Кваліфікований електронний підпис (КЕП) в Україні

Кваліфікований електронний підпис давно використовують не тільки бухгалтери. Ним підписують податкові декларації, договори з контрагентами, медичні документи, фіскальні чеки та заяви на державні послуги. Масштаб видно зі статистики Центрального засвідчувального органу за 2025 рік. КНЕДП «Дія» сформував понад 31 млн кваліфікованих сертифікатів електронного підпису, КНЕДП ПриватБанку — понад 10 млн. Нижче пояснено, звідки береться юридична сила КЕП, де зберігається особистий ключ і як працює хмарний підпис.

Законодавча основа

Сферу електронного підпису регулює Закон України «Про електронну ідентифікацію та електронні довірчі послуги» № 2155-VIII. Його ухвалили 5 жовтня 2017 року, чинним він є з 7 листопада 2018-го. Закон замінив документ 2003 року «Про електронний цифровий підпис», тому абревіатура ЕЦП сьогодні лишилася тільки в побутовій мові. Основою для закону послужив європейський Регламент № 910/2014, відомий як eIDAS. Закон № 2801-IX набрав чинності 31 грудня 2023 року. Він дав акту нинішню назву, запровадив віддалену ідентифікацію заявника і підготував умови для взаємного визнання довірчих послуг з ЄС.

Закон розрізняє три рівні підпису: електронний, удосконалений і кваліфікований. Згідно зі статтею 1, кваліфікований електронний підпис (КЕП) — це удосконалений підпис, створений за допомогою засобу КЕП на основі кваліфікованого сертифіката відкритого ключа. Стаття 18 надає йому таку саму юридичну силу, як і власноручному підпису, і встановлює презумпцію їхньої відповідності. Стаття 17 вимагає використовувати кваліфіковані довірчі послуги у всіх випадках, де паперовий аналог документа потребував би підпису від руки. Отже, договір, декларація чи первинний документ, підписані КЕП, мають повну юридичну силу без паперового дубліката.

Надавачі та реєстр ЦЗО

Кваліфікований сертифікат має право видавати лише кваліфікований надавач електронних довірчих послуг (КНЕДП), внесений до Довірчого списку. Цей список веде Центральний засвідчувальний орган при Міністерстві цифрової трансформації. Станом на жовтень 2026 року в переліку кваліфікованих надавачів ЦЗО значаться 24 організації. Серед них є державні структури (ДПС, Казначейство, ДП «Дія», МВС), банки (ПриватБанк, Ощадбанк, ПУМБ) і приватні компанії, наприклад «Депозит Сайн», «Вчасно Сервіс» та ЦСК «Україна». Підпис, отриманий у сервісі поза цим переліком, кваліфікованим не вважається. Перевірка надавача займає кілька хвилин і захищає ваші документи від втрати юридичної сили.

Скріншот сторінки czo.gov.ua/ca-registry з таблицею кваліфікованих надавачів.

Де зберігається особистий ключ

Кожному кваліфікованому сертифікату відповідає пара ключів. Відкритий ключ записаний у сертифікаті й доступний усім для перевірки. Особистий ключ є тільки у власника, і саме ним створюється підпис. Закон вимагає зберігати особистий ключ у засобі КЕП, що гарантує його конфіденційність і захист від копіювання. Українські надавачі пропонують чотири основні формати носіїв:

• файловий ключ (Key-6.dat, .jks, .pfx) на флешці чи диску комп'ютера: найдешевший варіант із найвищим ризиком, бо файл легко скопіювати або втратити разом із носієм;
• захищений носій, або токен («Алмаз-1К», «Кристал-1», SecureToken-338): ключ генерується всередині пристрою і не залишає його;
• SIM-карта з Mobile ID, яку мобільні оператори випускають спільно з КНЕДП;
• хмарне сховище надавача, де ключ розміщено в сертифікованому апаратному модулі.

Від вибору носія залежить, як ви працюватимете з підписом. Токен зручний бухгалтеру, який подає звітність з одного робочого місця. Керівнику, що погоджує документи з ноутбука й телефону, краще підійде хмарний підпис.

Як працює хмарний підпис

У хмарній моделі особистий ключ генерується одразу в захищеному сховищі КНЕДП і ніколи не потрапляє на пристрій користувача. Щоб підписати документ, власник проходить двофакторну автентифікацію: вводить пароль і підтверджує дію кодом з SMS чи з мобільного застосунку. У типовій схемі програма на комп'ютері або телефоні обчислює хеш документа. Сховище підписує цей хеш ключем власника й повертає готовий підпис. Сам файл увесь час лишається в користувача.

Такий ключ неможливо загубити разом із флешкою чи пошкодити. Працювати з ним можна з будь-якого пристрою, і купувати токен не потрібно. Захист від підбору пароля налаштовує надавач. Наприклад, у хмарному сервісі DepositSign власник ключа отримує SMS-попередження після 10 невдалих спроб введення пароля поспіль. Після 15 спроб доступ до ключа блокується автоматично. За статистикою ЦЗО за 2025 рік, КНЕДП «Депозит Сайн» сформував 92,8 тис. кваліфікованих сертифікатів електронного підпису. За кількістю сертифікатів, виданих ФОП, він перший серед надавачів: майже 51 тис.

За схожим принципом працює Дія.Підпис. Ключ зберігається в захищеній інфраструктурі, а користувач підтверджує підпис у застосунку «Дія» через фотоверифікацію.

Сфери застосування підпису КЕП

Електронний кабінет ДПС приймає декларації та звітність, підписані КЕП. Власники програмних РРО використовують кваліфікований підпис касира, щоб відкривати й закривати зміну, фіскалізувати чеки на сервері ДПС і формувати Z-звіти. Учасники закупівель у системі Prozorro підписують пропозиції кваліфікованим ключем. Сервіси електронного документообігу, наприклад «Вчасно» та M.E.Doc, працюють з договорами й первинними документами, підписаними КЕП. Лікарі в медичних інформаційних системах, підключених до eHealth, підписують ним декларації пацієнтів та електронні рецепти. Через інтегровану систему електронної ідентифікації id.gov.ua з цим ключем входять на державні портали.

Отримання КЕП онлайн

Після набрання чинності законом № 2801-IX надавачі можуть ідентифікувати заявника дистанційно. Процедура в більшості КНЕДП складається з п'яти кроків:

1. Оберіть надавача з реєстру ЦЗО і тип носія: файл, токен або хмара.
2. Зареєструйтеся в особистому кабінеті надавача й заповніть заяву. Знадобляться паспорт і РНОКПП, представнику юридичної особи — ще й документ про повноваження.
3. Пройдіть ідентифікацію в пункті реєстрації або дистанційно, якщо надавач пропонує віддалену процедуру.
4. Згенеруйте особистий ключ і задайте надійний пароль.
5. Перевірте дані в отриманому сертифікаті: ПІБ, РНОКПП, найменування організації та строк чинності.

Сертифікат зазвичай діє один або два роки. Чинний сертифікат надавачі часто дозволяють продовжити онлайн через особистий кабінет. Закон не обмежує кількість КЕП в однієї особи, і ДПС це окремо підтверджувала. Тому ФОП може мати окремі ключі для звітності, ПРРО та документообігу.

Перевірка підпису та безпека ключа

Будь-який підписаний документ можна перевірити на сайті ЦЗО через сервіс «Перевірити підпис» (https://czo.gov.ua/verify). Звіт показує власника сертифіката, надавача, час підписання і статус сертифіката на момент підпису. Для документів, які надсилають європейським партнерам, ЦЗО формує окремий звіт перевірки за стандартом ЄС.

Скріншот сторінки czo.gov.ua/verify із завантаженим документом і результатом перевірки

Пароль до ключа має знати лише власник. Якщо передати ключ іншій особі, навіть власному бухгалтеру, юридично це те саме, що віддати свій підпис: кожен документ вважатиметься підписаним вами. Для бухгалтера чи менеджера правильніше оформити окремий сертифікат з їхніми даними. Якщо ви підозрюєте компрометацію, наприклад загубили токен або пароль став відомий стороннім, зверніться до надавача, щоб заблокувати або скасувати сертифікат. Документи, підписані після скасування, перевірку не пройдуть. Резервну копію файлового ключа варто тримати на окремому захищеному носії. Сам файл не слід залишати в теках, що синхронізуються з публічними хмарними сховищами.