Про физлиц поправил уже.

В случае с токеном элегантно решена проблема компроментации секретного ключа, но остается проблема что зная API доступа к токену можно заставить его шифровать данные "за спиной" у пользователя. Отображение операций можно как то обмануть. Если уж вирусы умудряются незаметно выгружать антивирусы из памяти... Единственный вариант - отображать выполнение операций на самом устройстве, что приводит нас к началу описанной цепочки умозаключений.

Использование специальных устройств, скорее всего, ограничит, а не расширит сферу применения ЭЦП.
По моему сейчас ее ограничивать просто некуда :)