Трактовка очень простая есть головной УЦ он по ст. 8 п. 2 "2) осуществляет функции головного удостоверяющего центра в отношении аккредитованных удостоверяющих центров." читаем что такое головной УЦ - Ст. 13 п.5 "5. Удостоверяющий центр, указанный в части 4 настоящей статьи, по отношению к доверенным лицам является головным удостоверяющим центром ..." смотрим п.4: "4. Удостоверяющий центр вправе наделить третьих лиц (далее - доверенные лица) полномочиями по созданию и выдаче сертификатов ключей проверки электронных подписей от имени удостоверяющего центра, подписываемых электронной подписью, основанной на сертификате ключа проверки электронной подписи, выданном доверенному лицу этим удостоверяющим центром."
Мы должны иметь на выходе в итоге по этим формулировкам и по Приказу 795 и по RFC5280 (на которую есть ссылка из Приказа):
Головной УЦ создает сертификат для аккредитованного УЦ в котором authorityCertSerialNumber == номер головного УЦ.
Аккредитованный УЦ берёт сертификат полученный от головного и от него создаёт сертификат конечного пользователя в котором authorityCertSerialNumber == номер сертификата аккредитованного УЦ. Так должно быть.
На самом деле имеем:
Головной УЦ создаёт сертификат во исполнение 63-ФЗ и Приказа и отдаёт в УЦ, а УЦ для изготовления сертификатов конечных пользователей использует не этот полученный из головного УЦ сертификат, а другой - самоподписанный, и при выпуске пользовательских сертификатов в authorityCertSerialNumber указывает серийник именно этого самоподписанного, а не тот который он получил от головного УЦ.
Вот если бы в статье 4 было написано не "... подписываемых электронной подписью, основанной на сертификате ключа проверки электронной подписи, выданном доверенному лицу ...", а "... подписываемых электронной подписью, основанной на закрытом ключе, парном открытому из сертификата выданного доверенному лицу ..." то вопросов бы не было, а так получаются формально в УЦ СЕРТИФИКАТЫ различные те что дали в головном и те от которых пекут пользовательские.
Ну или если бы в Приказе не было слов про authorityCertSerialNumber.
Вот как то так.

И еще раз о поле CN
Насколько я понимаю, сертификаты все же бывают только двух видов: сертификат физ лица и сертификат Юр лица. Кроме этого в сертификате Юр. лица допускается указание реквизитов уполномоченного лица. Но от указания реквизитов уполномоченного лица сертификат на Юр. лицо не становится сертификатом Физ. лица! В связи с этим, руководствуясь приказом ФСБ № 795, в поле CommonName необходимо указывать наименование организации. Где я не прав?