© Пятая межотраслевая конференция АБИСС по регуляторике в сфере ИБ | Итоги ➤

По итогам конференции АБИСС подготовлен материал, в котором зафиксированы основные планы ФСТЭК России, Банка России, ФСБ России, Минэнерго на ближайшее время по изменению регулирования в сфере ИБ.

🏛 Цифровой суд

В Российской газете вышел материал "Правосудие не всегда учитывает особенности современной среды".

Делается вывод, что суды разных инстанций не всегда учитывают особенности цифровой среды. Имеют место случаи, когда ими игнорируется необходимость установления всей цепочки цифровых следов и закрепления их в правовом поле.

Подобный подход наблюдается на примере нашей сферы - только по наличию картинки об электронной подписи и без проверки самой электронной подписи, суды делают выводы, что документы были подписаны.

Для решения проблемы авторы статьи предлагает создать специализированные цифровые суды с особой компетенцией по делам, связанным с правонарушениями в цифровой среде.

Это решение можно поддерживать, так как классические юристы не могут разобраться в вопросах сферы электронной подписи, простой оператор УЦ знает больше них, нужны цифровые юристы.

✍️"Об ЭП и УЦ"

✍️О внесении изменений в некоторые нормативные правовые акты ФСБ России, устанавливающие обязательные требования в сфере государственной безопасности, связанные с использованием электронной подписи

Сегодня вступает в силу 355 приказ ФСБ России, которым внесены изменения в 6 приказов регулятора в части исключения сроков их действия, а также актуализации норм, например, замены 17 приказа ФСТЭК России на 117.

Также в рамках "проблемы 2027" ранее на 6 лет продлен срок действия постановления Правительства о размере финансовой ответственности ДТС, на очереди приказы Минцифры (админрегламент по ДТС ранее был заменён, поэтому остаётся ещё 5 приказов Минцифры, ограниченных 01.03.2028).

⚖️ Судебная практика. А была ли кибератака?

Восьмой арбитражный апелляционный суд (дело А70-12019/2026) оставил в силе решение о включении ИП в реестр недобросовестных поставщиков на 2 года. ИП не подписал контракт по итогам электронного аукциона, сославшись на… хакерскую атаку.

Заказчик разместил проект контракта 21.04.2026, срок подписания - до 28.04.2026. Предприниматель контракт не подписал и обеспечение не предоставил. Ссылался на то, что 22.04.2026 его компьютер подвергся кибератаке, и возможность подписать контракт появилась только 29.04.2026.

Две судебные инстанции решили:
🔹21.04.2026 у предпринимателя была реальная возможность подписать контракт, но он этого не сделал.
🔹21 и 22 апреля он заходил в личный кабинет на электронной площадке, но никаких действий не совершил.
🔹Токен - съёмный носитель, его можно использовать на любом другом компьютере.
🔹Доказательств, что подписать контракт было невозможно с иного устройства, не представлено.

Ключевой тезис суда:

Предприниматель при должной степени заботливости и осмотрительности должен обеспечить исправность и непрерывность работы компьютерной техники, обслуживающей сетевые операции с электронной площадкой или вовремя найти ей замену. Бездействие ИП, выразившееся в неосуществлении действий по настройке иного компьютера для использования ЭЦП, не может свидетельствовать об объективных причинах, не позволивших ему подписать контракт в установленные сроки

Недобросовестность определяется не виной, а степенью осмотрительности. Участвуешь в закупках - будь добр отвечать за работоспособность своей техники.

Кто сказал про мобильную подпись?

✍️"Об ЭП и УЦ"

✍️Уведомление от eMudhra номер 6

28 октября 2026 г. опубликовано шестое обновление, содержащее уточнённую информацию о переходе клиентов:
🔹около 30 800 сертификатов, созданных в рамках скомпрометированных подчиненных сертификатов G3, относятся к клиентской экосистеме в США, которой был предоставлен альтернативный путь получения новых сертификатов через другой корневой сертификат - G1 RSA.
🔹одна проблема - этот корень не включен в программы доверия CA/B Forum, поэтому eMudhra запросила у разработчиков браузеров и ОС не блокировать прежний корень, чтобы обеспечить клиентам плавный переход (поздновато, Mozilla, Apple, Microsoft его уже заблокировали).
🔹ведутся переговоры с другими мировыми УЦ для обеспечения поддержки перехода. Работа с клиентами, УЦ и разработчиками ОС, браузеров будет продолжаться до завершения перехода.
🔹корень G1 будет использоваться только для поддержки указанного перехода. В рамках добровольного сворачивания международного УЦ eMudhra прекратит выдачу TLS-сертификатов под G1 после завершения перехода. Большинство клиентов уже переведены на другие сертификаты, завершение перехода планируется в ближайшие дни.

А пока участники обсуждения задаются вопросом:

Вопрос к программам root-доступа Mozilla и Chrome (а также и к другим, но меня больше интересует информация о двух активных программах root-доступа):

Уэйн сказал, что слабые ключи были обнаружены при запуске инструмента с открытым исходным кодом paranoid_crypto, «из коробки», на корпусе CCADB, и Chrome с тех пор подтвердил, что проверка его границы доверия не выявила других подобных случаев. Эти промежуточные ключи были обнаружены в CCADB примерно за 18 месяцев до того, как один из участников сообщества провел сканирование.

Может ли каждая программа объяснить, почему автоматическая проверка слабых ключей до сих пор не была частью промежуточного раскрытия информации или текущего мониторинга? Планируете ли вы добавить такую проверку, например, сканирование каждого сертификата центра сертификации при раскрытии информации в CCADB и повторное сканирование через регулярные интервалы?

✍️"Об ЭП и УЦ"

✍️Об утверждении требований к порядку реализации функций национального УЦ

Минцифры сегодня для общественного обсуждения размещен проект приказа об утверждении требований к порядку реализации функций национального удостоверяющего центра и исполнения обязанностей национального удостоверяющего.

Это уже третий документ, подготовленный в рамках подзаконных актов о НУЦ, ранее были требования к сертификатам безопасности, а также случаи прекращения действия сертификатов безопасности.

Проект приказа представляет кальку с 584 приказа Минцифры о требованиях к порядку АУЦ.

✍️"Об ЭП и УЦ"

✍️Согласно ч. 1 ст. 13¹ Правительство определяет федеральный орган власти, который будет уполномочен на осуществление функций в сфере использования сертификатов безопасности.

Если это Минцифры, то получится, что ведомство регулирует деятельность самого себя - сначала пишет требования, а потом их выполняет.

✍️Об ЭП и УЦ

Подписание автоматизированной подписью первичных документов

Все хотят оптимизировать свои процессы и затраты. Когда только реализовывалась реформа электронной подписи и уходили в прошлое сертификаты сотрудников компаний, вставал вопрос безопасности применения сертификата физического лица в информационных системах крупных компаний. Почему именно крупных? Для них более характерно выстраивание автоматизации подписания с учетом количества документов.

Однако, засовывание ключей физических лиц в реестры и подписание в режиме 24/7 влечет понятные проблемы. С одной стороны, это совсем небезопасно для владельца сертификата. Кто знает, что может сделать админ с использованием вашего закрытого ключа. С другой стороны, вопросы могут возникнуть и у представителей гос органов, контролирующих условия труда. Как сотрудник работает сутками и без выходных.

Как только в закон об электронной подписи внесли поправки, разрешающие компаниям использовать автоматизированное подписание, самые креативные и предприимчивые задумались, а нельзя ли использовать этот механизм для подписания всего того, что должно подписываться от имени компании?

Логика простая: автоматизированная квалифицированная подпись - подпись компании. За нее кто-то ответственен: либо это генеральный директор, либо тот, кого он своим приказом назначил. Достаточно выстроить внутри компании нормальный процесс согласования и пускай финальную (формальную) подпись ставит машина. Секретарю не придется брать у ген директора носитель с ключом себе, нарушая требования безопасности, директору не надо будет отвлекаться на формальный процесс, а ключи сотрудников не будут в опасности.

Но есть существенное препятствие: ряд нормативных актов требует подписание должностным лицом, а не информационной системой. И в совокупности с нормами закона об электронной подписи это не дает легально применять технологию автоматического подписания.

Один из таких нормативных актов - закон о бухгалтерском учете.

В департамент Минфина, в ведении которого находятся вопросы правильности оформления первичных документов, был направлен запрос о возможности внести изменения в федеральный закон и предусмотреть вариативность подписания.

Ответ содержал весьма формальный подход, что на текущий момент нормами ФЗ такой вариант не предусматривается. Можно ли считать это отказом от внесения изменений или констатацией, что и сейчас все нормально прописано и не надо ничего придумывать, не понятно.

О чем можно утверждать с уверенностью, так это о том, что пока Минфин проблемой не проникся.

А есть ли она? Пишите в комментариях👇

🚀 ЭДО для бизнеса

#эп #минфин #автоподписание

✍️Онлайнинспекция о самой непростой подписи

Онлайнинспекцию спросили - Является ли простая электронная подпись (ПЭП), сформированная в системе электронного документооборота Учебного центра (без участия Госуслуг), действительной для Государственной инспекции труда при подписании работником протокола проверки знаний по охране труда?

Онлайнинспекция ответила - Является, если данный порядок закреплен в локальном нормативном акте.

Вывод - Онлайнинспекция никогда не открывала 63-ФЗ и продолжает распространять мифы.
Онлайнинспекция - новый номинант премии "Профанация года"

Такая сущность, как "локальный нормативный акт" (а это не НПА в рамках ФЗ) не встречается среди установленных случаев признания электронного документа, подписанного ПЭП, собственноручной подписи.

Ранее против использования электронной подписи для инструктажей по охране труда неоднократно высказывались профсоюзы, против использования Маха они уже высказались?

✍️Об ЭП и УЦ