Вимоги Мінкомзв'язку до центру, що засвідчує. Посвідчувальні центри

МІНІСТЕРСТВО ЗВ'ЯЗКУ І МАСОВИХ КОМУНІКАЦІЙ РОСІЙСЬКОЇ ФЕДЕРАЦІЇ

НАКАЗ

23.11.2011 №320

Про акредитацію центрів, що засвідчують

На виконання пункту 3 частини 4 статті 8 Федерального закону від 6 квітня 2011 р. № 63-ФЗ «Про електронний підпис» (Збори законодавства Російської Федерації, 2011, № 15, ст. 2036; № 27, ст. 3880)

кадрова документація, включаючи копії трудових договорів працівників, які безпосередньо здійснюють діяльність зі створення та видачі сертифікатів ключів перевірки електронних підписів (з додатком посадових регламентів) та копії документів працівників, які безпосередньо здійснюють діяльність зі створення та видачі сертифікатів ключів перевірки електронних підписів про вищу професійну освіту в області інформаційних технологій чи інформаційної безпеки (диплом встановленого державного зразка) чи копії документів про проходження перепідготовки або підвищення кваліфікації з питань використання електронного підпису (свідоцтва встановленого зразка);

необхідні реалізації передбаченої Федеральним законом про електронного підпису діяльності ліцензії та інші дозвільні документи.

15. Під час проведення документарної перевірки уповноважений орган немає права вимагати в перевіряється УЦ відомості та документи, які стосуються предмета документарної перевірки, і навіть відомості та документи, які можна одержати цим органом від інших органів державного контролю (нагляду), зокрема федерального органу виконавчої влади у сфері забезпечення безпеки, органів муніципального контролю.

V.Проведення виїзної перевірки

16. Предметом виїзної перевірки є відомості, що містяться в документах УЦ, а також відповідність їх працівників і технічних засобів УЦ, що надаються УЦ послуг вимогам, встановленим Федеральним законом про електронний підпис.

17. Виїзна перевірка (як планова, так і позапланова) проводиться за місцем знаходження акредитованого УЦ та (або) за місцем фактичного провадження діяльності УЦ.

18. Виїзна перевірка проводиться у разі, якщо при документарній перевірці не є можливим переконатися у повноті та достовірності відомостей, що містяться в документах УЦ, зазначених у пункті 14 цього Порядку, що підтверджують його відповідність вимогам Федерального закону про електронний підпис або перевірити виконання УЦ вимог органу.

19. Виїзна перевірка починається з пред'явлення службового посвідчення посадовими особами уповноваженого органу, обов'язкового ознайомлення керівника або іншої посадової особи УЦ з наказом керівника уповноваженого органу про призначення виїзної перевірки та з повноваженнями проведення виїзної перевірки перевірками осіб, а також , видами та обсягом заходів щодо контролю, складом експертів, представниками експертних організацій та, що залучаються до виїзної перевірки, з термінами та умовами її проведення.

20. Керівник, інша посадова особа або уповноважений представник УЦ, зобов'язані надати посадовим особам уповноваженого органу, які проводять виїзну перевірку, можливість ознайомитися з документами, пов'язаними з цілями, завданнями та предметом виїзної перевірки, а також забезпечити доступ посадових осіб, які проводять виїзну перевірку, та виїзній перевірці експертів, представників експертних організацій на територію, що використовуються УЦ при здійсненні діяльності будівлі, будівлі, споруди, приміщення, до використовуваних УЦ технічних засобів та програмного забезпечення.

21. Уповноважений орган має право залучати до проведення виїзної перевірки акредитованих УЦ експертів, експертні організації, які не перебувають у цивільно-правових та трудових відносинах з юридичною особою, індивідуальним підприємцем, щодо яких проводиться перевірка, та не є афілійованими особами осіб, які перевіряються. До проведення виїзної перевірки акредитованих УЦ можуть також залучатися співробітники інших органів державної влади у межах їхньої компетенції.

З метою підтвердження відповідності використання акредитованим УЦ засобів електронного підпису та засобів засвідчувального центру, вимогам технічної та експлуатаційної документації, до проведення виїзної перевірки акредитованих УЦ залучаються співробітники федерального органу виконавчої влади у сфері забезпечення безпеки.

VI. Підсумки проведення перевірки

22. За результатами перевірки посадовими особами уповноваженого органу складається акт за встановленою формою у двох примірниках.

В акті перевірки зазначаються:

1) дата, час та місце складання акта перевірки;

2) найменування уповноваженого органу;

3) дата та номер наказу керівника уповноваженого органу;

4) прізвища, імена, по батькові (за наявності) та посади посадової особи або посадових осіб, які проводили перевірку;

5) найменування акредитованого УЦ, що перевіряється, а також прізвище, ім'я, по батькові та посаду керівника, іншої посадової особи або уповноваженого представника юридичної особи, які були присутні при проведенні перевірки;

6) дата, час, тривалість та місце (місця) проведення перевірки;=

7) відомості про результати перевірки, у тому числі про виявлені порушення обов'язкових вимог та вимог, встановлених муніципальними правовими актами, про їх характер та про осіб, які допустили зазначені порушення;

8) відомості про ознайомлення або відмову в ознайомленні з актом перевірки керівника, іншої посадової особи або уповноваженого представника юридичної особи, індивідуального підприємця, її уповноваженого представника, які були присутні під час проведення перевірки, про наявність їх підписів або про відмову від підписання, а також відомості про внесення до журналу обліку перевірок запису про проведену перевірку або неможливості внесення такого запису у зв'язку з відсутністю юридичної особи, індивідуального підприємця зазначеного журналу;

9) підписи посадової особи чи посадових осіб, які проводили перевірку.

23. Акт перевірки оформляється безпосередньо після її завершення у двох примірниках, один з яких з копіями додатків вручається керівнику, іншій посадовій особі або уповноваженому представнику УЦ під розписку про ознайомлення або про відмову в ознайомленні з актом перевірки.

У разі відсутності керівника, іншої посадової особи або уповноваженого представника УЦ, а також у разі відмови особи, яка перевіряється, дати розписку про ознайомлення або про відмову в ознайомленні з актом перевірки акт надсилається рекомендованим поштовим відправленням з повідомленням про вручення, яке долучається до примірника акта перевірки у справі уповноваженого органу.

24. У разі виявлення недотримання акредитованими УЦ вимог Федерального закону про електронний підпис уповноважений орган після закінчення перевірки видає УЦ припис про усунення порушень у встановлений термін і зупиняє дію акредитації УЦ на даний термін з внесенням інформації про це до переліку акредитованих посвідчувальних центрів. призупинено.

25. У разі виявлення неусунення порушень УЦ у встановлений у приписі строк, уповноважений орган анулює акредитацію УЦ, вносить відповідну інформацію до переліку центрів, що засвідчують, акредитація яких анульована та надсилає до УЦ повідомлення про анулювання акредитації із зазначенням причин.

Відповідно до підпункту 1 частини 2 статті 8 Федерального закону від 6 квітня 2011 р. № 63-ФЗ «Про електронний підпис» (Збори законодавства Російської Федерації, 2011, № 15, ст. 2036; № 27, ст. 3880).

Відповідно до пункту 5 статті 12 Федерального закону від 26 грудня 2008 р. № 294-ФЗ «Про захист прав юридичних осіб та індивідуальних підприємців при здійсненні державного контролю (нагляду) та муніципального контролю» (Збори законодавства Російської Федерації, 2008 № 52, ст., 6249; 31, ст.31, ст. ;№ 30, ст.

Федеральний закон від 30 грудня 2015 року № 445-ФЗ «Про внесення змін до Федерального закону «Про електронний підпис»» посилив вимоги до діяльності центрів, що засвідчують.

Ці зміни очікувалися давно, оскільки питань до діяльності УЦ було багато. Можна виділити три групи змін:

• Докладніше регламентовано процедуру випуску УЦ сертифіката ключа перевірки підпису;


• Уточнено зміст інформації у сертифікатах;


• Значно збільшено вимоги до чистих активів УЦ та їх фінансового забезпечення за збитки, заподіяні третім особам.

Насамперед, у статті 13 «Посвідчувальний центр» уточнено, що УЦ не просто «створює сертифікати ключів перевірки електронних підписів та видає такі сертифікати особам, які звернулися за їх отриманням (заявникам)», - він здійснює це «за умови встановлення особи одержувача сертифіката ( заявника) або повноваження особи, яка виступає від імені заявника, за зверненням за отриманням цього сертифіката».

Одночасно УЦ «здійснює відповідно до правил підтвердження володіння ключем електронного підпису підтвердження володіння заявником ключем електронного підпису, який відповідає ключу перевірки електронного підпису, вказаному ним для отримання сертифіката ключа перевірки електронного підпису».

Мій коментар:Наскільки ці вимоги ускладнять роботу центрів, що засвідчують, реально можна буде оцінити тільки після затвердження підзаконних нормативно-правових актів та встановлення відповідних вимог до цієї роботи.

Обов'язки центру, що засвідчує, у зв'язку з цим розширені, і тепер він повинен відмовити заявнику у створенні сертифіката ключа перевірки електронного підпису у разі:

• Якщо не було підтверджено те, що він має ключ електронного підпису, який відповідає ключу перевірки електронного підпису, вказаному ним для отримання сертифіката;


• Негативного результату перевірки в реєстрі сертифікатів є унікальність ключа перевірки електронного підпису, вказаного ним для отримання сертифіката.

Забороняється вказувати в сертифікаті, що створюється УЦ, ключ перевірки електронного підпису, «який міститься в сертифікаті ключа перевірки електронного підпису, виданому цьому посвідчувальному центру будь-яким іншим центром, що засвідчує» (п.2.1).

Мій коментар:Цікаво, це тільки мені одним дане формулювання здається незрозумілим?

Визначено ще один важливий момент. Тепер центр, що засвідчує, має право наділити третіх осіб (далі - довірені особи) повноваженнями. тільки з вручення сертифікатіввід імені цього посвідчувального центру ( раніше УЦ мав право наділити повноваженнями створюватисертифікати – Н.Х.). При врученні сертифіката довірена особа має встановити особу одержувача чи повноваження особи, виступає від імені.

Уточнено зміст сертифіката ключа перевірки електронного підпису (ст. 14), у якому мають бути зазначені:

• Унікальний номер сертифіката ключа перевірки електронного підпису, дати початку та закінчення терміну дії такого сертифіката;


• Унікальнийключ перевірки електронного підпису.

Центр, що засвідчує, анулює сертифікат ключа перевірки електронного підпису у випадках, якщо (п.6.1):

• Не підтверджено, що власник сертифіката має ключ ЕП, який відповідає ключу перевірки електронного підпису, зазначеному в такому сертифікаті;


• Встановлено, що ключ перевірки ЕП, що міститься в такому сертифікаті, вже міститься в іншому раніше створеному сертифікаті;


• Набуло чинності рішення суду, яким, зокрема, встановлено, що сертифікат містить недостовірну інформацію.

Скорочено термін, протягом якого УЦ має внести інформацію про припинення дії сертифіката. Якщо раніше інформація до реєстру повинна була бути внесена протягом одного робочого дня з дня настання обставин, що спричинили припинення дії сертифікату, то тепер інформація має бути внесена « протягом дванадцятої годиниз моменту настання обставин, зазначених у частинах 6 та 6.1 цієї статті, або протягом дванадцятої години з моменту, коли засвідчувальному центру стало відомо або мало стати відомо про настання таких обставин» (п.7).

У статті 15. встановлені нові вимоги до акредитованих центрів, що посвідчують. Акредитований центр, що посвідчує:

• Для підписання від свого імені кваліфікованих сертифікатів зобов'язаний використовувати кваліфікований електронний підпис, що базується на кваліфікованому сертифікаті, виданому йому головним центром, що засвідчує (п.2.1.).


• зобов'язаний виконувати встановлений порядок реалізації функцій та виконання обов'язків відповідно до затверджених уповноваженим федеральним органом вимог (п.5);


• Не мають права наділяти третіх осіб повноваженнями щодо створення ключів кваліфікованих електронних підписів та кваліфікованих сертифікатів від його імені (п.6);


• Несе цивільно-правову та/або адміністративну відповідальність відповідно до законодавства РФ за невиконання встановлених обов'язків (п.7).

Істотно змінено умови акредитації УЦ, яка здійснюватиметься за умови виконання наступних нових вимог:

• Вартість чистих активів центру, що посвідчує, повинна становити 7 мільйонів рублів(раніше потрібно - щонайменше 1 мільйон рублів);


• Наявність фінансового забезпечення відповідальності за збитки, заподіяні третім особам внаслідок їх довіри до інформації, зазначеної в сертифікаті ключа перевірки ЕП, виданому таким УЦ, або інформації, що міститься в реєстрі сертифікатів, який веде такий УЦ – від 30 до 100 мільйонів рублів. (Раніше - не менше ніж 1,5 мільйона рублів);


• Наявності в УЦ коштів, що дозволяють при зверненні учасника електронної взаємодії встановлювати та підтверджувати дійсність кваліфікованого сертифіката на момент підписання електронним підписом електронного документа та які мають підтвердження відповідності вимогам, встановленим федеральним органом виконавчої влади у сфері забезпечення безпеки (набирає чинності з 31 грудня2);


• Наявність у посвідчувального центру порядку реалізації функцій центру, що посвідчує, і виконання його обов'язків;

Після отримання свідоцтва про акредитацію УЦ зобов'язаний здійснити приєднання своєї інформаційної системи до інформаційно-технологічної та комунікаційної інфраструктури у порядку, встановленому відповідно до частини 4 статті 19 Федерального закону від 27 липня 2010 року № 210-ФЗ «Про організацію надання державних та муніципальних послуг» . І лише після цього уповноважений федеральний орган видасть УЦ кваліфікований сертифікат, створений із використанням коштів головного центру, що засвідчує (частина 5).

Мій коментар:Таким чином, всі акредитовані центри, що посвідчують, будуть зобов'язані підключитися до системи СМЕВ. Без цього вони просто не зможуть розпочати роботу.

У статті 17 уточнено, яку інформацію про власника має містити кваліфікований сертифікат.

• Для фізичної особи - прізвище, ім'я та по батькові (якщо є);


• Для індивідуального підприємця – прізвище, ім'я, по батькові (якщо є) та основний державний реєстраційний номер індивідуального підприємця – власника кваліфікованого сертифікату;


• Для російської юридичної особи - найменування, місце знаходження та основний державний реєстраційний номер;


• Для іноземної організації (зокрема філій, представництв та інших відокремлених підрозділів іноземної організації) - або найменування, місце знаходження, і навіть ідентифікаційний номер платника податків (за наявності).

Мій коментар:Якщо раніше були встановлені лише вимоги для власників кваліфікованого сертифіката фізичних та юридичних осіб, то тепер окремо встановлені вимоги для індивідуальних підприємців, російських юридичних осіб та іноземних організацій

Законом встановлено заборону операторам наступних інформаційних систем вимагати наявність у кваліфікованому сертифікаті інформації, що обмежує його застосування в інших інформаційних системах:

• Державних та муніципальних інформаційних систем;


• Інформаційні системи, використання яких передбачено нормативними правовими актами;


• Інформаційних систем загального користування немає права.

Мій коментар:На законодавчому рівні зроблено спробу уніфікувати кваліфіковані сертифікати для того, щоб ЕП можна було б використовувати в будь-яких інформаційних системах без обмежень. Наскільки ця вимога виконуватиметься, покаже лише правозастосовна практика.

У статті 18 «Видача кваліфікованого сертифікату» змінено процедуру подання документів та інформації в УЦ. Після того, як заявник надасть в УЦ інформацію, документи або їх належним чином засвідчені копії. акредитований центр з використанням інфраструктури здійснює перевірку достовірності документів та відомостей, поданих заявником. Для заповнення кваліфікованого сертифіката акредитований УЦ запитує та отримує з державних інформаційних ресурсів:

• Витяг з єдиного державного реєстру юридичних осіб щодо заявника - юридичної особи;


• Витяг з єдиного державного реєстру індивідуальних підприємців щодо заявника - індивідуального підприємця;


• Витяг з Єдиного державного реєстру платників податків щодо заявника - іноземної організації.

У разі, якщо отримані відомості підтверджують достовірність інформації, поданої заявником, та УЦ встановлено особистість заявника – фізичної особи або отримано підтвердження правомочий особи, яка виступає від імені заявника – юридичної особи, УЦ здійснює процедуру створення та видачі кваліфікованого сертифіката. Інакше УЦ відмовляє у видачі.

Мій коментар:Процедура видачі сертифікатів безпосередньо пов'язана на перевірці та підтвердженні достовірності інформації та документів заявників. Слід враховувати, що УЦ доведеться не лише проводити перевірки, а й ретельно документувати всі процедури, оскільки, напевно, це питання контролюватиметься, і за його порушення УЦ притягуватимуться до відповідальності.

Посвідчувальні центри, що мають чинну акредитацію на день набрання чинності новими законодавчими нормами, зобов'язані протягом одного рокузабезпечити відповідність новим вимогам, що пред'являються до акредитованих центрів, що засвідчують (ст.2).

Щоб отримати некваліфікований та кваліфікований сертифікат електронного підпису, необхідно звернутися до одного з центрів, що засвідчують. Які функції виконують центри, що засвідчують, і скільки часу займе отримання сертифіката?

Посвідчувальний центр (УЦ) – довірена організація, яка має право випускати сертифікати електронного підпису юридичнимі фізичнимособам. Робота УЦ лежить на перетині юриспруденції, інформаційної безпеки та ІТ-технологій.

До обов'язків УЦ входять:

• засвідчити особу людини, яка звернулася за сертифікатом електронного підпису,
• виготовити та видати сертифікат, до якого включені дані про власника сертифіката та його відкритий ключ перевірки,
• керувати життєвим циклом сертифікату (випуск, призупинення, поновлення, закінчення терміну дії).

Які види підписів видає УЦ?

Визначено три види підпису:

• проста,
• посилена некваліфікована,

Отримувати в УЦ необхідно останні дві:

• за кваліфікованим підписом слід звертатися лише до акредитований Минкомсвязью РФ що посвідчує центр.
• за некваліфікованою — в УЦ, який пов'язаний із тією інформаційною системою, де планується застосовувати підпис. Наприклад, видавати некваліфіковані сертифікати для торгів можуть лише УЦ, акредитовані шістьма федеральними електронними торговими майданчиками. При цьому УЦ може і не бути акредитованим у Мінкомзв'язку.

Вимоги до УЦ

Від коректної роботи УЦ залежить довіра до всіх сфер бізнесу, де застосовуються електронні підписи: електронні торги, інформаційні системи, звітності. Тому до всіх УЦ накладаються серйозні технічні та юридичні вимоги.

Існує ряд показників, за якими можна оцінити центр, що засвідчує. Надійний УЦ:

• акредитований Мінкомзв'язку РФ,
• є довіреним центром ФНП, ПФР, Росстату,
• має ліцензію ФСТЕК на діяльність з технічного захисту конфіденційної інформації,
• ліцензію Центру з ліцензування, сертифікації та захисту державної таємниці ФСБ Росії,
• акредитований на всіх електронних торгових майданчиках держзакупівель,
• довго працює
• має представників у різних регіонах Росії
• надає цілодобову техпідтримку

Скільки часу займає отримання сертифіката підпису?

Строки випуску сертифіката залежать від обох сторін:

• від того, наскільки швидко клієнт підготує всі необхідні документи та сплатить випуск сертифікату,
• наскільки швидко фахівці УЦ опрацюють заявку, перевірять документи та засвідчать його особу.

У середньому отримання сертифіката займає 1 робочого дня. В УЦ СКБ Контур є послуга термінового випуску електронного підпису за 1 годину після отримання потрібних документів.