейчас, чтобы сдача отчётности и обмен документами с контрагентами шли без сбоев. И держите под рукой реквизиты УЦ: в критичной ситуации именно оттуда приходит решение быстрее всего.