Комментарий к Федеральному закону от 10 января 2002 г. № 1-ФЗ «Об электронной цифровой подписи»
.pdfдействующем законодательстве не упоминается какой-либо субъект права, которому подчиняется удостоверяющий центр в деятельности по отношению к выданным СКП (разумеется за исключением суда).
Следует добавить, что согласно Административному регламенту исполнения Федеральным агентством по информационным технологиям государственной функции «Организация ведения единого государственного реестра сертификатов ключей подписей удостоверяющих центров и реестра сертификатов ключей подписей уполномоченных лиц федеральных органов государственной власти, а также обеспечение доступа к ним граждан, организаций, органов государственной власти и органов местного самоуправления» приостановление действия СКП уполномоченных лиц удостоверяющих центров и СКП уполномоченных лиц федеральных органов государственной власти в Реестрах вообще не предусмотрено.
3. В продолжение п. 2 ст. 13 комментируемого Закона законодатель предусмотрел в комментируемой статье также возможность принятия решения о действии СКП полномочным лицом (органом). При этом бездействие этого третьего лица, когда от него не поступает в удостоверяющий центр указание о возобновлении действия СКП, служит законным поводом для аннулирования СКП по истечении срока приостановления действия СКП, устанавливаемого самим полномочным лицом (органом), либо устанавливается в соответствующем нормативно-правовом акте (договоре с удостоверяющий центром).
Несмотря на то что временные рамки периода приостановления действия СКП не обозначены законодателем, данный срок, разумеется, должен быть достаточным для:
устранения причин приостановления СКП;
оспаривания в судебном порядке указания полномочного лица (органа) на
приостановление действия СКП.
Следует добавить, что в отличие от содержания комментируемого Закона в ст. 12 Модельного закона «Об электронной цифровой подписи» установлено, что если иного не предусмотрено по согласованию между центром регистрации и владельцем свидетельства, центр, выпустивший свидетельство прекращает его действие на срок не более двух рабочих дней по указанию владельца свидетельства или его уполномоченного представителя. Центр регистрации также приостанавливает действие свидетельства по постановлению уполномоченного государственного органа или суда. Немедленно после приостановления действия свидетельства, центр регистрации публикует в Реестре, указанном в свидетельстве, извещение и приостановлении действия последнего, а также извещает об этом владельца свидетельства.
4. Часть 4 комментируемой статьи можно истолковать по-разному:
оповещение пользователей о приостановлении действия СКП осуществляется в соответствии с указанием полномочного лица (органа);
удостоверяющий центр обязан оповещать пользователей о приостановлении действия СКП независимо от воли полномочного лица (органа) — это правило регламентировано ч. 4 ст. 6 комментируемого Закона.
Как представляется автору, пользователь СКП, получивший его в удостоверяющем
центре до момента приостановления действия сертификата, может не знать о временном
61
прекращении действия СКП по причине нерегулярного ознакомления с содержанием реестра СКП удостоверяющего центра. В связи с этим данный казус можно устранить обязательством удостоверяющего центра уведомлять о приостановлении действия СКП всех заинтересованных пользователей
К недостаткам положений комментируемой статьи также можно отнести и отсутствие срока извещения владельца СКП о приостановлении действия его сертификата. Разумеется, это оповещение удостоверяющий центр должен осуществить незамедлительно. Иначе соблюдение права владельца СКП на защиту своих интересов будет сомнительным.
Статья 14. Аннулирование сертификата ключа подписи
1. Удостоверяющий центр, выдавший сертификат ключа подписи, обязан аннулировать
его:
по истечении срока его действия; при утрате юридической силы сертификата соответствующих средств электронной
цифровой подписи, используемых в информационных системах общего пользования;
вслучае, если удостоверяющему центру стало достоверно известно о прекращении действия документа, на основании которого оформлен сертификат ключа подписи;
по заявлению в письменной форме владельца сертификата ключа подписи;
виных установленных нормативными правовыми актами или соглашением сторон
случаях.
2. В случае аннулирования сертификата ключа подписи удостоверяющий центр оповещает об этом пользователей сертификатов ключей подписей путем внесения в реестр сертификатов ключей подписей соответствующей информации с указанием даты и времени аннулирования сертификата ключа подписи, за исключением случаев аннулирования сертификата ключа подписи по истечении срока его действия, а также извещает об этом владельца сертификата ключа подписи
иполномочное лицо (орган), от которого получено указание об аннулировании сертификата ключа подписи.
Комментарий к ст. 14
1. Аннулирование — это обязанность (не возможность как в случае приостановления) удостоверяющего центра прекратить действие СКП в определенных законом или соглашением случаях путем внесения соответствующей информации в реестр СКП и извещения об этом владельца СКП и полномочного лица (органа), от которого получено указание об аннулировании СКП. После аннулирования СКП хранится в удостоверяющем центре до передачи его в архив (см. комментарий к ст. 7).
Из содержания комментируемого Закона можно выделить несколько категорий случаев (юридических фактов), каждый из которых может стать поводом аннулирования СКП.
1) по истечении установленного срока действия, который указывается в содержании СКП, удостоверяющий центр без внесения изменений в реестре и без уведомления кого-либо удаляет сертификат из реестра.
62
Срок действия СКП, неограниченный в комментируемом Законе, как правило, не превышает один год, что по-видимому связано с периодичностью проверок работоспособности средств ЭЦП и периодом возможного функционирования самого удостоверяющего центра, поскольку соглашение о взаимодействии между Уполномоченным федеральным органом исполнительной власти, УЦ Росинформтехнологии, и удостоверяющим центром согласно п. 14 Временного положения УФО ИВ заключается также сроком на один год.
После прекращения срока действия СКП, как следует из положений комментируемого Закона, он не может быть продлен. СКП подлежит аннулированию, а владелец СКП для продолжения участия в обороте юридически значимых электронных документов должен получить другой сертификат.
2)при утрате юридической силы сертификата средств ЭЦП соответствующий СКП также теряет свою легитимность и подлежит аннулированию. То есть установленный срок действия сертификата не может превышать срок действия сертификата средств ЭЦП
винформационных системах общего пользования и государственных (муниципальных) информационных системах (о сертификации средств ЭЦП см. комментарий к ст. 5). Контроль за сроком действия сертификата средств ЭЦП, разумеется, осуществляет удостоверяющий центр.
3)при прекращении действия документа, на основании которого оформлен СКП, если это достоверно известно, сам сертификат также подлежит аннулированию с внесением соответствующей информации в реестр СКП и оповещением владельца СКП.
Документальным основанием изготовления СКП согласно п. 2 ст. 9 комментируемого Закона служит заявление участника информационной системы. При изменении любого реквизита заявления оно теряет свою силу, а значит теряет силу и СКП, в содержании которого отражены сведения, указанные в этом заявлении.
С целью избежания конфликтных ситуаций при аннулировании СКП по данному поводу удостоверяющий центр должен обладать достоверными подтверждениями изменения сведений, указанных в заявлении на выдачу СКП. Такую информацию удостоверяющий центр может получить:
по собственной инициативе (путем направления запроса заинтересованным лицам на подтверждение необходимых сведений, при получении юридически значимых документов и т.п.);
из обращения владельца СКП;
из обращения в удостоверяющий центр полномочного лица (органа), например, судебного решения, сообщения судебного пристава и др.
4)при получении удостоверяющим центром соответствующего заявления в письменной форме владельца СКП аннулирование сертификата с внесением изменений в реестр СКП по данному поводу не вызывает сомнений. Основанием обращения владельца СКП в удостоверяющий центр с требованием аннулирования сертификата может стать компрометация (утрата доверия) закрытого ключа ЭЦП.
5)по истечению срока приостановления действия СКП согласно указанию полномочного лица (органа) сертификат аннулируется в соответствии с п. 3 ст. 13
63
комментируемого Закона. При этом в реестр включается соответствующая информация, а также оповещается владелец СКП и инициатор процесса аннулирования.
6)особым случаем, предусмотренным законодателем в ст. 15 комментируемого Закона, является аннулирование СКП при прекращении деятельности удостоверяющего центра по общегражданским правовым основаниям (реорганизация, ликвидация и т.п.) и в случае непередачи СКП другому удостоверяющему центру. (см. комментарий к ст. 15).
7)при наступлении иных случаев, установленных нормативно-правовыми актами или соглашением сторон, СКП также может быть аннулирован с соответствующими внесением изменений в реестр СКП и оповещением владельца СКП.
Введением данного правила законодатель оставил право субъектам нормотворчества, владельцу СКП и удостоверяющему центру определить дополнительные причины досрочного аннулирования СКП. Такими причинами могут быть, например, лишение свободы, болезнь, смерть владельца СКП, поступление информации о недобросовестности пользователя СКП и т.п.
В дополнение приведем некоторые положения ст. 13 Модельного закона «Об электронной цифровой подписи» об аннулировании СКП, которые определяют, что:
центр регистрации, выдавший регистрационное свидетельство, обязан аннулировать его по требованию указанного в нем владельца ключа ЭЦП;
центр регистрации открытого ключа аннулирует свидетельство в течение одного рабочего дня после получения письменного заявления его владельца либо постановления уполномоченного государственного органа или суда;
центр регистрации открытого ключа ЭЦП обязан аннулировать регистрационное свидетельство или приостановить его действие независимо от согласия его владельца, если:
1)получена заверенная копия свидетельства о смерти владельца свидетельства;
2)получены документы, подтверждающие реорганизацию или ликвидацию владельца свидетельства, являющегося юридическим лицом;
3)установлен факт компрометации ключей ЭЦП.
После того как приостановление действия или аннулирование свидетельства вступит в силу, Центр регистрации обязан незамедлительно уведомить владельца указанного в свидетельстве. Незамедлительно после аннулирования свидетельства Центр регистрации публично извещает об этом и исключает данное свидетельство из Реестра свидетельств, в котором оно находилось.
2. В ч. 2 ст. 14 комментируемой статьи регламентируются действия удостоверяющего центра по аннулированию СКП. Как и в случае приостановления действия СКП заинтересованный пользователь имеет возможность получения информации об аннулировании СКП только из реестра удостоверяющего центра. Автор предполагает, что удостоверяющий центр, который несет ответственность за подтверждение подлинности ЭЦП, должен быть заинтересован в индивидуальном уведомлении об аннулировании СКП тех заинтересованных пользователей, которые ранее обращались в удостоверяющий центр за получением впоследствии аннулированного сертификата (см. комментарий к ст. 13).
64
При рассмотрении вопроса о сроке внесения в реестр СКП сведений об аннулировании с момента поступления в удостоверяющий центр соответствующих сведений следует исходить из принципов достаточности времени для проверки достоверности причин досрочного аннулирования, а также для оспаривания владельцем СКП своих прав в судебном порядке.
На практике аннулирование СКП осуществляется немедленно после поступления соответствующих сведений. При этом СКП перемещается в открытый список отозванных (аннулированных) сертификатов. В качестве примеров можно привести соглашения и регламенты, размещенные на сайтах удостоверяющих центров:
www.reestr-pki.ru/sections/45/docs/57.html http://ra.garant-corp.ru/docs/reglamentcentr.rtf
http://www.gnivc.ru
Положения комментируемой статьи не дают права участия юридическому лицу в процессе аннулирования СКП, который используется при его функционировании. Так в случае отстранения директора предприятие не может само выступить с требованием аннулирования СКП должностного лица.
Совершенно законным решением данной проблемы, как предполагает Д.Огородов, может стать трехсторонний договор с участием юридического лица, его директора (иного должностного лица), а также Удостоверяющего центра. Для юридического лица главное преимущество в таком трехстороннем договоре — это право оперативно требовать от УЦ аннулирования СКП, если директор лишен своих полномочий. Поскольку это действие является исполнением договора, то от имени юридического лица оно может исполняться не директором, а, например, председателем совета директоров или даже обычными работниками юридического лица (ст. 402 ГК РФ). В этом заключается гарантия для юридического лица от недобросовестных действий его директора.35
Статья 15. Прекращение деятельности удостоверяющего центра
1.Деятельность удостоверяющего центра, выдающего сертификаты ключей подписей для использования в информационных системах общего пользования, может быть прекращена в порядке, установленном гражданским законодательством.
2.В случае прекращения деятельности удостоверяющего центра, указанного в пункте 1 настоящей статьи, сертификаты ключей подписей, выданные этим удостоверяющим центром, могут быть переданы другому удостоверяющему центру по согласованию с владельцами сертификатов ключей подписей.
Сертификаты ключей подписей, не переданные в другой удостоверяющий центр,
аннулируются и передаются на хранение в соответствии со статьей 7 настоящего Федерального закона уполномоченному федеральному органу исполнительной власти.
3. Деятельность удостоверяющего центра, обеспечивающего функционирование корпоративной информационной системы, прекращается по решению владельца этой системы, а также по договоренности участников этой системы в связи с передачей обязательств данного
35 Д. Огородов. ЭЦП: цивилистический треугольник (юридическое лицо, директор, удостоверяющий центр) // «Коллегия», 2006, № 9
65
удостоверяющего центра другому удостоверяющему центру или в связи с ликвидацией корпоративной информационной системы.
Комментарий к ст. 15
1. В связи с особой ролью удостоверяющего центра в обеспечении функционирования электронного оборота юридически значимых документов законодатель в комментируемой статье регламентирует прекращение деятельности удостоверяющего центра. При этом указывается, что удостоверяющий центр, участвующий в электронном документообороте информационных систем общего пользования, может прекращать свою деятельность согласно общим требованиям, которые закреплены в статьях Гражданского кодекса РФ о реорганизации и ликвидации юридического лица.
Толкование комментируемой статьи позволяет удостоверяющему центру также применять непредусмотренный гражданским законодательством порядок своей ликвидации.
Во Временном положении о порядке взаимодействия удостоверяющих центров с Удостоверяющим центром Росинформтехнологии определяется порядок прекращения деятельности удостоверяющего центра по инициативе Уполномоченного органа
исполнительной власти — Удостоверяющего центра Росинформтехнологии.
Согласно п. 16–20 данного Положения если в результате проверки удостоверяющего центра обнаружены факты нарушений условий взаимодействия, определенных соглашением или эксплуатационной документацией на программноаппаратный комплекс, УЦ Росинформтехнологии направляет удостоверяющему центру рекомендации по устранению выявленных нарушений.
Вслучае, если в течение 30 суток с момента получения рекомендаций по устранению нарушений из удостоверяющего центра не поступило уведомления в
бумажном виде об их устранении, то УФО ИВ оставляет за собой право на приостановление или расторжение действия соглашения о взаимодействии.36
Вст. 14 Модельного закона «Об электронной цифровой подписи» обозначено, что при прекращении деятельности удостоверяющий центр обязан заблаговременно проинформировать орган, аккредитовавший данный центр, а также всех владельцев СКП, выданных этим центром. «При принятии решения о прекращении деятельности Центра:
выданные им свидетельства аннулируются в соответствии с настоящим Законом, а открытые ключи ЭЦП, сведения о владельцах и иная документация Центра передаются на хранение в государственный архив, о чем делается публичное уведомление пользователей открытых ключей;
либо сведения о владельцах и иная документация Центра передаются другому Центру регистрации, о чем делается публичное уведомление пользователей открытых ключей.
36 Временное положение о порядке взаимодействия удостоверяющих центров с Удостоверяющим центром Росинформтехнологии // http://www.reestr-pki.ru/sections/45/docs/57.html
66
2.В случае прекращения деятельности удостоверяющего центра, входящего в информационную систему общего пользования, в общем порядке, предусмотренным гражданским законодательством, УФО ИВ не имеет претензий к удостоверяющему центру в части совместимости, работоспособности программно-аппаратных средств формирования и подтверждения подлинности ЭЦП, а также к соблюдению мер по обеспечению информационной безопасности при применении закрытого ключа ЭЦП. Поэтому сопровождение жизненного цикла СКП и ключей, которые выдал один удостоверяющий центр, может осуществляться другим центром, функционирование средств ЭЦП которого совместимо с работой прежнего удостоверяющего центра, и который соответственно признает в качестве «корневого» Удостоверяющий центр УФО ИВ. Данное «признание» выражается в заключении соглашения о взаимодействии между Удостоверяющим центром Росинформтехнологии и взаимодействующим удостоверяющим центром.
3.Порядок прекращения деятельности удостоверяющего центра,
обеспечивающего функционирование корпоративной информационной системы,
регламентируется либо владельцем этой системы, либо соглашением ее участников и осуществляется согласно содержанию комментируемого Закона только в двух случаях:
в связи с передачей обязательств удостоверяющего центра другому удостоверяющему центру;
в связи с ликвидацией корпоративной информационной системы.
Учитывая зависимость использования ЭЦП в корпоративной информационной
системе от воли ее владельца (соглашения участников), владельцу (пользователю) СКП имеет смысл при заключении соглашения с удостоверяющим центром требовать включение в него условия заблаговременного информирования о предстоящем прекращении деятельности удостоверяющего центра.
Глава IV. Особенности использования электронной цифровой подписи
Статья 16. Использование электронной цифровой подписи в сфере государственного управления
1.Федеральные органы государственной власти, органы государственной власти субъектов Российской Федерации, органы местного самоуправления, а также организации, участвующие в документообороте с указанными органами, используют для подписания своих электронных документов электронные цифровые подписи уполномоченных лиц указанных органов, организаций.
2.Сертификаты ключей подписей уполномоченных лиц федеральных органов государственной власти включаются в реестр сертификатов ключей подписей, который ведется уполномоченным федеральным органом исполнительной власти, и выдаются пользователям сертификатов ключей подписей из этого реестра в порядке, установленном настоящим Федеральным законом для удостоверяющих центров.
3.Порядок организации выдачи сертификатов ключей подписей уполномоченных лиц органов государственной власти субъектов Российской Федерации и уполномоченных лиц
67
органов местного самоуправления устанавливается нормативными правовыми актами соответствующих органов.
Комментарий к ст. 16
1. Не секрет, что применение ЭЦП в целях реализации полномочий государственных органов РФ в настоящее время не отвечает требованиям реалий и в значительной мере отстает от использования ЭЦП в других сферах электронного документооборота.
Оборот электронных документов в отношениях государственного управления является особой категорией использования ЭЦП и должен быть, согласно п. 1 ст. 2 комментируемого Закона, дополнительно регламентирован соответствующими нормативно-правовыми актами. Особая роль электронного документооборота в сфере государственного управления подтверждается массой подзаконных актов, вступивших в силу в последнее время.
Основными в этой области можно назвать следующие документы:
распоряжение Правительства РФ от 06.05.2008 г. № 632-р «О Концепции формирования в РФ электронного правительства до 2010 г. (определяет одной основной задачей общероссийского Государственного информационного центра создание единого пространства ЭЦП для унифицированного оказания государственных услуг в электронном виде и обеспечение межведомственного информационного взаимодействия в России);
постановление Правительства РФ от 15.06.2009 г. № 478 «О единой системе информационно-справочной поддержки граждан и организаций по вопросам взаимодействия с органами исполнительной власти и органами местного самоуправления с использованием информационно-телекоммуникационной сети Интернет» (одобрена соответствующая Концепция и утверждены Правила размещения в федеральных государственных информационных системах «Сводного реестра государственных и муниципальных услуг (функций)» и «Единого портала государственных и муниципальных услуг (функций)»;
распоряжение Правительства РФ от 25.06.2009 г. № 872-р «Об утверждении перечня государственных услуг и (или) функций, осуществляемых с использованием информационных и телекоммуникационных технологий (в том числе в электронном виде)» (определен соответствующий перечень услуг (функций), в т.ч. осуществляемых с момента создания соответствующей информационной и телекоммуникационной инфраструктуры, обеспечивающей
возможность использования ЭЦП).
Согласно ст. 13 Федерального закона «Об информации, информационных технологиях и о защите информации» информационные системы делятся на:
государственные информационные системы;
муниципальные информационные системы;
иные информационные системы.
68
Особенности правового регулирования деятельности государственных информационных систем обозначены в ст. 14 Федерального закона от 27.07.2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и представляют собой:
целевое назначение для реализации полномочий государственных органов;
создание с учетом требований действующего законодательства о государственном (муниципальном) заказе;
создание и эксплуатация на основе статистической и иной документальной информации;
наличие информации, предоставляемой в обязательном порядке;
установление порядка создания и ввода в эксплуатацию соответствующим государственным (муниципальным) органом;
право Правительства РФ установления особых требований к отдельным государственным информационным системам;
обязанность соблюдения в государственной информационной системе права интеллектуальной собственности;
необходимость соответствия технических средств системы требованиям законодательства о техническом регулировании;
придание информации, содержащейся в государственной информационной системе, статуса государственных информационных ресурсов.
Далее отметим особенности применения ЭЦП в электронном
документообороте государственных информационных систем, которые отражены в комментируемом Законе.
1)Применение специальной ЭЦП уполномоченного лица государственного (муниципального) органа, организации.
Владельцем государственной информационной системы, как и другой корпоративной системы, устанавливается правовой порядок электронного документооборота, значит, он осуществляет и назначение уполномоченных лиц (владельцев СКП в государственной информационной системе).
2)Роль удостоверяющего центра в обеспечении жизненного цикла СКП уполномоченного лица играет Удостоверяющий центр Росинформтехнологии.
3)СКП уполномоченного лица регистрируется в реестре СКП уполномоченных лиц федеральных органов государственной власти УФО ИВ.
Порядок ведения реестра СКП уполномоченных лиц федеральных органов исполнительной власти определяется Административным регламентом исполнения Федеральным агентством по информационным технологиям государственной функции «Организация ведения единого государственного реестра СКП удостоверяющих центров
иреестра СКП уполномоченных лиц федеральных органов государственной власти, а также обеспечение доступа к ним граждан, организаций, органов государственной власти
иорганов местного самоуправления».37
37 Министерство связи и массовых коммуникаций РФ // http://minkomsvjaz.ru/departments/rosinformtechnologii/3028/3077.shtml
69
4)Обязательная сертификация средств ЭЦП, используемых в государственных информационных системах.
Сертификация средств ЭЦП означает согласно ст. 3 и п. 3 ст. 5 комментируемого Закона исполнение в государственной информационной системе одного из условий юридического признания электронного документа.
5)Выдача Уполномоченным федеральным органом исполнительной власти средств ЭЦП в течение пяти рабочих дней со дня получения уполномоченным лицом ЭЦП.
2. Согласно требованиям комментируемой статьи включение в реестр и выдача
пользователям СКП уполномоченных лиц федеральных органов государственной власти УФО ИВ осуществляется в порядке, установленном комментируемым Законом для удостоверяющих центров (см. комментарии к ст. 9). Подробное описание операций УФО ИВ при включении в реестр и выдаче СКП содержится в Административном регламенте исполнения Федеральным агентством информационных технологий государственной функции «Организация ведения единого государственного реестра СКП удостоверяющих центров и реестра СКП уполномоченных лиц федеральных органов государственной власти, а также обеспечения доступа к ним граждан, организаций,
органов государственной власти и органов местного самоуправления» (далее — Регламент УФО ИВ).38
Доставка заявления о включении СКП уполномоченного лица в реестр УФО ИВ, как и запроса о предоставлении сведений из Реестра может осуществляться посредством:
почтовой связи по адресу Росинформтехнологии;
электронной почты по адресу fait@minkomsvjaz.ru;
официального Интернет-сайта Росинформтехнологии;
курьерской доставки по адресу Росинформетхнологии.
Срок внесения (изменения содержания) СКП уполномоченного лица федерального органа власти в Реестр определяется согласно требованиям гл. 3 Регламента УФО ИВ.
Время на услугу внесения этого вида СКП в Реестр (10 дней) включает в себя:
регистрацию и визирование заявления о включении СКП в Реестр (1 день);
направление в отдел реестров СКП (1 день);
подготовку ответа об отказе или уведомления о включении (внесении изменений) в Реестр (2 дня);
визирование ответа (уведомления) и передача в ответственное подразделение (4 дня);
направление ответа заявителю или передача уведомления должностному лицу, ответственному за ведение Реестра (1 день);
внесение изменений в Реестр и публикация СКП уполномоченного лица на официальном сайте Росинформтехнологии (1 день).
Время на услугу предоставления сведений из Реестра УФО ИВ (8 дней) включает в
себя:
регистрацию, визирование и направление в отдел реестров СКП в день поступления запроса;
38 Там же.
70