📣Подборка самых важных новостей о сфере электронной подписи от нашего канала по итогам сентября 2026 года

1⃣ Количество аккредитованных УЦ сократилось до 43 шт. продлена аккредитация УЦ Тандер (Магнит), Энергоцентр, Компания Тензор, прекращена аккредитация УЦ Тензор

2⃣ Внесены изменения в постановление о лицензировании деятельности в области СКЗИ

3⃣ В Санкт-Петербурге прошел PKI-Форум 2026

4⃣ Статистика НУЦ за 2022-2026 гг.

5⃣ Для общественного обсуждения размещен законопроект Антифрод 3.0

6⃣ Опубликован протокол второго заседания Экспертного совета Минцифры по вопросам электронной подписи

7⃣ ФСБ России согласовано техническое задание на СКЗИ «КриптоПро CSP» версии 6.0

8⃣ Вышла промежуточная версия КриптоПро CSP 5.0 R4 (сборка 5.0.13820 Zeus)

9⃣ Завершено общественное обсуждение проекта приказа Минцифры о требованиях к сертификатам НУЦ, постановления о случаях прекращения действия сертификатов

🔟 Подписан приказ Минцифры от 01.09.2026 № 834 по аккредитации доверенной третьей стороны

1⃣1⃣ Требования СФР к квалифицированным сертификатам с 01.09.2026

1⃣2⃣ Стартовал эксперимент Минтруда по подписанию кадровых документов

1⃣3⃣ Операторы мобильной связи получили право создавать и выдавать ключи простой электронной подписи для получения Госуслуг

1⃣4⃣ Анонсирована Айдентити Конф 2026 в Москве 7 октября

1⃣5⃣ Судебная практика: фокус с передачей ключа электронной подписи, код из СМС не идентифицирует подписанта, "ключ под контролем хакера" или "а был ли взлом?, дело о "неподписанном" договоре

✍️5 лет исполнилось телеграм-каналу «Об ЭП и УЦ»🎉

✍️ЕАЭС продолжает работу по взаимному признанию электронной подписи

Информацию сообщил член Коллегии ЕЭК Максим Ермолович:

Если раньше принимали документы в бумажном виде наряду с электронными, то теперь переходят только на электронный формат. И критически важно, пока идет этот переходный период, создать систему взаимного признания электронной цифровой подписи, чем и занимается Евразийская экономическая комиссия. Перед нами стоит задача обеспечить взаимное признание ЭЦП всеми пятью странами. Из-за технических сложностей это оказалось достаточно проблематичным

Пилотный проект решено реализовать между Беларусью и Россией и завершить до конца года. План мероприятий был утвержден в марте 2025 года, основные комментарии по его реализации были от белорусской стороны.

✍️ГОСТ сертификаты НУЦ: зазор есть, CT-логов нет

С нашим каналом своим экспертным комментарием поделился Николай Лобанов, автор канала "На стадии обсуждения". Николай также направлял свои предложения к проекту приказа Минцифры о требованиях к сертификатам безопасности.

Минцифры обработало мои предложения к проекту приказа о требованиях к сертификатам безопасности НУЦ. Кроме типового "Документ приведен в соответствие с требованиями законодательства РФ", в ответе нашлось одно место по существу, про журналы прозрачности:

Гост сертификаты выпускаются через воздушный зазор. У подсистемы ГОСТ нету доступа к публичным логам.

Что в проекте. DV и OV сертификаты на RSA должны содержать три SCT-метки, то есть пресертификат учитывается в CT-логе до выдачи (п. 117 и 169 приложения 1, дополнение 1.3.6.1.4.1.11129.2.4.2). В профилях DV и OV на ГОСТ такого требования нет.

Зачем это владельцу домена. По CT-логу он видит сертификат, выпущенный на его домен без его ведома (RFC 6962, раздел 1). Если ГОСТ сертификаты НУЦ в логи не попадают, такой сертификат он не увидит.

Почему зазор не довод. Встроить SCT-метку он действительно мешает: для этого пресертификат должен уйти в лог и вернуться с меткой до выдачи. Но учесть сертификат в логе можно и после выдачи, подать его туда может кто угодно (раздел 3.1 того же RFC). Выданный сертификат всё равно выходит из закрытого контура к владельцу. Тем же путём он может уйти и в лог.

Какой лог его примет, отдельный вопрос: лог проверяет подпись цепочки и принимает только цепочки до корней из своего опубликованного списка (там же). Поэтому я предлагал, чтобы журнал вёл сам НУЦ или определённый им российский оператор, а сведения о журналах были записаны в порядке выдачи сертификатов.

Ответ на это: "Предложения указанные в приложении будут учитываться при развитии". Статус: Частично учтено.

Тема воздушного зазора актуальна не только в деятельности НУЦ, но и для АУЦ.

Аккредитованный УЦ должен включить в Регламент перечень аппаратных средств, которые запрещается подключать к сетям общего пользования.

- из презентации PKI-Форума 2017.

Воздушный зазор между центром регистрации и центром сертификации, на флешке в одну сторону передаются файлы запросов на сертификаты, а в другую файлы сертификатов и CRL (однонаправленный шлюз не предлагать). Если бы это нашло применение на практике, то удалось бы АУЦ выйти на текущий уровень автоматизации выдачи сертификатов - около 70 тыс. в сутки?

✍️Об ЭП и УЦ

🔥Видео с PKI-Форума 2026

🔹Фильм памяти Владимира Георгиевича Матюхина (1945–2026)
🔹Стратегическая сессия «Куда и как развивается отрасль»
🔹Сессия 1 «Актуальные вопросы национального пространства доверия»
🔹Сессия 2 «Мобильная электронная подпись»
🔹Сессия 3 «Трансграничное признание иностранной ЭП»
🔹Сессия 4 «Новые отраслевые аспекты PKI»
🔹Сессия 5 «Правовые вопросы PKI, судебная практика»
🔹Сессия 6 «PKI в прикладных системах. PKI-проекты и продукты»
🔹Сессия 7 «Системный подход в отрасли PKI»
🔹Экспертная панель 1 «Критические аспекты надежности и устойчивости»
🔹Экспертная панель 2 «Электронные архивы с ЭП»
🔹Экспертная панель 3 «Электронная подпись»

✅Видео о прошедшем форуме 2026 года

✍️ Телеграм-канал "Об ЭП и УЦ" четвертый раз выступал информационным партнёром форума.

​​🔖 Юридически значимая электронная почта ➤

Для общественного обсуждения представлен проект постановления Правительства Российской Федерации «Об электронной почтовой системе».
Раздел по защите информации явно нуждается в доработке: взаимодействие с ГосСОПКА, противодействие КА и реагирование на КИ.

В Москве не умеют работать с электронными подписями и документами

Да, согласны, заголовок провокационный и не про всю Москву мы, конечно, будем говорить))

Казалось бы, столица - это пример продвинутости и готовности к инновациям. Но это не всегда так.

Сегодня поделимся историей, которая произошла в течение последней недели.

Есть информационная платформа «PRO.Культура.РФ», которая позволяет
учреждениям культуры анонсировать мероприятия на портале «Культура.РФ» и страницах других партнеров проекта. В том числе для того, чтобы пользователи Пушкинской карты (а это молодежь) могли быть ближе к культуре и искусству.

Для возможности информировать о своем мероприятии на платформе надо направить заявление и вот тут начинается интересное.

Заявление надо либо подписать электронной подписью, либо приложить скан с печатью.

Как раз на этом этапе к нам и обратились за помощью в настройке процесса подписания, потому как ребята молодые и хотят пользоваться современными инструментами, а печать для ИП уже давно не обязательна.

Настроили, подписали, отправили. Проходит время, ребята возвращаются: отказ, не подтверждено авторство заявителя. Вот тут стало по-настоящему интересно. Обращение в службу поддержки привело вот к такому ответу: надо, чтобы была синяя печать или синий штамп подписи на документе. Попытка выяснить у службы поддержки, почему правильно подписанный документ их не устраивает, успехом не увенчались.

Чертыхаясь и грустя помогли визуализировать подписанный документ. Думали, что процесс закончился, но оказалось, что нет.

Пришёл ответ: "В добавленном вами документе печать организации отсутствует или нечитабельна. Документ должен быть заверен синей или электронной печатью".

Занавес.

Работать с электронной подписью не умеют, служба поддержки ориентируется слабо, ещё и придумали новый термин "электронная печать".

Цифровые сервисы - это хорошо, но при внедрении надо не забывать о необходимости иметь компетенцию, как всем этим пользоваться.

🚀 ЭДО для бизнеса

#москва #пушкинскаякарта

✍️CA/Browser Forum обновлены базовые требования - AIA, как опция

По итогу голосования в рамках бюллетеня SC104 наличие расширения AIA установлено в значение SHOULD (необязательное), ранее было MUST. Также требование о наличии хотя бы одного параметра внутри расширения дополняется оговоркой "If present" (если присутствует).

Объяснение данной корректировки простое - внутри расширения AIA уже существуют разные уровни обязательности для методов доступа.

Расширение AIA (Authority Information Access) в сертификате показывает дополнительную информацию об удостоверяющем центре, выдавшем этот сертификат. В обязательном порядке включает адрес OCSP-службы для проверки статуса сертификата (метод id-ad-ocsp) и как опцию ссылку на сертификат УЦ (метод id-ad-caIssuers). Например, если в TLS-рукопожатии клиенту не хватает промежуточного сертификата, AIA может указать, где его скачать.

Если ссылка на сертификат издателя опциональна, а адрес OCSP - обязательный, то обязательность AIA теряет смысл, указание адреса OCSP - потребует наличие расширения AIA, но если AIA отсутвует, то ни OCSP, ни ссылки на сертификат УЦ в сертификате не будет.

Новая версия базовых рекомендаций 2.3.1 опубликована 04.10.2026.

✍️Об ЭП и УЦ

🛡 «Проверка на прочность»: «мы проверяемся» ≠ «мы понимаем свои риски»

Аудит пройден, пентест проведён, отчёт подписан. А утечка всё равно случилась.

14 октября в Москве форум «Проверка на прочность» разберётся, как не перепутать активность с результатом.

На стыке права, данных и безопасности:
🔹 что на самом деле хочет регулятор (CISO Билайна, Т-Банка, МТС Банка, Райффайзена, HeadHunter, Почты России)
🔹 право на взлом: где граница между этичным хакером и нарушителем
🔹 ИИ в оценке защищённости: где помогает, а где создаёт новую иллюзию
🔹 подрядчики, которые могут уронить вас быстрее хакера
🔹 интерактивный мастер-класс Алексея Лукацкого «50 оттенков зелёного»: как метрики ИБ создают иллюзию защищённости

📍 14 октября, Холидей Инн Сокольники, 9:00–18:00
👉 Программа и регистрация: breakme-forum.ru

✍️Телеграм-канал "Об ЭП и УЦ" выступает медиа партнёром конференции

✍️Внесены изменения в требования к формату нотариально оформляемого документа в электронной форме

Приказом Минюста от 29.09.2026 № 268 внесены изменения в пункты 3 и 8 Требований к формату нотариально оформляемого документа в электронной форме.

Пункт 3 переписан полностью, если для документа предусмотрена XML-схема, то нотариус направляет получателю два файла:
🔹XML - для информационных систем, подписывается КЭП нотариуса.
🔹PDF - для визуализации XML-документа, содержит отметку об электронной подписи.

Из пункта 8 исключено второе предложение о том, что ранее пакет из XML и PDF подписывался КЭП Нотариуса, про визуализацию речи не было.

Первое предложение пункта 8 вызывает вопросы:

Документ в электронной форме подписывается усиленной квалифицированной электронной подписью нотариуса, консульского должностного лица в формате PKCS#7 (отделенная электронная подпись в кодировке DER)

PKCS#7 - устаревший формат, который не проходит проверку сервисом Головного УЦ. Не хочет Минюст ссылаться на 472 приказ Минцифры.

Вот и думайте, какой смысл от экспертных советов с приглашением толпы людей, рабочих групп, форумов и конференций, если приказы министерств годами содержат грубейшие ошибки.

✍️"Об ЭП и УЦ"