E-İmza Nedir? E-İmza Nasıl Alınır?

E-imza nedir? 5070 sayılı Elektronik İmza Kanunu, elektronik imzayı başka bir elektronik veriye eklenen veya onunla mantıksal bağlantısı bulunan ve kimlik doğrulama amacıyla kullanılan elektronik veri olarak tanımlar. Bu kavram, taranmış ıslak imza görselinden farklıdır.

Elle atılan imzayla aynı hukuki sonucu doğuran tür ise Kanundaki şartları karşılayan güvenli elektronik imzadır. Güvenli elektronik imza; imza sahibine bağlı olmalı, yalnızca onun kontrolündeki güvenli oluşturma aracıyla üretilmeli, nitelikli elektronik sertifikaya dayanmalı ve imzalanan veride sonradan değişiklik yapılıp yapılmadığını gösterebilmelidir.

E-imza nasıl çalışır?

İmzalama sırasında belgenin içeriğinden kriptografik bir değer üretilir ve imza sahibinin gizli imza oluşturma verisiyle işlem yapılır. Doğrulayan taraf, sertifikadaki açık doğrulama verisini kullanarak imzanın bütünlüğünü ve sertifika sahibini kontrol eder. Kullanıcının kâğıttaki gibi tek bir imza resmi yoktur; her imza, imzalanan veriye bağlı olarak oluşur.

Temel güvenlik özellikleri

• Kimlik bağlantısı: Nitelikli sertifika, doğrulama verisini sertifika sahibinin kimliğiyle ilişkilendirir.
• Veri bütünlüğü: İmzadan sonra belgede değişiklik yapılırsa doğrulama sonucu bunu gösterebilir.
• İşlem kaydı: Uygun doğrulama ve kayıt süreçleri, imzanın kim tarafından ve hangi sertifikayla üretildiğinin incelenmesini sağlar.

Bu özellikler güvenlik olayının imkânsız olduğu veya imzaya hiçbir uyuşmazlıkta itiraz edilemeyeceği anlamına gelmez. Cihaz/PIN güvenliği, sertifikanın geçerlilik ve iptal durumu, kullanım kısıtları, doğrulama yazılımı ve imzalanan belgenin doğru sürümü birlikte kontrol edilmelidir.

Elektronik imza kavramları

Hukuki geçerlilik ve sınırlar

5070 sayılı Kanun, güvenli elektronik imzanın elle atılan imzayla aynı hukuki sonucu doğuracağını belirtir. Bununla birlikte kanunların resmî şekle veya özel merasime bağladığı işlemler ve Kanundaki diğer istisnalar için ayrıca uygun yöntem gerekir. Bir kurumun sistemi e-imza desteklemiyorsa ya da özel bir belge biçimi istiyorsa yalnızca teknik olarak imza atabilmek işlemi tamamlamaya yetmez.

BTK’nın e-imza sık sorulan soruları, imzayı doğrulayan tarafın sertifikanın nitelikli olup olmadığını, geçerlilik/iptal durumunu ve kullanım sınırlarını kontrol etmesi gerektiğini açıklar.

E-imza ve ıslak imza karşılaştırması

E-imza, kâğıtsız iş akışının araçlarından biridir; bütün iş süreçlerini tek başına dijitalleştirmez. Daha geniş çerçeve için e-dönüşüm rehberini inceleyebilirsiniz.

Hangi e-imza seçeneği uygun?

Önce kullanacağınız sistemin hangi imza yöntemlerini kabul ettiğini belirleyin. UYAP, MERSİS, KEP, ihale platformu, kurum portalı veya özel sözleşme yazılımı farklı teknik gereksinimler uygulayabilir. Yalnızca “e-imza” ifadesine bakmak yerine nitelikli sertifika, işletim sistemi, tarayıcı, sürücü ve imza formatı uyumluluğunu kontrol edin.

Donanım tabanlı ve mobil kullanım

Seçim kontrol listesi

• Hedef sistemin kabul ettiği sertifika ve imza formatı nedir?
• Masaüstü cihaz mı, mobil kullanım mı daha sık olacak?
• Sertifikanın başlangıç-bitiş tarihi ve yenileme yöntemi nedir?
• Cihaz teslimi, kurulum, teknik destek ve iptal kanalları nasıl çalışır?
• Nitelikli sertifikada kullanım veya maddi kapsam sınırlaması bulunuyor mu?

Şirket adına işlem yapılacaksa e-imza yine gerçek kişiye aittir. Sertifika sahibinin şirketi temsil yetkisi, e-imzanın kendisinden ayrı olarak MERSİS, ticaret sicili veya diğer yetki kayıtlarından doğrulanmalıdır.

E-imza nasıl alınır? Başvuru adımları

1. Yetkili ESHS seçin: Nitelikli elektronik sertifikayı yalnızca faaliyet durumu devam eden bir Elektronik Sertifika Hizmet Sağlayıcısından alın. Güncel listeyi BTK’nın ESHS sayfasından kontrol edin.
2. Kullanım ihtiyacını belirleyin: Hangi sistemlerde, hangi cihazlarla ve ne sıklıkla imza atacağınızı listeleyin.
3. Teklif ve politikaları karşılaştırın: Sertifika süresi, cihaz veya mobil hizmet, kimlik doğrulama, teslimat, yenileme, iptal, teknik destek ve toplam bedeli birlikte değerlendirin.
4. Güncel belge listesini alın: Başvuru sahibinin kimliği zorunlu doğrulama konusudur. Şirket adına hareket yetkisi sertifikada yer alacaksa ESHS, bu bilgiyi de resmî belgelere dayandırarak doğrular. Evraklar sağlayıcı ve başvuru türüne göre değişebilir.
5. Kimlik doğrulamayı tamamlayın: ESHS’nin mevzuata uygun sunduğu yüz yüze veya desteklenen elektronik/uzaktan kanalı kullanın. Başvuruyu yalnızca sağlayıcının resmî sitesinden başlatın.
6. Sertifika ve aracı teslim alın: Teslimat/aktivasyon talimatını doğrulayın; cihaz, SIM veya diğer güvenli imza oluşturma aracını koruma altına alın.
7. Kurulum ve test yapın: Sürücü ve imzalama yazılımını ESHS’nin resmî kaynağından kurun; sertifika zinciri, geçerlilik tarihi ve test imzasını kontrol edin.

Başvuru belgeleri

Kimlik belgesi ve başvuru/sözleşme bilgileri temel unsurlardır. Vergi levhası, ticaret sicili kaydı, yetki belgesi veya imza sirküleri gibi kurumsal evraklar ancak başvuru kapsamına ve sertifikaya eklenecek yetki bilgisine göre istenebilir. Eski bir internet listesini evrensel zorunluluk gibi kullanmayın; seçilen ESHS’nin güncel resmî listesini esas alın.

Ücret ve sertifika süresi

Tek bir resmî e-imza fiyatı yoktur. Bedel; sertifika süresi, güvenli imza oluşturma aracı, teslimat, mobil hizmet, kurulum veya destek seçeneklerine göre değişir. Her sertifikanın başlangıç ve bitiş zamanı vardır. Süre dolmadan yenileme adımını planlayın; ancak eski imzalı belgelerin doğrulanması yalnızca sertifikanın bugün hâlâ aktif olmasına değil, imza zamanı, iptal kayıtları ve kullanılan doğrulama yöntemine de bağlıdır.

E-imza nerelerde kullanılır?

Güvenli elektronik imza; ilgili portalın desteklediği, mevzuatın izin verdiği ve gerekli yetkinin bulunduğu işlemlerde kullanılabilir. E-imzaya sahip olmak bütün kamu ve özel sektör işlemlerini otomatik olarak uzaktan yapabilmek anlamına gelmez.

Kamu ve mesleki sistemler

• MERSİS ve ticaret sicili: Sistem tarafından e-imzaya açılan kuruluş ve değişiklik adımlarında kullanılabilir; şirketi temsil yetkisi ayrıca sicil kayıtlarına dayanır.
• UYAP: Avukat, vatandaş veya kurum portallarında kullanıcının rolüne açılmış imzalı başvuru ve belge işlemlerinde kullanılabilir.
• e-Devlet ve kurum portalları: E-imza ile giriş veya imzalı işlem yalnızca ilgili hizmet bu yöntemi destekliyorsa mümkündür.
• KEP: BTK’nın açıklamasına göre KEP üzerinden ileti göndermek için güvenli elektronik imza gerekir. KEP, noterlik veya UETS ile aynı sistem değildir. Ayrıntılar için KEP adresi alma rehberini inceleyebilirsiniz.

Özel sektör ve sözleşmeler

• Uygun elektronik sözleşme ve onay iş akışları,
• Kurumsal yazışma, satın alma ve belge yönetimi,
• Finans, sigorta ve insan kaynakları platformlarının desteklediği imzalı işlemler,
• Mesleki uygulamalar ve kurumların e-belge süreçleri.

Güvenli elektronik imza, noter/kargo maliyetini her durumda ortadan kaldırmaz. Resmî şekil, özel merasim, fiziksel ibraz veya kurumun kendi doğrulama şartı bulunan işlemlerde ek adımlar gerekebilir. Şirket adına imza atan kişinin temsil sınırı da ayrıca kontrol edilmelidir.

e-Fatura ve mali mühür ayrımı

e-Fatura ve diğer Gelir İdaresi e-belge işlemlerinde kullanılacak araç, mükellefin niteliğine ve GİB’in güncel teknik kılavuzuna göre e-imza veya mali mühür olabilir. “Her şirket e-Fatura için e-imza kullanır” genellemesi doğru değildir. Ayrıntılar için e-Fatura ve mali mühür rehberini inceleyin.

E-imza güvenliği için kontrol listesi

Güvenli elektronik imza kişiye bağlıdır. Sertifika sahibi, imza oluşturma verisini başkasına kullandırmamak; kayıp, çalınma veya güvenlik şüphesinde ESHS’yi derhâl bilgilendirmekle yükümlüdür.

Günlük kullanım kuralları

• PIN’i yönetici, muhasebeci, çalışan veya teknik destek görevlisiyle paylaşmayın.
• Cihazı ortak bilgisayarda takılı bırakmayın; işlem bitince çıkarın ve güvenli yerde saklayın.
• İmzalamadan önce belgeyi, ekleri, muhatabı ve görünen özet bilgisini kontrol edin.
• Yazılım ve sürücüleri yalnızca ESHS’nin veya hedef kurumun resmî kaynağından indirin.
• Sertifikanın geçerlilik/iptal durumunu ve varsa kullanım sınırlarını doğrulayın.
• Oltalama mesajlarındaki bağlantılardan PIN girmeyin ve uzaktan erişim yazılımıyla imza attırmayın.

Kayıp, çalınma veya şüpheli kullanım

1. İmza oluşturma aracını kullanmayı bırakın.
2. ESHS’nin resmî iptal/askıya alma kanalına derhâl başvurun.
3. Şüpheli işlem yapılan kurumları ve şirket içi bilgi güvenliği sorumlusunu bilgilendirin.
4. İlgili belge, işlem zamanı, sertifika bilgisi ve sistem kayıtlarını koruyun.
5. Gerekirse hukuki ve adli başvuru için yetkili uzmandan destek alın.

Bir sertifikanın veya PIN’in başkasına verilmesi ciddi risk doğurur; buna rağmen her şüpheli imzanın hiçbir inceleme yapılmadan otomatik olarak sertifika sahibine ait sayılacağını söylemek doğru değildir. Uyuşmazlıkta sertifika, iptal zamanı, cihaz güvenliği, sistem kayıtları ve somut olay birlikte incelenir.

Kurumsal e-imza süreçlerinde görev değişiklikleri, cihaz teslim tutanakları ve erişim yetkileri KVKK ve bilgi güvenliği politikalarıyla birlikte yönetilmelidir. İlgili yükümlülükler için KVKK rehberini inceleyebilirsiniz.

E-İmza Kullanımında Süre ve Destek

Sertifika yenileme ve uzun dönem doğrulama

Her sertifikada başlangıç ve bitiş tarihi bulunur; yaygın paket süreleri sağlayıcıya göre değişir. Süre dolduğunda yeni imza oluşturulamaz. Daha önce atılmış imzaların uzun dönem doğrulanması için imza zamanı, sertifika iptal kayıtları, zaman damgası ve arşivleme yöntemi önem taşır.

PIN sıfırlama ve kilit açma

Rastgele deneme yaparak cihazı kilitlemeyin. ESHS’nin resmî PIN sıfırlama/kilit açma kılavuzunu izleyin; kimlik doğrulama veya yeni cihaz işlemi gerekebilir. PIN’i destek görevlisi dâhil hiç kimseyle paylaşmayın.

Yetkili sağlayıcı ve Workon’un hizmet kapsamı

Nitelikli elektronik sertifika yalnızca BTK listesinde yer alan yetkili ESHS’lerden alınır. Workon; girişimcilere ofis, yasal adres, hazır ofis ve toplantı odası hizmetleri sunar. Sanal ofis hizmetinde sözleşme yıllık yapılır. E-imza, muhasebe ve hukuki işlemler ilgili yetkili sağlayıcılar ve meslek mensupları tarafından yürütülür.

E-imza başvurusu için önce BTK’nın güncel ESHS listesini kontrol edin. İşletmeniz için profesyonel yasal adres gerekiyorsa Workon sanal ofis hizmetini inceleyebilirsiniz.

Bu içerik genel bilgilendirme amaçlıdır; hukuki görüş veya belirli bir sistemde işlem garantisi değildir. Güncel mevzuatı, hedef kurumun teknik şartlarını ve ESHS’nin resmî belgelerini esas alın.

E-İmza Hakkında Sık Sorulan Sorular