Nitelikli elektronik sertifika (NES) nedir?

Tanım: sertifika, imza ve e-imza arasındaki ilişki

Günlük dilde 'e-imza' dediğimiz şey iki ayrı bileşenin birleşimidir: nitelikli elektronik sertifika ve bu sertifikaya bağlı güvenli elektronik imza. Sertifika, 'bu anahtar çifti şu kişiye aittir' diyen kimlik belgesidir. İmza ise bu anahtar çiftiyle bir belgeye atılan elektronik mühürdür.

5070 sayılı Elektronik İmza Kanunu (Resmî Gazete, 23 Ocak 2004, sayı 25355), güvenli elektronik imzanın şartlarından birini şöyle sıralar: nitelikli elektronik sertifikaya dayanarak imza sahibinin kimliğinin tespitini sağlamak. Kanunun 5. maddesi de güvenli elektronik imzanın elle atılan imza ile aynı hukuki sonucu doğurduğunu söyler.

Başka bir deyişle, NES olmadan 'güvenli elektronik imza' olmaz; e-imzanın hukuki gücü, arkasındaki nitelikli sertifikadan gelir.

NES neler içerir?

Nitelikli elektronik sertifikada, kanunun 9. maddesinde sayılan unsurlar bulunur. Sertifikayı gözle görmezsiniz; ancak e-imza yazılımınızda şu tür bilgiler görünür:

• Sertifika sahibinin adı, soyadı ve kimlik bilgisi (bir kısmı kurumsal başvurularda şirket bilgisiyle birlikte).
• Sertifikayı üreten ESHS'nin adı.
• Sertifikanın başlangıç ve bitiş tarihi (geçerlilik süresi).
• Sertifikanın nitelikli olduğunu gösteren ibare.
• Sertifikanın doğrulanması için gerekli açık anahtar (imza doğrulama verisi).

Sertifikanın içeriğine ilişkin kesin ayrıntıyı kanunun 9. maddesinden ve sağlayıcınızın sertifika ilkelerinden doğrulayabilirsiniz.

Sertifikayı kim üretir? ESHS nedir?

Elektronik sertifika hizmet sağlayıcısı (ESHS), nitelikli elektronik sertifika üretme ve yönetme yetkisi bulunan kuruluştur. BTK'nın web sitesinde yayımlanan listede şu kuruluşlar yer alır:

• Elektronik Bilgi Güvenliği A.Ş. (E-Güven)
• TÜBİTAK-UEKAE (Kamu Sertifikasyon Merkezi, yalnızca kamu çalışanlarına)
• TürkTrust Bilgi, İletişim ve Bilişim Güvenliği Hizmetleri A.Ş.
• E-Tuğra EBG Bilişim Teknolojileri ve Hizmetleri A.Ş.
• Emniyet Genel Müdürlüğü Sertifikasyon Merkezi (yalnızca emniyet teşkilatı içinde)
• E-İMZATR Bilgi Güvenliği Hizmetleri A.Ş.
• Ayyıldız İmza Bilgi Güvenliği ve Teknolojileri A.Ş.
• Arksigner Yazılım ve Donanım Sanayi Ticaret A.Ş. (ARKİMZA)

E-İmza Group, listedeki E-Tuğra'nın yetkili bayisidir. Sertifikalar E-Tuğra tarafından üretilir; biz başvuru, kargo, kurulum ve destek sürecini yürütürüz. E-İmza Group bir ESHS değildir.

Geçerlilik süresi, yenileme ve iptal

• Geçerlilik: Elektronik İmza Yönetmeliği'ne göre geçerlilik süresi sözleşme ve/veya taahhütnamelerle belirlenir. E-İmza Group paketlerinde 1 veya 3 yıldır.
• Yenileme: Sertifika, geçerlilik süresi sona ermeden önce sertifika sahibinin talebiyle yenilenebilir; ESHS bilgilerin geçerliliğini doğrular. Adımlar: e-imza yenileme.
• İptal: İptal talebi alındıktan sonra sertifika derhal iptal edilir; iptal edilen sertifika geçerlilik süresi sonuna kadar iptal durum kayıtlarında yer alır. Sahibinin talebi bir iptal nedenidir. Ayrıntı: e-imza kaybolursa.

Sertifika alırken kimlik doğrulama

Yönetmelik, nitelikli elektronik sertifika verilecek kişinin kimlik tespiti sırasında bizzat hazır bulunmasını esas alır. Kişinin kimliği daha önce tespit edilmişse veya Kimlik Doğrulama Yönetmeliği'ne uygun elektronik doğrulama yapılmışsa bu şart aranmayabilir. Bu nedenle başvurularda kimlik doğrulama yerinde veya online yöntemle titizlikle yürütülür. Başvuru adımları: e-imza nasıl alınır.

NES, mobil imza ve mali mühür

Karşılaştırmalar için e-imza, mali mühür ve KEP farkı ve mobil imza nedir rehberlerine bakın.

Hukuki sonuçlar ve sınırlar

NES'e dayanan güvenli elektronik imza, ıslak imzayla aynı hukuki sonucu doğurur. Ancak kanun iki istisna koyar: kanunların resmî şekle veya özel merasime tabi tuttuğu hukuki işlemler ve teminat sözleşmeleri güvenli elektronik imzayla yapılamaz. Bu nedenle her belge e-imzayla imzalanamaz. Pratikte e-Devlet işlemleri, sözleşmeler, beyannameler ve elektronik başvurular e-imzayla yürütülebilir.

NES nerede kullanılır?

E-Devlet, vergi ve SGK bildirimleri, UYAP, kamu ihaleleri, e-fatura ve e-defter başvuruları, kurumsal sözleşmeler ve online bankacılık gibi birçok alanda kullanılır. Örnekler için e-imza ile neler yapılır rehberine bakın.

NES nasıl edinilir?

Başvuru bir ESHS'ye ya da yetkili bayisine yapılır. E-İmza Group üzerinden başvurmak için e-imza ürün sayfasını ziyaret edebilir veya iletişim kanallarımızdan başvuru başlatabilirsiniz. Fiyat bilgisi için e-imza fiyatları ve süreleri rehberimize bakabilirsiniz.

Bir sertifikanın geçerli olup olmadığı nasıl anlaşılır?

İmzalı bir belge aldığınızda, imzanın geçerliliğini belgeyi açan uygulama üzerinden kontrol edebilirsiniz. Genel mantık şöyledir:

1. Uygulama imzanın belgeye bağlı olduğunu ve belgenin imzadan sonra değişmediğini doğrular.
2. Sertifikanın hangi ESHS tarafından üretildiğini ve nitelikli sertifika olduğunu gösterir.
3. Sertifikanın imza anında geçerlilik süresi içinde olduğunu kontrol eder.
4. Sertifikanın imza anında iptal edilmemiş olduğunu, iptal durum kayıtlarından kontrol eder.

Yönetmeliğe göre iptal edilen sertifika, geçerlilik süresi sonuna kadar iptal durum kayıtlarında yer alır; bu yüzden doğrulama yazılımları iptal bilgisine ulaşabilir.

NES hakkında yaygın yanlış anlamalar

• "Her elektronik imza e-imzadır." Hayır; yalnızca nitelikli elektronik sertifikaya dayanan güvenli elektronik imza ıslak imzayla aynı hukuki sonucu doğurur. Taranmış imza, parmakla çizilen imza veya e-posta altına yazılan ad, bu anlamda e-imza değildir.
• "Sertifikayı bayi üretir." Hayır; sertifikayı ESHS üretir. Bayi başvuru ve destek sürecini yürütür.
• "NES yalnızca kurumlar içindir." Hayır; bireyler de NES edinebilir.
• "Sertifika süresiz geçerlidir." Hayır; bir geçerlilik süresi vardır ve süre dolmadan yenilenmelidir.

Başvuru için e-imza nasıl alınır rehberine bakın. Hukuki istisnalar için e-imza ile neler yapılır rehberini okuyun.

Elektronik imza türleri: NES hangisidir?

Günlük dilde 'elektronik imza' birçok şeyi kapsayabilir. Hukuken ayrım önemlidir:

Bu nedenle 'bir belgeyi elektronik ortamda imzaladım' demek, o imzanın güvenli elektronik imza olduğu anlamına gelmez. Hukuki güç, imzanın NES'e dayanıp dayanmadığına bağlıdır.

NES ile birlikte duyduğunuz kavramlar

• İmza oluşturma verisi (özel anahtar): Yalnızca sahibinde bulunan, token içinde saklanan gizli veri. Dışarı çıkarılmaz.
• İmza doğrulama verisi (açık anahtar): Sertifikada yer alan ve imzayı kontrol etmeye yarayan veri.
• Sertifika sahibi: Sertifikanın üzerinde adı yazılı gerçek kişi.
• Kurumsal başvuru sahibi: Çalışanı adına sertifika talep eden şirket veya kurum. Sertifika yine çalışana aittir.
• Taahhütname: Sertifika sahibinin ve sağlayıcının yükümlülüklerini içeren metin.

Bu kavramlar, ESHS'nin yayımladığı sertifika ilkeleri ve taahhütnamelerinde ayrıntılı tanımlanır. Başvuru sırasında bu metinleri okumanızı öneririz.

Bir sertifikanın yaşam döngüsü

1. Başvuru: Kişi (veya şirketi adına) sağlayıcıya ya da yetkili bayisine başvurur.
2. Kimlik tespiti: Başvuranın kimliği güvenilir yöntemle doğrulanır.
3. Üretim: ESHS anahtar çiftini ve sertifikayı üretir, token'a yükler.
4. Kullanım: Sertifika sahibi, geçerlilik süresi boyunca belgeleri imzalar.
5. Yenileme veya iptal: Süre dolmadan yenilenir; kayıp, çalıntı ya da bilgi değişikliğinde iptal edilir.
6. Süre sonu: Yenilenmemiş sertifika geçerliliğini yitirir; yeni başvuru gerekir.

Bu döngünün her adımı için bu sitedeki rehberlere bakabilirsiniz: başvuru, yenileme, iptal.

Sıkça sorulan sorular