Рутокен 2.0 и КриптоПро после 1 апреля: проверка за 5 минут

Отчётность не ушла, хотя вчера всё работало

Бухгалтер отправляет декларацию, а программа пишет про ошибку шифрования или ответ ФНС не расшифровывается. Токен виден, сертификат действует, пароль верный. По комментариям на профильных бухгалтерских сайтах в апреле 2026 это выглядело так: техподдержка оператора пересказывала рекомендации ФНС и не говорила, что именно делать, а у части пользователей версия и токен были «подходящие», но отправка всё равно не шла.

Сейчас та же история может всплыть на новом компьютере, у нового сотрудника или после продления подписи на токене старой модели. Общий разбор, что такое КЭП и где её получают, есть в статье про электронную подпись для бизнеса. Здесь только то, что поменялось с апреля.

Что именно изменилось

Первоисточник: сообщение ФНС от 31 марта 2026 на nalog.gov.ru. Основание в приказе ФНС от 27 марта 2024 года № ЕД-7-26/245@: пункт 5.3.1 унифицированного формата говорит, что для шифрования используются ГОСТ 34.12-2018 и ГОСТ 34.13-2018, а для подписи ГОСТ Р 34.10-2012. Подпись не менялась, поменялось шифрование контейнера с отчётностью и ответами.

ФНС называет два способа. Первый: аппаратное шифрование на токене, когда закрытый ключ создан неизвлекаемым по PKCS#11. Оно возможно только на Рутокен ЭЦП 3.0 и выше. Второй: программное шифрование в КриптоПро CSP 5.0 R2 и выше, а токен служит просто хранилищем ключей. Сама ФНС называет этот сценарий менее защищённым. Поддержку КриптоПро 4.0 в январе 2026 прекратили: КриптоПро пишет, что сертификаты ФСБ на версии 4.0 истекали 15.01.2026 без продления.

Часть публикаций упростила это до «Рутокен 2.0 больше не работает». В тексте ФНС речь про Рутокен ЭЦП 2.0 в режиме неизвлекаемых ключей. По ESMART ФНС ничего отдельно не пишет, но производитель в сообщении от 20 апреля 2026 разделяет модели: ESMART Токен 192К подходит, ESMART Токен ГОСТ подходит только с контейнером в пассивном виде и КриптоПро 5.0 R2 и выше. В новостях Рутокена отдельного сообщения про 1 апреля я не нашёл.

Проверка за 5 минут на одном ПК

1. Версия КриптоПро. Откройте Панель КриптоПро CSP, вкладка «Общие». Нужна 5.0.12000 или выше. Если стоит 4.x, обновляйте. Представитель КриптоПро писал на их форуме, что последняя сборка 5.0, принимающая лицензии от 4.0, это 5.0.11455, то есть старее нужной сейчас 12000. Проверьте лицензию у поставщика до обновления.

2. Второй провайдер. Посмотрите список установленных программ, нет ли рядом ViPNet CSP. Пользователи сообщали, что при двух провайдерах отправка в ФНС даёт ошибку с упоминанием ViPNet. Это со слов, сверьте с поддержкой вашей программы отчётности.

3. Модель токена. Панель управления Рутокен, вкладка «Администрирование», кнопка «Информация», строка «Модель». Без драйвера модель читают по маркировке на корпусе, это описано в базе знаний Рутокена.

4. Режим ключа. В КриптоПро откройте «Сервис», затем «Посмотреть сертификаты в контейнере». Если в уникальном имени есть pkcs11 или fkc, ключ аппаратный. Эту методику приводят издания для бухгалтеров, у вендоров я её дословно не видел.

5. Срок сертификата. Дата окончания указана в свойствах сертификата. Если он кончается в ближайшие месяцы, меняйте носитель одним заходом с перевыпуском.

Что менять, а что нет

Строки про Рутокен Lite и S взяты из публикаций издателей, не от производителя.

Границы такие. Неизвлекаемый ключ с токена не копируется, поэтому замена означает новый сертификат, а выпускает его удостоверяющий центр. Ключи, контейнеры и PIN-коды ни УЦ, ни я не просим присылать, и никому их отправлять не нужно. По публикации сервиса для 1С подпись руководителя и ИП на новый токен не переносится, а подпись сотрудника копировать можно. Первоисточник я не нашёл, спросите свой УЦ.

Пассивный режим менее защищён, как пишет и ФНС. В каком режиме записывать новый ключ, решайте вместе с УЦ, обходных путей тут нет. Цены токенов и сертификатов не называю, не проверял. Сроки сдачи и ответственность за просрочку это вопрос к бухгалтеру или юристу, статья не консультация.

Что можно сделать уже сейчас на парке ПК

Заведите одну таблицу: ПК и пользователь, версия КриптоПро, есть ли второй провайдер, модель токена, режим ключа, срок сертификата, какой УЦ выпускал, срок лицензии КриптоПро. Пройдите по всем компьютерам, где сдают отчёты и подписывают документы, включая ПК бухгалтера дома и у директора.

Отсортируйте по сроку сертификата. Тех, у кого срок близко и стоит Рутокен 2.0 с аппаратным ключом, переводите первыми и сразу на подходящий токен, чтобы не платить дважды. Перед покупкой токена спросите УЦ, в каком режиме запишут ключ.

Дальше таблицу нужно держать живой: срок сертификата подходит, лицензия кончается, купили новый ПК. Напоминания за 60 и 30 дней можно слать в мессенджер, как в статье про напоминания о сроках документов. Если подпись нужна для накладных и ЭТрН, смотрите разбор про ЭПД и МЧД и про УПД в ЭДО. Кадровый ЭДО с подписью сотрудников описан в статье про КЭДО. Такую инвентаризацию я делаю в рамках ИТ-аудита.

Частые вопросы

Рутокен ЭЦП 2.0 теперь выбрасывать?

Не обязательно. По тексту ФНС, замена нужна, если на нём неизвлекаемый ключ. Как поведёт себя ваш токен в остальных сервисах, сообщение ФНС не описывает, уточняйте у оператора и УЦ.

Хватит ли просто обновить КриптоПро?

Если токен без аппаратного шифрования или ключ лежит в пассивном контейнере, по сообщению ФНС этого достаточно. Сначала проверьте лицензию: 4.0 для новых сборок 5.0 не подходит.

Можно ли самому скопировать подпись на новый токен?

Для неизвлекаемого ключа нет, и пытаться обойти это не стоит. Перенос или перевыпуск делает удостоверяющий центр.

Коротко о главном

С 1 апреля 2026 ФНС шифрует по ГОСТ 34.12-2018 и 34.13-2018. Менять нужно КриптоПро ниже 5.0 и Рутокен 2.0 с неизвлекаемым ключом, остальное зависит от режима ключа. Пять шагов проверки и одна таблица по парку снимают риск остаться без отчётности в день сдачи.

Хотите, чтобы я прошёл по вашим ПК, свёл версии КриптоПро, модели токенов и сроки сертификатов в одну таблицу и подготовил список на перевыпуск для вашего УЦ? Напишите мне в Telegram слово «ПОДПИСЬ».