По 3-му пункту уточняю - что была создана пара открытый/закрытый ключ, отправлен запрос на ЦС и получен сертификат, далее после окончания срока действия сертификата данный запрос был отправлен повторно и получен новый действующий сертификат соответственно со старым открытым ключом.

Здравствуйте.
Хотелось бы уточнить, откуда берётся(не считая регламент КриптоПро) срок действия закрытого ключа 1 год или 1год и 3 месяца?
Это где-то в законе указано или это требование ФСТЭК, ФСБ или ещё чего? Может требование при использовании ГОСТов Р 34.10-94 и 34.10-2001?
В общем, это не праздное любопытство.

Таков срок так называемой "неявной компрометации закрытого ключа" при использовании Крипто Про CSP.

Правильный ответ на вопрос "Почему у нельзя сделать закрытый ключ, скажем на 5 лет?" такой: "Такой срок установлен правилами использования сертифицированного ФСБ России средства криптографической защиты информации "КриптоПро CSP"".
Срок устанавливает ФСБ в процесе сертификации продукта и прописывает его в документации на продукт. На основании чего установлен именно 1 год и 3 месяца - на основании мнения экспертов из ФСБ. Чем они руководствовались при принятии такого решения - нам не известно. Можно только догадываться и предполагать, что вероятность неявной компрометаци закрытого ключа при его использовании свыше 1 года и 3 месяца превышает некую пороговую величину.
Итак, на Ваш вопрос "кто установил такие сроки?" ответом является "ФСБ России". На Ваше желание "почитать этот нормативный документ", предполагая, чт под этим нормативным документом Вы имеете ввиду документ, которым руководствовались эксперты ФСБ мы отвечаем, что помочь в его осуществлении мы не можем т.к. нам неизвестен этот документ и существует ли он вообще. :-)

Вопрос по сходной теме

Согласно ЖТЯИ.00067-01 90 04. КриптоПро УЦ. Центр сертификации. Руководство по эксплуатации на
платформе MS Windows Server 2008, максимальный срок действия закрытого ключа Центра Сертификации при использовании СКЗИ «КриптоПро CSP» составляет 1 год 3 месяца.
Означает ли это, что каждый год и три месяца необходимо перевыпускать корневой сертификат УЦ? С другой стороны, все пользовательские сертификаты выдаются на срок 1 год или 1 год и 1 месяц. Я правильно понимаю, что дата действия клиентского сертификата не может превышать дату действия корневого центра сертификации?
Тогда получается, что для того, чтобы выдавать полноценные, сроком на 1 год и 1 месяц, сертификаты, требуется перевыпускать корневой сертификат УЦ каждые 2 месяца (1 год 3 месяца - 1 год и 1 месяц)??? Ерунда какая-то получается.