Доступы компании: что проверить директору — подпись, доверенности при увольнении, домен

Сайт компании зарегистрировал подрядчик, страницу в соцсети завела сотрудница на свой номер, в банк входят по коду на личный телефон директора, а носитель с ключом подписи компании лежит у бухгалтера. Пока все на месте, это работает. Когда человек уходит, теряет телефон или у него взламывают почту, компания может остаться без сайта, без переписки с клиентами и без контроля над тем, что подписано от её имени.

Большая часть того, что здесь нужно сделать, — здравый смысл, но главное задают закон и постановления Правительства:

• владелец ключа электронной подписи обязан обеспечивать его конфиденциальность и не допускать, чтобы ключом пользовались без его согласия (п. 1 ч. 1 ст. 10 Федерального закона от 06.04.2011 № 63-ФЗ «Об электронной подписи»);
• увольнения нет среди оснований прекращения доверенности: пока компания её не отменит, выданная сотруднику доверенность может действовать до конца срока (п. 1 ст. 188 ГК РФ), а отменив её, компания обязана известить об отмене сотрудника и известных ей третьих лиц (абз. 1 п. 1 ст. 189 ГК РФ);
• с 1 сентября 2026 года домен в зонах .ru, .рф и .su регистрируется только после идентификации через Госуслуги (ч. 7 ст. 14.2 Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»), а управлять им можно при условии, что тот, на кого он зарегистрирован, проходит идентификацию каждый год (п. 28 Правил регистрации доменных имён, утверждённых постановлением Правительства Российской Федерации от 31.08.2026 № 1119);
• если компания как оператор обрабатывает персональные данные сотрудников или клиентов в информационной системе, её руководитель утверждает перечень лиц, которым доступ к этим данным нужен для работы (подп. «в» п. 13 Требований к защите персональных данных при их обработке в информационных системах персональных данных, утверждённых постановлением Правительства Российской Федерации от 01.11.2012 № 1119).

Остальное — общий перечень доступов ко всем сервисам, запасной вход, проверка раз в год и при каждом уходе сотрудника — наш совет. Ниже — что проверить, как это записать и что сделать, когда кто-то уходит.

Какие доступы проверить

Начните с перечня сервисов, без которых компания не сможет работать или от имени которых можно говорить и подписывать за неё. В каждом ответьте на три вопроса: на кого сервис оформлен, кто в него входит и куда приходят коды и письма для восстановления входа.

Перечень доступов: что в нём записать

Сведите ответы в один перечень. Мы советуем такие столбцы:

Паролей в перечне не храните: перечень показывает, кто и как входит, а не открывает вход.

Три правила, которые мы считаем минимумом для важного сервиса:

• сервис оформлен на компанию, а не на сотрудника или подрядчика;
• полные права есть хотя бы у двух человек, и один из них — вы или участник общества; исключение — ключ подписи компании: он только у директора, а второй человек подписывает своей подписью по доверенности;
• перечень сверяют раз в год и при каждом уходе сотрудника или смене подрядчика.

Для сервисов с персональными данными часть этой работы обязательна. Компания как оператор персональных данных обязана принимать меры, чтобы защитить их от неправомерного доступа (ч. 1 ст. 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»); защита достигается, в частности, установлением правил доступа к ним в информационной системе (п. 8 ч. 2 ст. 19 закона № 152-ФЗ). А руководитель компании-оператора утверждает документ, определяющий перечень лиц, которым доступ к персональным данным в информационной системе нужен для работы (подп. «в» п. 13 Требований). Перечень лиц с доступом к персональным данным утверждают при любом уровне их защищённости (п. 14–16 Требований). Общий перечень доступов такой документ не заменяет, но поможет его составить. О том, когда компания считается оператором и что ещё она обязана сделать, мы писали отдельно.

Данные для входа в учётную базу и её резервные копии — отдельная тема; о ней наша запись о резервной копии 1С.

Подпись компании и доверенности сотрудников

Квалифицированную электронную подпись компании по старой привычке называют электронной цифровой подписью (ЭЦП). Её сертификат выдаёт удостоверяющий центр ФНС России, и в нём, кроме компании, владельцем указан директор — тот, кто действует от имени компании без доверенности (п. 1 ч. 1 ст. 17.2 закона № 63-ФЗ). Порядок другой у участников финансового рынка, в том числе кредитных организаций (ч. 2 ст. 17.2 закона № 63-ФЗ), и у государственных органов, органов местного самоуправления и подведомственных им учреждений (ч. 3 ст. 17.2 закона № 63-ФЗ).

Сотрудник, который подписывает электронные документы от имени компании квалифицированной подписью, делает это своей подписью и одновременно представляет доверенность (п. 2 ч. 1 ст. 17.2 закона № 63-ФЗ). Доверенность в электронной форме обычно подписывают подписью компании; закон допускает и подпись того, кому доверенность выдана с правом передоверия, и подпись нотариуса. Такую доверенность оформляют по Гражданскому кодексу и представляют в том числе в электронной форме в машиночитаемом виде (ч. 1 ст. 17.5 закона № 63-ФЗ).

Владелец ключа подписи обязан (п. 1–3 ч. 1 ст. 10 закона № 63-ФЗ):

• обеспечивать конфиденциальность ключа и не допускать, чтобы им пользовались без его согласия;
• узнав, что конфиденциальность нарушена, уведомить удостоверяющий центр и других участников электронного взаимодействия не позднее одного рабочего дня;
• не пользоваться ключом, если есть основания считать, что конфиденциальность нарушена.

Документ, подписанный квалифицированной подписью, признаётся равнозначным бумажному документу с собственноручной подписью (ч. 1 ст. 6 закона № 63-ФЗ). Поэтому носитель с ключом подписи компании и пароль к нему в руках бухгалтера означают, что бухгалтер подписывает документы за директора, и по самому документу этого не видно. Мы советуем другой путь, который и предусматривает закон: оформить сотруднику машиночитаемую доверенность на нужные действия, чтобы он подписывал своей подписью.

Домен: ежегодная идентификация через Госуслуги

С 1 сентября 2026 года домен в зонах .ru, .рф и .su регистрируется только после того, как тот, на кого он регистрируется, пройдёт идентификацию через единую систему идентификации и аутентификации (ЕСИА), то есть через учётную запись на Госуслугах (ч. 7 ст. 14.2 закона № 149-ФЗ; дата — ч. 3 ст. 8 Федерального закона от 29.12.2025 № 569-ФЗ). Того, на кого зарегистрирован домен, обычно называют администратором домена. Правила регистрации доменных имён устанавливают требования к доменам в зонах .ru, .рф и .su (п. 4–6 Правил) и уточняют порядок:

• управлять доменом можно при условии, что тот, на кого он зарегистрирован, проходит идентификацию каждый год (п. 28 Правил);
• уведомление о том, что пора пройти идентификацию, регистратор присылает за 50–60 дней до того, как истечёт год с регистрации домена или прошлой идентификации, — на адрес электронной почты, указанный в реестре доменных имён (п. 29 Правил);
• если идентификация не пройдена до конца периода преимущественного продления — срока после истечения года с регистрации или прошлой идентификации, пока право управлять доменом ещё сохраняется за тем, на кого он зарегистрирован (п. 2, 31, 32 Правил), — регистрацию домена аннулируют, и домен смогут зарегистрировать другие (п. 34, абз. 2 п. 35 Правил).

Когда тому, на кого домен зарегистрирован до 1 сентября 2026 года, впервые пройти идентификацию, Правила прямо не говорят, — узнайте это у своего регистратора.

Из этого следуют три проверки.

Первая — на кого зарегистрирован домен. Идентификацию проходит именно этот человек или компания. Если домен оформлен на сотрудника или веб-студию, переоформить его на компанию можно заявкой регистратору, и идентификацию проходят оба — и тот, кто передаёт домен, и тот, кто его получает (п. 61, 62 Правил). В период преимущественного продления передать домен нельзя (подп. «а» п. 64 Правил), поэтому не откладывайте: сделать это проще, пока человек работает с вами.

Вторая — есть ли у компании учётная запись организации на Госуслугах. Юридическое лицо сообщает регистратору, среди прочих сведений, идентификатор своей учётной записи в ЕСИА (подп. «б» п. 11 Правил). Создать учётную запись организации, по справке Госуслуг, может руководитель или представитель с правом действовать без доверенности; для этого нужны его подтверждённая учётная запись на Госуслугах и электронная подпись.

Третья — какой адрес почты указан у регистратора. Если это ящик сотрудника или подрядчика, уведомление об идентификации получит он. Мы советуем указать общий адрес компании, который читаете и вы.

Доступ к хостингу и панели управления сайтом Правила не регулируют. Здесь мы советуем то же, что и для других сервисов: полные права хотя бы у двух человек, и один из них — вы.

Что сделать при увольнении сотрудника

Действие доверенности прекращается, в частности, когда истекает её срок или когда компания её отменяет; отмена совершается в той же форме, в которой доверенность выдана, либо у нотариуса (подп. 1 и 2 п. 1 ст. 188 ГК РФ). Увольнения в перечне оснований прекращения нет, поэтому не рассчитывайте, что доверенность закончится вместе с трудовым договором. Отменить доверенность компания может в любое время, кроме безотзывной (п. 2 ст. 188 ГК РФ). Машиночитаемую доверенность отменяют в той же электронной форме или у нотариуса — удобнее всего в сервисе, где её оформляли; в сервисах это называют «отзыв МЧД».

Отменив доверенность, компания обязана известить об этом самого сотрудника и известных ей третьих лиц, для представительства перед которыми доверенность выдана (абз. 1 п. 1 ст. 189 ГК РФ), — например, банк или контрагента, названных в доверенности.

Сертификат подписи, выданный на сотрудника как на физическое лицо, — его собственный. Досрочно он прекращает действие, в частности, по заявлению владельца, то есть самого сотрудника (п. 2 ч. 6 ст. 14 закона № 63-ФЗ). Действовать от имени компании этой подписью он может только по доверенности, поэтому для компании главное — отменить доверенность.

В день увольнения сотрудника, по нашему совету:

• удалите его из учётной записи организации на Госуслугах, из ЭДО, интернет-банка и учётной программы;
• смените пароли от общих учётных записей, которые он знал;
• замените его телефон и почту там, где через них восстанавливается вход и приходят коды подтверждения;
• заберите носитель с ключом подписи компании, если он был у сотрудника;
• если у сотрудника был доступ к персональным данным, исключите его из перечня лиц с таким доступом;
• отметьте в перечне доступов дату проверки.

Что сделать при смене директора

В сертификате подписи компании, выданном удостоверяющим центром ФНС России, владельцем указан и директор. Когда его полномочия прекращаются, сертификат прекращает действие по обращению в удостоверяющий центр того, кто вправе решать о прекращении полномочий руководителя (п. 4 ч. 1 ст. 17.2 закона № 63-ФЗ). Действие сертификата прекращается с момента, когда удостоверяющий центр внесёт запись об этом в реестр сертификатов (ч. 7 ст. 14 закона № 63-ФЗ).

Поэтому обращение в удостоверяющий центр о прекращении прежнего сертификата мы советуем включить в порядок смены директора: подаёт его тот, кто принимает решение о смене. А новому директору стоит пройти по всему перечню доступов: интернет-банк, Госуслуги, домен и соцсети могут быть привязаны к телефону и почте прежнего.

Что будет, если не сделать

Что изменится дальше

С 1 сентября 2027 года машиночитаемую доверенность будут представлять по единой форме, размещённой на Госуслугах; дополнительные формы, которые разместят операторы государственных и муниципальных информационных систем, Банк России и Федеральная нотариальная палата, — каждый для своей сферы — тоже можно будет использовать (п. 9 ст. 1 Федерального закона от 04.08.2026 № 315-ФЗ «О внесении изменений в Федеральный закон „Об электронной подписи“»; дата — ч. 1 ст. 2 закона № 315-ФЗ). Переходных положений для доверенностей, выданных раньше, закон не содержит (ст. 2 закона № 315-ФЗ): машиночитаемые доверенности, срок которых заходит за 1 сентября 2027 года, сверьте с единой формой или уточните у оператора системы, где их представляют. С той же даты закон № 315-ФЗ меняет ч. 1 ст. 17.2 закона № 63-ФЗ, в том числе излагает в новой редакции п. 1, 2 и 4 (п. 6 ст. 1 закона № 315-ФЗ), но для российской компании порядок остаётся прежним: сертификат компании, где владельцем указан и директор, выдаёт удостоверяющий центр ФНС России, сотрудник подписывает своей подписью с доверенностью, а при уходе директора сертификат прекращают по обращению.

Правила регистрации доменных имён действуют до 1 сентября 2032 года (п. 2 постановления Правительства Российской Федерации от 31.08.2026 № 1119).

Других принятых, но ещё не вступивших в силу поправок к нормам, на которые опирается эта запись, при подготовке не найдено. Нормы меняются: перед тем как действовать, сверьте редакцию актов по ссылкам в «Источниках».

Источники

1. Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи»: ст. 6, ст. 10, ст. 14, ст. 17.2, ст. 17.5 — ред. от 31.07.2025.
2. Гражданский кодекс Российской Федерации (часть первая) от 30.11.1994 № 51-ФЗ: ст. 188, ст. 189 — ред. от 10.06.2026.
3. Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»: ст. 14.2 — ред. от 26.06.2026.
4. Федеральный закон от 29.12.2025 № 569-ФЗ «О внесении изменений в Федеральный закон „Об информации, информационных технологиях и о защите информации“ и отдельные законодательные акты Российской Федерации»: текст в ред. от 26.06.2026, официальное опубликование.
5. Постановление Правительства Российской Федерации от 31.08.2026 № 1119 «Об утверждении Правил регистрации доменных имен»: текст.
6. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»: ст. 19 — ред. от 26.07.2026.
7. Постановление Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»: Требования.
8. Федеральный закон от 04.08.2026 № 315-ФЗ «О внесении изменений в Федеральный закон „Об электронной подписи“»: ст. 1, ст. 2 — вступает в силу 1 сентября 2027 года.
9. Госуслуги, справка «Как зарегистрировать организацию в ЕСИА?».