Дистрибутив на болванке распространяется с целью чтобы "нормальный" пользователь гарантированно был уверен, что он получил именно то, что хотел и не скачал, то что получилось.

Ну покажет лицензию. И что? Поймите, мы рассматриваем гипотетическую ситуацию, когда уж очень въедливый и умный этот человек, задающий вопросы к клиенту. Например, это адвокат в ходе рассмотрения спора или материалов дела в суде. И этот адвокат скажет "давайте обратимся к экспертам ФСБ". И пипец! Заключение будет такое "дистрибутив СКЗИ должен передаваться по доверенным каналам связи. Распространение дистрибутива СКЗИ через Интернет без обеспечения аутентификации ресурса и контроля целостности недопустимо." На основании этого заключения будет принято решение об использовании в нарушений условий эксплуатации и что средство ЭЦП несертифицировано. Поэтому ЭЦП была применена в нарушении действующего законодательства и соглашения сторон. На соновании этого электронный документ не будет принят в качестве доказательства. Кранты!

Поэтому нужно оценить риски (например, "непринятие электронного документа, удостоверенного ЭЦП, в качестве письменного доказательства при отсутствии дистрибутива СКЗИ у клиента" и оценить затраты на устранение этого риска (затраты на обеспечение клиентов дистриубтивами). Если они несоразмерны и затраты слишком велики, то можно проигнорировать этот риск. Но это ближе к риск-менеджменту. А тут я не специалист в этой области :-(