E-İmza Tokenı Kaybolursa Ne Yapılır? Sertifika İptali, Kayıp ve Çalınma 2026

E-imza tokenı kaybolduğunda ilk yapılacak işlem nedir?

İlk işlem, nitelikli elektronik sertifikayı düzenleyen elektronik sertifika hizmet sağlayıcısına gecikmeden ulaşmak ve kayıp/çalınma bildiriminde bulunmaktır. BTK’nın elektronik imza açıklamalarında sertifika sahibinin, imza oluşturma aracının veya erişim verisinin kaybolması, çalınması ya da güvenilirliğinden şüphe edilmesi halinde ESHS’yi derhal bilgilendirmekle yükümlü olduğu açıkça belirtilir.

“Bir süre arayayım, bulamazsam bildiririm” yaklaşımı hukuki ve teknik risk yaratır. Token başkasının eline geçmiş olabilir. PIN veya başka erişim verisinin de ele geçirilmiş olması ihtimali varsa yetkisiz elektronik imza üretme riski doğar. Bu nedenle bildirim, kayıp fark edildiği anda yapılmalıdır.

Bildirim kanalı hizmet sağlayıcısına göre değişebilir. ESHS’nin çağrı merkezi, çevrim içi iptal hizmeti veya kimlik doğrulamalı başvuru yöntemi kullanılabilir. Sertifika sahibi iptal talebinin tarih-saatini ve başvuru numarasını mutlaka saklamalıdır.

Nitelikli elektronik sertifika sahibinin hangi yükümlülükleri vardır?

Sertifika sahibi nitelikli elektronik sertifika almak için doğru bilgi ve belge sağlamak, bilgilerindeki değişiklikleri ESHS’ye bildirmek, imza oluşturma ve doğrulama verilerini sertifika kapsamına uygun kullanmak, imza oluşturma verisini başkalarına kullandırmamak ve güvenli elektronik imza oluşturma aracını korumakla yükümlüdür.

İmza oluşturma verisinin güvenliği e-imza sisteminin temelidir. Güvenli elektronik imza 5070 m.4 uyarınca yalnız imza sahibinin tasarrufunda bulunan güvenli imza oluşturma aracıyla oluşturulmalıdır. Tokenın çalışma arkadaşına, muhasebeciye veya sekretere bırakılması bu temel ilkeyle bağdaşmaz.

PIN kodunun tokenın üzerine yazılması, bilgisayarda şifresiz dosyada saklanması veya başkalarıyla paylaşılması da güvenlik riskini artırır. Kayıp halinde sorumluluk değerlendirmesinde sertifika sahibinin bu yükümlülüklere uyup uymadığı önem taşıyabilir.

Nitelikli elektronik sertifika nasıl iptal edilir?

İptal işlemi sertifikayı düzenleyen ESHS üzerinden yürütülür. ESHS, sertifika durum bilgilerini güncel tutar ve sertifika iptal listeleri oluşturur. İptal edilen sertifikanın durumu SİL veya çevrimiçi sertifika durum protokolü gibi yöntemlerle üçüncü kişiler tarafından kontrol edilebilir.

Sertifika iptali teknik olarak tokenın fiziksel olarak bulunmasını gerektirmez. Tam tersine token kayıp olduğu için sertifikanın kullanılamaz hale getirilmesi amaçlanır. İptal talebi sahibin kimliği doğrulanarak hizmet sağlayıcının prosedürüne göre alınır.

İptal ile askıya alma kavramları hizmet sağlayıcı prosedürlerinde farklı uygulanabilir. Hukuki kullanıcı açısından temel nokta, sertifikanın üçüncü kişilerce doğrulamada artık geçerli görünmemesini sağlayacak durum kaydının oluşturulması ve bunun zamanının kesin olarak saklanmasıdır.

Sertifika iptal edilince daha önce atılan e-imzalar geçersiz olur mu?

Hayır, otomatik olarak bütün geçmiş imzalar geçersiz olmaz. Bir e-imzanın değerlendirilmesinde imzanın oluşturulduğu tarihte sertifikanın geçerli olup olmadığı, o anda iptal kaydı bulunup bulunmadığı, belgenin bütünlüğü ve imza doğrulama sonuçları incelenir. Sonradan meydana gelen sertifika iptali, geçmişte geçerli sertifikayla oluşturulmuş imzayı kendiliğinden silmez.

Bu nedenle uzun dönem doğrulama kayıtları önemlidir. İmza zamanı, varsa zaman damgası, sertifika zinciri, sertifikanın imza anındaki SİL/OCSP durumu ve doğrulama raporu saklanmalıdır. Yıllar sonra sertifika süresi dolduğunda veya iptal edildiğinde geçmiş imzanın durumu bu kayıtlarla incelenebilir.

Kayıp fark edilmeden hemen önce oluşturulmuş tartışmalı bir imza varsa kronoloji kritik hale gelir. İmzanın gerçek oluşturulma zamanı, tokenın son güvenli görüldüğü an, kayıp fark edilme zamanı ve iptal başvuru zamanı birlikte değerlendirilir.

Kayıp tokenla başkası e-imza atarsa ne olur?

Yetkisiz kişinin kayıp token ve erişim bilgilerini kullanarak elektronik imza oluşturması halinde hem özel hukuk hem ceza hukuku boyutu doğabilir. Belgenin kimin tarafından fiilen oluşturulduğu, tokena nasıl erişildiği, imza sahibinin güvenlik tedbirleri ve sertifika iptal zamanı araştırılır.

Güvenli elektronik imza teknik olarak sertifika sahibine bağlı görünür. Bu nedenle imza sahibinin “ben atmadım” iddiası ciddi teknik inceleme gerektirir. Bilgisayar logları, IP kayıtları, uygulama kayıtları, token kullanım zamanı, imzalanan dosya ve ESHS kayıtları delil olabilir.

Yetkisiz kullanımın hukuki sonucu her dosyada aynı değildir. İmza sahibinin ağır ihmali, üçüncü kişinin kötü niyeti, karşı tarafın doğrulama yükümlülüğünü yerine getirip getirmediği ve işlem sonrasında şirket veya kişinin davranışları birlikte değerlendirilir.

Token kayıp ama PIN başkasında değilse yine iptal gerekir mi?

Evet. PIN’in paylaşılmamış olması riski azaltabilir; ancak tokenın kaybolması halinde sertifika sahibinin ESHS’yi derhal bilgilendirme yükümlülüğü devam eder. PIN’in kırılması, ele geçirilmesi veya daha önce başka yerde kaydedilmiş olması ihtimali göz ardı edilemez.

Güvenli elektronik imza sisteminin amacı yalnız “şifre bilinmiyor” varsayımına dayanmak değildir. İmza oluşturma aracının münhasır kontrolü kaybedildiğinde sertifikanın güvenilirliği sorgulanır. Bu nedenle fiziksel kayıp tek başına bildirim ve iptal sürecini başlatmak için yeterli ciddi olaydır.

Şirket çalışanının e-imza tokenı kaybolursa şirket ne yapmalıdır?

Şirket, sertifika sahibinin ESHS’ye bildirim yapmasını sağlamanın yanında kurumsal sistem erişimlerini de derhal gözden geçirmelidir. Token yalnız e-imza üretmek için değil, bazı kamu portalları veya şirket sistemlerinde oturum açmak için kullanılıyor olabilir. İlgili hesaplar, yetkiler ve vekâlet/temsil ilişkileri kontrol edilmelidir.

Şirketin bilgi işlem birimi olay kaydı oluşturmalı, tokenın son kullanıldığı tarih ve sistemleri belirlemeli, şüpheli işlem olup olmadığını incelemelidir. Şirket adına imza yetkisi varsa ticaret sicili veya kurumsal yetki kayıtlarıyla sertifika ilişkisi de değerlendirilmelidir.

Kişinin işten ayrılması veya görev değişikliği de benzer risk taşır. Fiziksel tokenın teslim alınması, sistem erişimlerinin kapatılması ve gerekiyorsa sertifika ilişkisinin güncellenmesi kurumsal çıkış prosedürünün parçası olmalıdır.

Kayıp e-imza için polise veya başka kuruma bildirim zorunlu mu?

5070 kapsamındaki temel ve acil yükümlülük ESHS’nin bilgilendirilmesidir. Tokenın çalındığına ilişkin somut olay varsa kolluğa şikâyet, cihaz hırsızlığı veya yetkisiz kullanımın ceza hukuku boyutu nedeniyle ayrıca gündeme gelebilir. Kayıp ile hırsızlık aynı olay değildir; gerçek olay neyse buna uygun kayıt oluşturulmalıdır.

Token şirket adına kullanılıyorsa şirket yönetimi, bilgi güvenliği birimi ve ilgili sistem yöneticileri de derhal bilgilendirilmelidir. Yetkisiz imzalı bir belgenin belirli karşı tarafa gönderildiği tespit edilmişse karşı tarafa uygun hukuki bildirim yapılması gerekebilir.

Kişisel veri ihlali oluşmuşsa 6698 sayılı Kanun kapsamındaki ayrı yükümlülükler de değerlendirilebilir. Ancak yalnız token kaybı otomatik olarak her durumda kişisel veri ihlali bildirimi anlamına gelmez; olayın veri güvenliğine etkisi incelenmelidir.

Sertifika iptalinden sonra yeni e-imza nasıl alınır?

İptal edilen sertifika yeniden “aktif” hale getirilmez; hizmet sağlayıcının prosedürüne göre yeni nitelikli elektronik sertifika başvurusu veya yenileme/yeniden üretim süreci yürütülür. Yeni sertifikanın seri numarası ve geçerlilik dönemi eskisinden farklı olacaktır.

Şirket adına kullanım varsa yeni sertifikada şirket bilgisi ve temsil ilişkisinin güncel olması gerekir. Eski token veya sertifika bilgisi bulunan uygulamalar, otomatik imza yazılımları ve belge yönetim sistemleri yeni sertifikaya göre güncellenmelidir.

Yeni sertifika alındıktan sonra eski sertifikanın iptal durumunun doğrulanabildiği kontrol edilmeli; kurum içi e-imza envanterine yeni seri numarası ve geçerlilik tarihleri işlenmelidir.

Kayıp veya çalınma uyuşmazlığında hangi kayıtlar saklanmalıdır?

Kayıp fark edilme tarihi ve saati, ESHS’ye bildirim zamanı, iptal başvuru numarası, ESHS cevabı, varsa polis başvurusu, şirket olay kaydı, sistem erişim logları ve şüpheli e-imza dosyaları birlikte saklanmalıdır. Elektronik dosyalar değiştirilmeden özgün biçimde korunmalıdır.

Sertifikanın iptal öncesi ve sonrası durumunu gösteren SİL/OCSP bilgileri, imza doğrulama raporları ve varsa zaman damgası kayıtları özellikle önemlidir. Olay kronolojisi ne kadar kesin kurulursa yetkisiz imzanın hangi aşamada üretildiği daha sağlıklı değerlendirilebilir.

BTK’nın güncel kullanıcı yükümlülükleri için E-İmza ile İlgili Sıkça Sorulan Sorular sayfası ve mevzuat için BTK Elektronik İmza Mevzuatı esas alınmalıdır. Sertifika yapısı için Nitelikli Elektronik Sertifika Nedir? rehberi incelenebilir.

Türkiye geneli ve Mersin uygulaması

E-imza tokenı kayıp ve sertifika iptali prosedürü Türkiye genelinde 5070 sayılı Kanun ve ESHS prosedürlerine göre işler. Mersin’de bulunan sertifika sahibi başka şehirdeki sağlayıcıdan sertifika almış olsa bile kayıp bildirimini doğrudan sertifikayı düzenleyen ESHS’ye yapmalıdır.

Bakırcı & Keskin Hukuk Bürosu açısından kayıp tokenla ilişkilendirilen şüpheli imza dosyasında olay kronolojisi, sertifika durumu, ESHS bildirimi, teknik loglar ve işlem taraflarının davranışları birlikte incelenir. Sadece “sertifika benim adıma” veya “token kaybolmuştu” beyanıyla sonuç kurulmaz. İmza anındaki teknik durum, iptal kronolojisi ve erişim kayıtları birlikte doğrulanmalı, özgün elektronik belge ayrıca değişmeden muhafaza edilmelidir.

ESHS iptal talebinde kimlik doğrulaması neden önemlidir?

Sertifika iptali, üçüncü kişilerin imza sahibinin nitelikli elektronik sertifikasına güvenmesini durdurduğu için güvenlik açısından hassas bir işlemdir. ESHS, iptal talebini gerçekten sertifika sahibinin veya yetkili kişinin yaptığını doğrulamak zorundadır. Hizmet sağlayıcının prosedürüne göre telefon, çevrim içi hesap, kimlik doğrulama, güvenlik soruları veya başka güçlü doğrulama yöntemleri kullanılabilir. Sertifika sahibi, kayıp anında hangi kanalı kullanacağını önceden bilmelidir.

Kurumsal kullanıcılarda e-imza envanterine ESHS’nin acil iptal iletişim kanalı, sertifika seri numarası ve sorumlu kişinin bilgisi eklenmesi faydalıdır. Olay anında seri numarasını aramak veya hangi sağlayıcıdan alındığını belirlemek için zaman kaybedilmemelidir. İptal talebinin alındığı tarih ve saat daha sonra tartışmalı imzalar bakımından kritik kronolojik delildir.

Kayıp nedeniyle sertifika iptali ile normal yenileme aynı şey midir?

Hayır. Normal yenileme, sertifikanın geçerlilik süresinin sona yaklaşması nedeniyle yeni dönem için sertifika düzenlenmesi sürecidir. Kayıp veya çalınma nedeniyle iptal ise mevcut sertifikanın güvenilirliğinin ortadan kalktığı acil güvenlik işlemidir. Kayıp halinde sertifikanın bitiş tarihini beklemek doğru değildir.

Yenilemede eski sertifika belirli tarihe kadar kullanılabilirken, iptal kaydı oluşturulduğunda sertifikanın bundan sonraki kullanımı güvenilir kabul edilmez. Bu nedenle kayıp tokenın daha sonra bulunması, iptal edilmiş sertifikayı yeniden kullanılabilir hale getirmez. Yeni sertifika ve yeni güvenli kullanım süreci başlatılır.

Şirket içi olay müdahale tutanağında neler bulunmalıdır?

Şirket çalışanının veya yöneticisinin tokenı kaybolduğunda yazılı olay tutanağı düzenlenmelidir. Tutanakta kaybın fark edildiği tarih-saat, tokenın son görüldüğü yer ve zaman, sertifika sahibinin adı, sertifika seri numarası, kullanılan ESHS, ESHS’ye bildirimin tarihi, iptal başvuru numarası, etkilenen sistemler ve yapılan erişim kapatma işlemleri yer almalıdır.

Olay sırasında şüpheli belge veya başvuru tespit edilirse özgün elektronik dosya değiştirilmeden saklanmalı, imza doğrulama raporu alınmalı ve dosyanın hangi sistemden ne zaman üretildiği kaydedilmelidir. E-posta, KEP, UYAP, MERSİS veya başka portal kullanılmışsa ilgili işlem geçmişi ayrıca korunmalıdır. Bu kayıtlar hem iç denetim hem sonraki hukuki uyuşmazlık açısından önem taşır.

Kayıp ile iptal arasındaki dönemde şüpheli imzalar nasıl taranır?

En riskli dönem tokenın kontrolünün kaybedildiği tahmini zaman ile sertifikanın iptal edildiği zaman arasındaki aralıktır. Şirket veya kişi bu dönem içinde kullandığı elektronik sistemlerin işlem geçmişini kontrol etmeli; imzalanan sözleşme, başvuru, beyan, fatura eki, kamu portalı işlemi veya başka elektronik belgeleri listelemelidir. Her şüpheli dosyada imza zamanı, sertifika seri numarası ve varsa zaman damgası doğrulanmalıdır.

İmza sahibi normalde belirli cihaz veya IP üzerinden işlem yapıyorsa olağan dışı erişim kayıtları ek inceleme işareti olabilir. Ancak tek başına IP farklılığı yetkisiz kullanımın kesin kanıtı değildir; VPN, mobil bağlantı ve kurumsal ağ yapısı dikkate alınmalıdır. Teknik loglar diğer delillerle birlikte yorumlanmalıdır.

Karşı taraf şüpheli e-imzalı belge aldıysa ne yapmalıdır?

Belgeyi alan üçüncü kişi nitelikli elektronik sertifikanın geçerlilik ve iptal durumunu kontrol etmeli, imza doğrulama aracını kullanmalı ve varsa sertifika kapsamındaki sınırlamaları incelemelidir. BTK da üçüncü kişilerin sertifikanın nitelikli olup olmadığını, iptal ve geçerlilik durumunu ve kullanım sınırlamalarını kontrol etme yükümlülüğünü açıklar.

İptal edilmiş sertifikayla oluşturulduğu görülen yeni bir belgeye yalnız ekrandaki isim nedeniyle güvenilmemelidir. Belgenin işlem zamanı, iptal zamanı ve tarafların bildirimleri birlikte değerlendirilmelidir. Şüphe varsa işlem tamamlanmadan sertifika sahibiyle farklı ve güvenilir bir iletişim kanalından teyit yapılmalıdır.

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →