✍️Изменения состава Правительственной комиссии, уполномоченной на принятие решения об аккредитации УЦ

Изменения последуют после освобождения от должности председателя Правкомиссии - вице-премьера Григоренко Д.Ю.

Традиционно эту должность занимает вице-премьер, курирующий цифровой блок Правительства. По информации Ведомостей это снова будет Чернышенко Д.Н., который ранее уже возглавлял Правкомиссию.

При отсутствии председателя Правкомиссии обязанность по подписанию протоколов голосования исполняет заместитель председателя - Министр цифрового развития. Шадаев М.И. уже подписывал протоколы в 2024 году.

Дмитрий Юрьевич для нашей сферы летом подписал два плана графика подготовки НПА - для реализации изменений в 63-ФЗ и в части регулирования деятельности Национального УЦ.

✍️Об ЭП и УЦ

📣Аккредитация УЦ 2026, шестой протокол

В соответствии с решением Правительственной комиссии, уполномоченной на принятие решения об аккредитации удостоверяющих центров (протокол от 19.10.2026 № 6пр), продлена аккредитация удостоверяющих центров Электронной Москвы (действовала до 27.12.2026) и Альфа-Банка (действовала до 08.02.2027).

До конца года аккредитация истекает у 3 УЦ: Модум, Роскадастр и Аналитический центр.

✍️"Об ЭП и УЦ"

⚡️⚡️⚡️Рабочая группа CA/B Forum рассмотрит возражение против бюллетеня SC-081v3 по необоснованному сокращению сроков действия TLS-сертификатов

Официальное возражение в связи с сокращением сроков действия сертификатов (максимальное до 47 дней), принятым в рамках голосования SC-081v3, написал ИТ-директор компании Recore Electrical Contractors Натанаэль А. Смит.

Он считает принятое решение неоправданной операционной нагрузкой на организации, т.к. оно не учитывает в достаточной мере реальные корпоративные среды, где сертификаты необходимо устанавливать, привязывать и активировать вручную в многочисленных приложениях, устройствах и серверах.

Организации не должны быть вынуждены приобретать дополнительные продукты, разрабатывать собственную систему автоматизации или мириться со значительно возросшей рабочей нагрузкой только для того, чтобы поддерживать безопасную связь. Вызывает беспокойство, что эти требования могут побудить небольшие организации и администраторов с ограниченными ресурсами отказаться от HTTPS на определенных сервисах или использовать небезопасные обходные пути, вместо того чтобы соблюдать все более непрактичные графики продления.

Он призывает CA/Browser Forum:
🔹Пересмотреть требование о максимальном сроке действия сертификата в 47 дней.
🔹Оценить операционное и финансовое влияние на организации, использующие устаревшую и специализированную корпоративную инфраструктуру.
🔹До ввода дальнейших ограничений реализовать поддержку со стороны отрасли в части автоматического развертывания сертификатов.
🔹Рассмотреть исключения или альтернативные требования для корпоративных систем, которые не могут в разумных пределах поддерживать автоматическое обновление и развертывание.
🔹Опубликовать оценку, демонстрирующую, что дополнительные преимущества в области безопасности оправдывают операционную нагрузку, налагаемую на пользователей сертификатов.

Стандарты безопасности должны повышать уровень защиты, не создавая при этом излишних трудностей или высоких затрат на поддержание защищенной инфраструктуры.
Я с уважением прошу направить этот отзыв в Рабочую группу по серверным сертификатам и учесть его в будущих обсуждениях требований к действительности сертификатов.

- завершает он.

Решение SC-081v3 было принято в апреле 2025 года, но 47-дневный максимальный срок не будет применяться до 15 марта 2029 года, поэтому есть время для пересмотра этого заключительного этапа. Я прошу председателя рассмотреть вопрос о том, следует ли рабочей группе до этого времени опубликовать оценку операционного воздействия на абонентов, которые не могут автоматизировать свою деятельность, как того требует Натанаэль.

В целях прозрачности, это в моих собственных интересах: я напрямую управляю сертификатами, и их сокращение создает существенную операционную нагрузку на отдельных лиц и небольшие организации, подобные моей.

- пишет участник форума Сантош Пандит.

✍️"Об ЭП и УЦ"

✍️Комитет по охране здоровья Госдумы поддержал законопроект о возможности подписания согласия на медицинское вмешательство или отказа от него, а также информационного листка пациента с использованием НЭП Госключа.

В опубликованных материалах инициатива характеризуется как важная,но сохраняется большая вероятность, что технология не получит широкого распространения, поскольку в текущих условиях подписание документа на бумаге остается более простым вариантом.

А как вам вариант использования НЭП Госключа для подтверждения ознакомления с информацией, содержащейся в квалифицированном сертификате, согласно части 3 статьи 18? Такой возможности сейчас нет, но если Госключ получил такое широкое распространение, а для получения сертификата НЭП достаточно подтвержденной УЗ ЕСИА, то эта норма могла бы избавить УЦ от бумажного ознакомления.

P.S. Вопрос с бумажным заявлением при личном присутствии остается открытым.

✍️"Об ЭП и УЦ"

⚡️Китай ужесточает контроль в сфере электронной подписи: 58 удостоверяющих центров обязали завершить реформу до 30 октября

14 октября 2026 года Департамент развития информационных технологий Министерства промышленности и информатизации КНР провел совещание с руководителями 58 аккредитованных удостоверяющих центров. Про тему электронной подписи в Китае я давно хочу написать более подробно, до этого дойдет. Начав готовить материал я столкнулся с тем, что у них нет даже перечня аккредитованных УЦ - все данные в разрозненных реестрах. Цифра 58 УЦ - из пресс-релиза.

Темой прошедшего совещания стал переход на новую редакцию «Правил и спецификаций ведения деятельности в сфере электронной сертификации». Переходный период завершается 30 октября 2026 года и после этой даты Министерство переходит к полномасштабным проверкам, отстающим грозит приостановка бизнеса, вплоть до отзыва лицензии.

Четыре обязательных требования:
🔹 Идентификация только в УЦ - проверку личности проводит только сам удостоверяющий центр, передача полномочий иным организациям запрещено - любое другое юридическое лицо уже считается внешним.
🔹 Соглашение только с УЦ - договор об оказании услуг заключается напрямую между УЦ и получателем сертификата.
🔹 Фиксация волеизъявления - намерение заявителя должно быть записано и прослеживаемо по всей цепочке. Для сертификатов повышенного уровня требуется аудио- или видеоподтверждение, для базовых - прослеживаемая запись подтверждения.
🔹 Контролируемое управление ключом - закрытые ключи хранятся у заявителя. Если УЦ размещает ключи у себя, требуется письменное разрешение, шифрованное хранение и полная запись каждого использования.

Что ещё можно узнать из новости: были заслушаны доклады семи ключевых организаций, включая CFCA, Hangzhou Tiangu, Tianwei Chengxin и Beijing Digital. После завершения переходного периода организации обязаны своевременно опубликовать Правила ведения деятельности (CPS) и строго их соблюдать. Установлен запрет на необоснованную приостановку деятельности. Китай понимает. что удостоверяющие центры - фундамент цифрового доверия: электронное правительство, онлайн-сделки, юридически значимый документооборот. Суды уже применяют новый стандарт на практике: в недавнем деле суд Цзиндэчжэня потребовал отчет об идентификации непосредственно в УЦ, указав, что УЦ не вправе поручать проверку личности третьей стороне.

Когда подобные встречи последний раз проводились в нашей стране между регуляторами и УЦ?

Согласно публикации Министрества промышленности от 23.10.2026 в соответствии с планом разработки и пересмотра отраслевых стандартов завершена разработка 14 отраслевых стандартов, включая «Правила и спецификации для бизнеса электронной аутентификации».

✍️"Об ЭП и УЦ"

© Пятая межотраслевая конференция АБИСС по регуляторике в сфере ИБ | Итоги ➤

По итогам конференции АБИСС подготовлен материал, в котором зафиксированы основные планы ФСТЭК России, Банка России, ФСБ России, Минэнерго на ближайшее время по изменению регулирования в сфере ИБ.

🏛 Цифровой суд

В Российской газете вышел материал "Правосудие не всегда учитывает особенности современной среды".

Делается вывод, что суды разных инстанций не всегда учитывают особенности цифровой среды. Имеют место случаи, когда ими игнорируется необходимость установления всей цепочки цифровых следов и закрепления их в правовом поле.

Подобный подход наблюдается на примере нашей сферы - только по наличию картинки об электронной подписи и без проверки самой электронной подписи, суды делают выводы, что документы были подписаны.

Для решения проблемы авторы статьи предлагает создать специализированные цифровые суды с особой компетенцией по делам, связанным с правонарушениями в цифровой среде.

Это решение можно поддерживать, так как классические юристы не могут разобраться в вопросах сферы электронной подписи, простой оператор УЦ знает больше них, нужны цифровые юристы.

✍️"Об ЭП и УЦ"

✍️О внесении изменений в некоторые нормативные правовые акты ФСБ России, устанавливающие обязательные требования в сфере государственной безопасности, связанные с использованием электронной подписи

Сегодня вступает в силу 355 приказ ФСБ России, которым внесены изменения в 6 приказов регулятора в части исключения сроков их действия, а также актуализации норм, например, замены 17 приказа ФСТЭК России на 117.

Также в рамках "проблемы 2027" ранее на 6 лет продлен срок действия постановления Правительства о размере финансовой ответственности ДТС, на очереди приказы Минцифры (админрегламент по ДТС ранее был заменён, поэтому остаётся ещё 5 приказов Минцифры, ограниченных 01.03.2028).

⚖️ Судебная практика. А была ли кибератака?

Восьмой арбитражный апелляционный суд (дело А70-12019/2026) оставил в силе решение о включении ИП в реестр недобросовестных поставщиков на 2 года. ИП не подписал контракт по итогам электронного аукциона, сославшись на… хакерскую атаку.

Заказчик разместил проект контракта 21.04.2026, срок подписания - до 28.04.2026. Предприниматель контракт не подписал и обеспечение не предоставил. Ссылался на то, что 22.04.2026 его компьютер подвергся кибератаке, и возможность подписать контракт появилась только 29.04.2026.

Две судебные инстанции решили:
🔹21.04.2026 у предпринимателя была реальная возможность подписать контракт, но он этого не сделал.
🔹21 и 22 апреля он заходил в личный кабинет на электронной площадке, но никаких действий не совершил.
🔹Токен - съёмный носитель, его можно использовать на любом другом компьютере.
🔹Доказательств, что подписать контракт было невозможно с иного устройства, не представлено.

Ключевой тезис суда:

Предприниматель при должной степени заботливости и осмотрительности должен обеспечить исправность и непрерывность работы компьютерной техники, обслуживающей сетевые операции с электронной площадкой или вовремя найти ей замену. Бездействие ИП, выразившееся в неосуществлении действий по настройке иного компьютера для использования ЭЦП, не может свидетельствовать об объективных причинах, не позволивших ему подписать контракт в установленные сроки

Недобросовестность определяется не виной, а степенью осмотрительности. Участвуешь в закупках - будь добр отвечать за работоспособность своей техники.

Кто сказал про мобильную подпись?

✍️"Об ЭП и УЦ"

✍️Уведомление от eMudhra номер 6

28 октября 2026 г. опубликовано шестое обновление, содержащее уточнённую информацию о переходе клиентов:
🔹около 30 800 сертификатов, созданных в рамках скомпрометированных подчиненных сертификатов G3, относятся к клиентской экосистеме в США, которой был предоставлен альтернативный путь получения новых сертификатов через другой корневой сертификат - G1 RSA.
🔹одна проблема - этот корень не включен в программы доверия CA/B Forum, поэтому eMudhra запросила у разработчиков браузеров и ОС не блокировать прежний корень, чтобы обеспечить клиентам плавный переход (поздновато, Mozilla, Apple, Microsoft его уже заблокировали).
🔹ведутся переговоры с другими мировыми УЦ для обеспечения поддержки перехода. Работа с клиентами, УЦ и разработчиками ОС, браузеров будет продолжаться до завершения перехода.
🔹корень G1 будет использоваться только для поддержки указанного перехода. В рамках добровольного сворачивания международного УЦ eMudhra прекратит выдачу TLS-сертификатов под G1 после завершения перехода. Большинство клиентов уже переведены на другие сертификаты, завершение перехода планируется в ближайшие дни.

А пока участники обсуждения задаются вопросом:

Вопрос к программам root-доступа Mozilla и Chrome (а также и к другим, но меня больше интересует информация о двух активных программах root-доступа):

Уэйн сказал, что слабые ключи были обнаружены при запуске инструмента с открытым исходным кодом paranoid_crypto, «из коробки», на корпусе CCADB, и Chrome с тех пор подтвердил, что проверка его границы доверия не выявила других подобных случаев. Эти промежуточные ключи были обнаружены в CCADB примерно за 18 месяцев до того, как один из участников сообщества провел сканирование.

Может ли каждая программа объяснить, почему автоматическая проверка слабых ключей до сих пор не была частью промежуточного раскрытия информации или текущего мониторинга? Планируете ли вы добавить такую проверку, например, сканирование каждого сертификата центра сертификации при раскрытии информации в CCADB и повторное сканирование через регулярные интервалы?

✍️"Об ЭП и УЦ"