e-Dönüşüm Terimleri Sözlüğü

Kanun, güvenli e-imzayı 'NES ile oluşturulan ve m.4'teki teknik unsurları taşıyan elektronik imza' olarak tanımlar; bu tanım, imzanın inkâr edilemezliğinin kanuni dayanağıdır. Söz konusu tanım, uygulamada akıllı kart / USB token / mobil SIM üzerinde tutulan özel anahtarla imzalanan verinin, ilgili ESHS'nin NES'i ile doğrulanabilmesini şart koşar.

m.5, güvenli e-imzayı ıslak imza ile aynı hukuki sonuca bağlar; ancak aynı maddede 'konusu suç teşkil eden fiiller' ile 'vergi ve sosyal güvenlik primleri ödevleri' gibi istisnaları saklı tutar. Bu nedenle her işlem için ayrıca istisna kontrolü gerekir; güvenli e-imzanın varlığı tek başına her belgede geçerlilik için yeterli değildir.

Kurumsal süreçte e-imza atılacak belgenin türüne göre ESHS seçimi, sertifika yenileme takvimi ve iptal/askıya alma prosedürünün işletilmesi gerekir. Sertifika iptali durumunda m.11 kapsamında belirlenen bildirim yükümlülükleri yerine getirilmeli, imza atan kişinin statüsü (gerçek kişi / tüzel kişi yetkilisi) ayrıca doğrulanmalıdır.

Kanun, e-Tebligat'ı m.7/a ile kamu kurumu niteliğindeki tüzel kişiler ile kanunda sayılı 11 zorunlu kategori (1-11 bent) için zorunlu kılar; adres, UETS üzerinden tanımlanır ve PTT tarafından işletilen sistem üzerinden tebligat yapılır. Kanun, elektronik tebligatın muhatabın elektronik adresine ulaştığı tarihi izleyen beşinci günün sonunda yapılmış sayılacağını öngörür.

m.60, usul ve esasları düzenleme yetkisini Adalet Bakanlığı'na verir; bu yetkiye dayanılarak çıkarılan E-Tebligat Yönetmeliği detayları belirler. Kurumlar, UETS adresi açma, güncelleme ve kapatma süreçlerini iç işleyişlerinde ayrı bir prosedür olarak tanımlamalıdır.

Ek Madde 2 ile her gerçek ve tüzel kişi için 'tek bir' UETS adresi tanımlanır; adres kimlik numarası veya sistem numarası üzerinden eşleştirilir. Elektronik yolla tebligat yapılamaması hâlinde Kanun'daki diğer usuller uygulanır; elektronik akışta ise delil zinciri UETS'nin ürettiği kayıtlara dayanır.

Denetim izi, bir belgenin yaşam döngüsü boyunca yapılan tüm işlemleri (oluşturma, görüntüleme, imzalama, değiştirme, silme) sıralı ve geri alınamaz biçimde kayıt altına alır. Tipik bir kayıt; işlem zamanı, işlemi yapan kullanıcı, kullanıcı rolü, IP adresi, cihaz bilgisi ve yapılan işlemin türünü içerir; bu yapı uyuşmazlık halinde olayın kronolojik rekonstrüksiyonunu mümkün kılar.

Kayıtların bütünlüğü, hash zincirleri veya zaman damgası ile güçlendirilir; her yeni kayıt bir önceki kaydın özetini de taşıdığı için ara kayıt silinse bile kopukluk tespit edilir. Bu tasarım, sonradan müdahale girişimlerini matematiksel olarak görünür kılar ve manuel müdahaleyi pratikte imkânsız hale getirir.

Kurumsal kullanımda denetim izi yalnızca 'log' olarak değil, delil niteliği taşıyan bir kayıt olarak ele alınmalıdır; erişim yetkisi, saklama süresi ve yedekleme stratejisi ayrıca tanımlanmalı, denetim izine erişen kullanıcıların kendi hareketleri de aynı izde tutulmalıdır.

Kanun, güvenli e-imzayı; m.4'te sayılan teknik koşulları (imza sahibinin kimliği, imza için kullanılan araç üzerindeki kontrol, veri bütünlüğü) sağlayan ve m.5 gereğince ıslak imza ile aynı hukuki sonucu doğuran elektronik imza olarak tanımlar. Bu tanım, imzanın inkâr edilemezliğini yalnızca NES varlığına değil, aynı zamanda sertifikanın geçerli olduğu ana bağlar.

m.3, elektronik imzayı 'başka bir elektronik veriye eklenen veya elektronik veriyle mantıksal bağlantısı bulunan ve kimlik doğrulama amacıyla kullanılan elektronik veri' olarak tanımlar; güvenli e-imza ise bu tanımın m.4 koşullarını sağlayan özel halidir. İmzayı oluşturan araç (akıllı kart, USB token, mobil cihaz) sertifika özel anahtarını korumalıdır.

Kurumsal süreçte e-imza, kişinin bireysel sertifikası üzerinden atılır; imza atan kişinin kurum adına hareket yetkisi ayrıca belirlenmelidir. Sertifika yenileme, PIN bloke olma, cihaz kaybı ve görev değişikliği durumları için prosedürlerin önceden tanımlanmış olması gerekir; aksi halde imza geçersiz kalabilir.

e-Tebligat, 7201 sayılı Kanun m.7/a'da sayılan 11 zorunlu kategoriye dahil kişilere UETS üzerinden yapılır; gönderim, PTT'nin işlettiği sistem üzerinden kayıt altına alınır. e-Tebligat Yönetmeliği (RG 30617), tebligatın hazırlanması, gönderilmesi, tescili ve muhatabın bilgilendirilmesine ilişkin usul ve esasları düzenler.

Tebliğ tarihi bakımından belirleyici kural şudur: elektronik tebligat, muhatabın elektronik adresine ulaştığı tarihi izleyen beşinci günün sonunda yapılmış sayılır (7201 m.7/a). UETS, tebligat mesajını zaman damgasıyla ilişkilendirerek muhatabın adresine ulaştırır; sistemin ürettiği delil kayıtları kesin delil sayılır ve tebligatı çıkaran mercie en geç yirmi dört saat içinde bildirilir.

Saklama süreleri yönetmelikte açıkça belirlenmiştir: işlem kayıtları on yıl, delil kayıtları otuz yıl saklanır. Kurumlar, UETS adreslerinin doğru kişiye ait olduğunu düzenli kontrol etmeli, yetkilisi sona ermiş veya görevi değişmiş çalışanların adresleri için güncelleme talebi başlatmalıdır.

eIDAS, AB sınırları içinde elektronik kimlik, doğrulama ve güven hizmetlerinin birbirini tanımasını sağlayan ortak kurallar bütünüdür. Düzenleme; elektronik imza, elektronik mühür, zaman damgası, kayıtlı elektronik tebligat ve web sitesi doğrulaması gibi güven hizmetlerini kademeli olarak ele alır ve nitelikli seviyeyi ayrıca tanımlar.

Yönetmelik, AB'de yerleşik 'güven hizmeti sağlayıcılarını' (TSP) akreditasyon ve denetim mekanizmasına bağlar; uyumlaştırılmış ETSI standartları, teknik yeterliliğin ölçütüdür. Bu sayede bir AB üye devletinde nitelikli olarak üretilen imza, diğer üye devletlerde de aynı hukuki etkiyi doğurur.

Türkiye'de e-imza, e-mühür ve zaman damgası hizmetleri 5070 sayılı Kanun ve ilgili ikincil düzenlemeler çerçevesinde yürütülür. Bu nedenle AB tarafında düzenlenen bir güven hizmetinin Türkiye'deki hukuki karşılığı, ilgili Türk mevzuatına göre ayrıca değerlendirilir; otomatik denklik ileri sürülmez.

Resmî Yazışma Yönetmeliği (dayanağı: 1 sayılı Cumhurbaşkanlığı Kararnamesi'nin 6 ve 7 nci maddeleri), kamu kurumları arasındaki yazışmaları elektronik ortamda esas alır; bu kapsamda hazırlanan belgeler e-Yazışma Paketi olarak gönderilir. Yönetmelik, e-Yazışma Teknik Rehberi'ni DDO'nun yayımladığı bağlayıcı referans olarak tanımlar ve teknik detayı bu rehbere bırakır.

m.17, güvenli e-imza ile imzalanan belgelerin arşiv imzasına dönüştürülebilir şekilde hazırlanmasını şart koşar; m.23 ile belgeler e-Devlet üzerinden de doğrulanabilir. m.30, rehbere uygun olmayan paketi alan idareye reddetme hakkı tanır; bu nedenle her gönderim öncesinde şema ve üstveri kontrolü yapılmalıdır.

m.25 kapsamında 'Hizmete Özel' gizlilik derecesi elektronik olarak işlenebilir; m.28 ile belgeler için üstveri zorunluluğu getirilir. Kurumlar, EYP üreten sistemlerinde Rehber sürümlerini düzenli takip etmeli, sürüm geçişlerinde hazırlık ve test sürecini tamamlamadan üretime geçmemelidir.

KEP, Kayıtlı Elektronik Posta Yönetmeliği (RG 28036) m.4'te tanımlanmıştır; gönderici ve alıcı kimliğinin tespitini, gönderim ve teslim anının kaydını ve saklanmasını zorunlu kılar. Sistem, m.4'teki 'sakla-ilet' ve 'sakla-bildir' hizmetlerini bir arada sunar; her iki hizmet için de KEP delili üretilir.

m.12 gereği, mücbir sebep hâlleri dışında hesabına erişmeyen hesap sahibi bakımından o iş günü gelen ileti, ertesi iş günü ulaşmış ve okunmuş kabul edilir; m.13 ile alıcının KEP hesabı kullanıma kapatılabilir, ancak geçmişe dönük kapatma yapılamaz. m.15, KEP delilini 'senet hükmünde kesin delil' olarak nitelendirir; bu nitelik, hukuki uyuşmazlıklarda KEP kayıtlarının özel bir ispat gücüne sahip olduğunu gösterir.

m.16, KEP hizmet sağlayıcılarının sistemlerini 7/24 erişilebilir kılmasını, ana ve yedek sistemlerini Türkiye'de bulundurmasını ve kayıtları en az yirmi yıl saklamasını zorunlu tutar. m.20, BTK'ye yüzde 0,4 oranında idari ücret ödenmesini düzenler; bu yükümlülük KEP sağlayıcılarının maliyet yapısına yansır.

Kanun, kişisel verilerin işlenmesini m.5'teki şartlara bağlar; bu şartlar arasında 'ilgili mevzuatta açıkça öngörülmesi', 'bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması', 'veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi' gibi hukuki dayanaklar sayılır. e-İmza süreçlerinde, sertifika başvurusu ve kimlik doğrulama sırasında işlenen veriler bu şartlardan birine dayanmalıdır.

m.7, kişisel verilerin silinmesini, yok edilmesini veya anonim hale getirilmesini düzenler; bu yükümlülük, e-imza loglarının ve belge içeriklerinin saklama süresi sonunda nasıl işleneceğini belirler. m.12, veri güvenliğine ilişkin teknik ve idari tedbirleri düzenler; uygulamada bu, şifreleme, erişim kontrolü ve loglama alt yapısını gerektirir.

m.16 ile veri sorumluları, Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt yükümlülüğü kapsamında değerlendirilir; e-imza hizmeti sunan kurumlar için bu kayıt, işlenen veri kategorileri ve saklama sürelerini içerir. m.18'deki kabahatler ve m.22'de sayılan Kurul görev ve yetkileri, uyum eksikliğinin yaptırım riskini belirler.

Mobil imza, 5070 sayılı Kanun m.3'teki elektronik imza tanımının bir uygulama biçimidir; aynı Kanun'un güvenli e-imza hükümlerine tabidir. Sertifika, mobil operatörün SIM kartına veya cihazdaki güvenli öğeye yüklenir; imza oluşturma, operatörün altyapısı üzerinden SMS OTP veya benzeri bir onay akışı ile tetiklenir.

Hukuki geçerlilik açısından mobil imza, karta/token tabanlı güvenli e-imza ile aynı sonucu doğurur; aynı m.4 koşulları (kimlik, kontrol, bütünlük) burada da aranır. İmza atılırken, sertifika sahibinin gerçek kişi olduğu, sertifikanın süresi içinde olduğu ve iptal edilmediği ESHS altyapısı üzerinden doğrulanır.

Kurumsal kullanımda, mobil imza cihazı kaybedildiğinde veya çalındığında ESHS'ye bildirim yapılarak sertifika askıya alınmalıdır. Kurumlar, mobil imza için uyumluluk seviyesini (ör. 'güvenli e-imza' eşdeğeri) kendi süreçlerinde ayrıca tanımlamalı, hangi işlemlerde mobil imzanın kabul edileceği politika metniyle belirlenmelidir.

NES, 5070 sayılı Kanun m.9'da sayılan zorunlu alanları içerir: sertifika sahibinin kimlik bilgileri, sertifika seri numarası, geçerlilik başlangıç ve bitiş tarihi, ESHS'nin bilgileri, ESHS'nin elektronik imza ve sertifika iptal/bilgi anahtarlarına erişim bilgisi. Bu alanlar eksiksiz olmadan sertifika, nitelikli elektronik sertifika sayılmaz.

Sertifikayı oluşturan ESHS, 5070 sayılı Kanun m.8 uyarınca Kuruma (BTK) bildirimde bulunur ve bildirimden iki ay sonra faaliyete geçer; bildirimde güvenli ürün ve sistem kullanımı gibi taahhütler yer alır. ESHS, sertifika yaşam döngüsü boyunca (üretim, dağıtım, yenileme, iptal) belirlenen prosedürlere uymakla yükümlüdür.

Kurumsal süreçte NES başvurusu sırasında kimlik doğrulama (m.10) yükümlülüğü yerine getirilir; doğrulama sırasında alınan kimlik ve iletişim verileri KVKK kapsamında ayrıca değerlendirilir. Sertifika iptali durumunda m.11'deki bildirim yükümlülükleri uyarınca ESHS'nin güncel sertifika durumu listesini (CRL/OCSP) erişilebilir tutması gerekir.

Hash fonksiyonu, herhangi uzunluktaki bir veri kümesinden sabit uzunluklu (ör. SHA-256 için 256 bit) bir özet üretir; aynı girdi için her zaman aynı çıktıyı verir. Çıktı, girdiden geriye doğru hesaplanamaz (tek yönlülük) ve girdideki tek bir bitlik değişiklik çıktıyı tamamen farklılaştırır (çığ etkisi); bu iki özellik, bütünlük ispatı için temel dayanaktır.

Bir belgenin imzalanması sürecinde, imza algoritması çoğu zaman belgenin kendisini değil hash değerini imzalar; bu sayede büyük dosyalar hızlı ve güvenli biçimde imzalanabilir. Doğrulama aşamasında, imzalanmış belgeden yeniden üretilen hash, imza içindeki hash ile karşılaştırılır; eşleşme, belgenin imzadan sonra değiştirilmediğini gösterir.

Kurumsal süreçte hash değerleri, belge arşivleme ve transferinde de kullanılır; iki ayrı sistemde aynı hash'in üretilmesi, içeriğin eşdeğer olduğunu kanıtlar. MD5 gibi eski algoritmaların çakışma (collision) riski nedeniyle kullanımı önerilmez; mevcut sistemler SHA-256 veya daha üstü algoritmalara geçirilmelidir.

UETS, 7201 sayılı Kanun m.7/a gereği e-Tebligat'ın teslim edildiği merkezi sistemdir; sistem, PTT tarafından işletilir ve kayıtlar ilgili yönetmelik kapsamında güvenli biçimde tutulur. Sistemde her gerçek ve tüzel kişi için 7201 Ek Madde 2 uyarınca 'tek bir' elektronik tebligat adresi tanımlanır; adres, kimlik numarası veya sistem numarası üzerinden eşleştirilir.

PTT, başvuru tarihinden itibaren bir ay içinde elektronik tebligat adresini tek ve benzersiz olacak şekilde oluşturur; tüzel kişiler sistemde en az bir, en fazla on ana işlem yetkilisi belirler. Kullanıma kapatılan adres, altı ay süreyle adres sahibinin erişimine açık tutulur.

Kurumlar, UETS adreslerini kendi iç süreçlerinde ayrı bir envanterde tutmalı; yetkili değişikliklerinde yeni adres açma ve eski adresi kapama işlemlerini zamanında başlatmalıdır. Muhatabın adresi kapalı veya pasif ise tebligat yapılamayacağından, süreç başlangıcında adresin aktif olduğunun teyidi gerekir.

WORM depolama, bir kez yazılan verinin belirlenen saklama süresi boyunca değiştirilememesini, silinememesini ve üzerine yazılamamasını garanti eder. Bu yapı, fiziksel ortamda optik medya (WORM disk) veya yazılımsal olarak değiştirilemez konteynerler ile sağlanabilir; her iki halde de amaç, içeriğin sonradan müdahaleye kapalı olmasıdır.

e-Dönüşüm belgeleri açısından WORM, yasal saklama süreleri boyunca belgenin bütünlüğünü korur; bu sayede belgenin arşivden çıkarılıp değiştirilmesi riski ortadan kalkar. Saklama süresi sonunda veri, yasal düzenlemeye uygun biçimde silinir veya anonim hale getirilir; bu adım ayrıca kayıt altına alınmalıdır.

Kurumsal kullanımda WORM depolamanın KVKK m.12 kapsamındaki teknik tedbirlerden biri olarak değerlendirilmesi gerekir; erişim yetkisi, yedekleme stratejisi ve felaket kurtarma planı, saklama süresiyle uyumlu olmalıdır. Yüksek hacimli ve uzun süreli arşivlerde maliyet ve performans dengesi ayrıca planlanmalıdır.

Zaman damgası, 5070 sayılı Kanun m.3'te 'bir elektronik verinin, üretildiği tarih ve saati gösteren, doğrulama amacıyla güvenli elektronik imza ile birlikte kullanılan elektronik veri' olarak tanımlanır. Zaman damgası, ESHS'nin güvenilir saat kaynağına dayanır; bu saat kaynağı uluslararası standartlara (ör. UTC izlenebilirlik) uyumlu olmalıdır.

Uygulamada zaman damgası, imzalanacak belgenin hash değeri üzerinden üretilir; zaman damgası sunucusu, hash'i kendi saat bilgisi ve kendi sertifikası ile imzalar. Doğrulama aşamasında, belgeden yeniden hesaplanan hash, zaman damgası içindeki hash ile karşılaştırılır; eşleşme, belgenin damgadaki tarihten sonra değiştirilmediğini gösterir.

Kurumsal süreçte zaman damgası, özellikle yasal sürelerin (vergi beyannamesi, ihale başvurusu, sözleşme) başlangıç ve bitiş anlarının ispatında kullanılır. Damganın geçerli sayılması için, zaman damgası sunucusunun sertifikasının iptal edilmemiş ve ESHS'nin yetkilendirmesinin geçerli olması gerekir; aksi halde damga delil değerini kaybeder.