Nitelikli Elektronik Sertifika Nedir? 5070 m.9 | Zorunlu Bilgiler ve Geçerlilik 2026

Nitelikli elektronik sertifika ne işe yarar?

5070 sayılı Elektronik İmza Kanunu, elektronik imzayı başka bir elektronik veriye eklenen veya elektronik veriyle mantıksal bağlantısı bulunan ve kimlik doğrulama amacıyla kullanılan elektronik veri olarak tanımlar. Ancak kanunun elle atılan imzaya eşdeğer hukuki sonucu bağladığı kavram güvenli elektronik imzadır. Güvenli elektronik imzanın kurulabilmesi için de nitelikli elektronik sertifikaya dayanması gerekir.

Nitelikli elektronik sertifika, yalnız bir “dijital kimlik kartı” değildir. Sertifika, imza sahibinin kimliği ile imza doğrulama verisini belirli bir elektronik sertifika hizmet sağlayıcısı tarafından doğrulanmış biçimde birbirine bağlar. Bir elektronik belgedeki imza doğrulanırken sertifikadaki bilgiler ve sertifika durumu kullanılır. Böylece belgeyi imzalayan kişinin kim olduğu, imzanın hangi sertifikaya dayandığı ve sertifikanın o tarihte geçerli olup olmadığı kontrol edilebilir.

Sertifikanın nitelikli olması, içeriğinin ve üretim sürecinin 5070 sayılı Kanun ve ikincil düzenlemelerdeki şartlara uygun olduğu anlamına gelir. Her elektronik sertifika nitelikli elektronik sertifika değildir. Güvenli elektronik imzanın hukuki sonucu bakımından sertifikanın niteliği bu nedenle kritik önemdedir.

5070 m.9 nitelikli elektronik sertifikada hangi bilgileri zorunlu tutar?

5070 sayılı Kanun m.9, nitelikli elektronik sertifikada bulunması gereken bilgileri tek tek düzenler. Sertifikada öncelikle sertifikanın “nitelikli elektronik sertifika” olduğuna dair bir ibare bulunmalıdır. Bu ibare, belgenin genel bir elektronik sertifika değil, Kanun’un nitelikli sertifika rejimine tabi olduğunu gösterir.

Sertifika hizmet sağlayıcısının kimlik bilgileri ile kurulduğu ülke adı da sertifikada yer alır. Böylece imza doğrulaması yapan kişi, sertifikanın hangi hizmet sağlayıcısı tarafından yayımlandığını ve sağlayıcının hangi ülkenin hukuk düzeninde faaliyette bulunduğunu belirleyebilir. Yabancı elektronik sertifikaların Türkiye’deki hukuki sonucu bakımından bu bilgi ayrıca önemlidir.

İmza sahibinin teşhis edilebileceği kimlik bilgileri, imza sahibine ait imza doğrulama verisi, sertifikanın geçerlilik süresinin başlangıç ve bitiş tarihleri ve sertifikanın seri numarası zorunlu alanlardandır. Sertifika sahibinin talebi hâlinde meslekî veya başka kişisel bilgiler de sertifikada bulunabilir; ancak bunların nitelikli sertifikadaki temel zorunlu alanlarla karıştırılmaması gerekir.

Kanun, gerektiğinde sertifikanın kullanım şartları ve maddi kapsamına ilişkin sınırlamaların da sertifikada bulunmasını öngörür. Bu sınırlamalar, sertifikanın hangi işlemlerde kullanılabileceğini veya belirli bir işlem değeri sınırı bulunup bulunmadığını gösterebilir. Sertifika sahibi başka bir kişi adına hareket ediyorsa temsil yetkisine ilişkin bilgi de sertifikada yer almalıdır (m.9/g). Ayrıca sağlayıcı, sertifika içeriğini doğrulayan kendi güvenli elektronik imzasını sertifikaya eklemelidir (m.9/j).

İmza sahibinin kimliği sertifikada nasıl belirlenir?

Nitelikli elektronik sertifikanın temel işlevlerinden biri imza sahibinin teşhis edilebilmesini sağlamaktır. Elektronik sertifika hizmet sağlayıcısı sertifika düzenlemeden önce başvuru sahibinin kimliğini mevzuata uygun yöntemle doğrular. Sertifika daha sonra bu doğrulanmış kimliği imza doğrulama verisiyle ilişkilendirir.

Kimlik doğrulaması, e-imzanın günlük hayatta kullanılan basit kullanıcı adı-parola sisteminden ayrıldığı noktalardan biridir. Parolayı bilen herkes bir hesaba giriş yapabilir; nitelikli elektronik sertifika ise belirli bir gerçek kişiye bağlanır. İmza oluşturma verisinin yalnız imza sahibinin tasarrufunda bulunması ve sertifikanın kişiyi teşhis etmesi birlikte güvenli elektronik imzanın kişisellik unsurunu oluşturur.

Şirketlerde de nitelikli elektronik sertifika gerçek kişi adına düzenlenir. “Şirketin e-imzası” denildiğinde çoğu zaman şirketi temsil eden gerçek kişinin nitelikli elektronik sertifikası kullanılır. Bu nedenle elektronik sertifikanın teknik olarak geçerli olması ile imzalayan gerçek kişinin şirketi temsil yetkisinin bulunması ayrı ayrı kontrol edilmelidir.

İmza doğrulama verisi nedir?

İmza doğrulama verisi, elektronik imzanın imza sahibine ait olup olmadığının ve imzalanmış elektronik verinin bütünlüğünün kontrolünde kullanılan veridir. Açık anahtar altyapısında imza oluşturma verisi ile imza doğrulama verisi birbirini tamamlar. İmza oluşturma verisi gizli tutulurken, doğrulama verisi sertifika aracılığıyla doğrulama yapan kişilere sunulur.

Bu sistem, bir elektronik belgenin yalnız görsel olarak “imzalı” görünmesini değil, kriptografik olarak doğrulanmasını sağlar. Elektronik dosya imzalandıktan sonra değiştirildiğinde doğrulama sonucu bozulabilir. Bu nedenle nitelikli elektronik sertifika, güvenli e-imzanın kimlik ve bütünlük denetiminin merkezindedir.

BTK’nın yayımladığı Nitelikli Elektronik Sertifika, SİL ve OCSP profilleri, sertifika alanlarının teknik olarak nasıl temsil edileceğine ilişkin standartları açıklar. Hukuki kullanıcı açısından önemli olan, sertifikanın Kanun m.9’daki zorunlu bilgileri içermesi ve doğrulama sisteminin sertifikanın geçerlilik durumunu kontrol edebilmesidir.

Sertifikanın geçerlilik başlangıç ve bitiş tarihi neden önemlidir?

Nitelikli elektronik sertifika süresiz değildir. Kanun m.9, sertifikanın geçerlilik süresinin başlangıç ve bitiş tarihlerinin sertifikada gösterilmesini zorunlu tutar. Bir e-imzanın değerlendirilmesinde yalnız bugünkü sertifika durumuna değil, imzanın oluşturulduğu tarihte sertifikanın geçerli olup olmadığına bakılır.

Sertifikanın süresi dolduktan sonra yeni bir imza oluşturmak için geçerli sertifika gerekir. Bununla birlikte daha önce geçerli sertifika ile oluşturulmuş imzanın geçmişe dönük değerlendirilmesi ayrı konudur. İmza zamanının güvenilir şekilde belirlenmesi, sertifikanın o tarihte iptal edilmiş olup olmadığı ve doğrulama verilerinin saklanması önem taşır.

Seri numarası ise sertifikayı aynı hizmet sağlayıcının yayımladığı diğer sertifikalardan ayıran temel tanımlayıcılardan biridir. Sertifika iptal listelerinde ve doğrulama kayıtlarında seri numarası kullanılarak belirli sertifikanın durumu tespit edilir.

Nitelikli elektronik sertifikada kullanım ve maddi kapsam sınırı olabilir mi?

Evet. 5070 m.9 sertifikanın kullanım şartları ve maddi kapsama ilişkin sınırlamaları içerebilmesine imkân verir. Bir sertifikanın belirli işlem türleri için düzenlenmesi veya işlem değerine ilişkin sınır içermesi mümkündür. Bu durumda sertifikayı kullanan imza sahibi ve imzaya güvenen üçüncü kişi bu sınırlamaları dikkate almalıdır.

Bir sertifikanın teknik olarak geçerli görünmesi, sertifikada yer alan kullanım sınırlarının yok sayılabileceği anlamına gelmez. Özellikle yüksek bedelli ticari işlemlerde sertifikanın ayrıntıları incelenmeli, kullanım veya parasal sınır varsa işlemle uyumlu olup olmadığı kontrol edilmelidir.

İmza sahibinin temsil yetkisi de sertifika kapsamından ayrı bir hukuki konudur. Sertifikada belirli meslek veya unvan bilgisinin bulunması, kanunen sınırsız temsil yetkisi yaratmaz. Şirket adına işlemde ticaret sicili ve yetkilendirme belgeleri ayrıca değerlendirilir.

Nitelikli elektronik sertifika olmadan güvenli elektronik imza olur mu?

Hayır. 5070 m.4 güvenli elektronik imzanın nitelikli elektronik sertifikaya dayanmasını zorunlu unsur olarak sayar. Bu nedenle genel anlamda elektronik imza olarak nitelendirilebilecek bir yöntem, nitelikli sertifikaya dayanmıyorsa 5070 m.4 anlamında güvenli elektronik imza statüsüne ulaşmaz.

SMS doğrulama kodu, internet bankacılığı onayı, taranmış imza görüntüsü, tablet ekranına çizilen imza veya basit elektronik onay sistemi belirli işlemlerde taraf iradesini göstermeye yarayabilir. Ancak bunların her biri güvenli elektronik imza değildir. Güvenli e-imzaya kanunun bağladığı özel ispat ve şekil sonuçları bakımından nitelikli sertifika koşulu korunur.

Bu ayrım dava dosyalarında önemlidir. Taraf “elektronik olarak imzaladım” dediğinde kullanılan yöntemin adı değil, teknik ve hukuki niteliği incelenmelidir. Nitelikli sertifika yoksa HMK m.205/2’deki güvenli e-imzalı elektronik verinin senet hükmünde olmasına ilişkin özel düzenleme uygulanmaz; kayıt başka delil rejimleri çerçevesinde değerlendirilebilir.

Nitelikli elektronik sertifika kimden alınır?

Türkiye’de güvenli elektronik imza için gerekli nitelikli elektronik sertifika, 5070 sayılı Kanun uyarınca faaliyette bulunan elektronik sertifika hizmet sağlayıcılarından temin edilir. BTK, faaliyette bulunan elektronik sertifika hizmet sağlayıcılarını internet sitesinde yayımlar. Kamu Sertifikasyon Merkezi ise ilgili kamu düzenlemeleri çerçevesinde kamu çalışanlarına hizmet verir.

Sertifika alınırken yalnız fiyat karşılaştırması yapılması doğru değildir. Sağlayıcının BTK listesinde faaliyetine devam eden ESHS olarak görünmesi, sertifikanın geçerlilik süresi, destek ve iptal hizmetlerinin erişilebilirliği, imza oluşturma aracı ve yenileme prosedürü birlikte incelenmelidir.

Güncel sağlayıcı listesi için BTK Elektronik Sertifika Hizmet Sağlayıcıları sayfası kullanılmalıdır. Elektronik imza mevzuatının güncel metinleri ise BTK Elektronik İmza Mevzuatı sayfasında yer alır.

Bir nitelikli elektronik sertifika nasıl kontrol edilir?

Bir elektronik dosyanın doğrulaması yapılırken sertifikanın hizmet sağlayıcısı, seri numarası, geçerlilik başlangıç ve bitiş tarihi, nitelikli sertifika ibaresi, imza sahibinin kimlik bilgileri ve sertifika durumu incelenir. Sertifikanın iptal edilmiş olup olmadığı Sertifika İptal Listesi (SİL) veya Çevrimiçi Sertifika Durum Protokolü (OCSP) üzerinden kontrol edilebilir.

Doğrulama yalnız sertifikanın süresine bakmak değildir. Elektronik dosyanın imzadan sonra değiştirilip değiştirilmediği, kullanılan imza formatının doğrulanıp doğrulanmadığı ve varsa zaman damgasının geçerliliği de kontrol edilmelidir. Kurumsal elektronik belge yönetim sistemleri bu kontrolleri otomatik olarak yapabilir; uyuşmazlık hâlinde özgün dosyanın korunması gerekir.

Sadece PDF üzerinde görünen isim, tarih veya yeşil onay simgesi hukuki kontrol için yeterli değildir. Sertifikanın ayrıntıları ve kriptografik doğrulama sonucu esas alınmalıdır.

Sertifika süresi dolarsa veya iptal edilirse ne olur?

Sertifikanın süresinin dolması ile sertifikanın süresi içinde iptal edilmesi farklı durumlardır. Süre dolumu, sertifikada önceden belirtilmiş bitiş tarihinde yeni imza oluşturma yeteneğinin sona ermesidir. İptal ise sertifikanın belirli nedenle geçerlilik süresi bitmeden kullanımdan kaldırılmasıdır. İmza oluşturma aracının kaybolması, çalınması veya güvenliğinden şüphe edilmesi hâlinde sertifika sahibinin ESHS’yi derhal bilgilendirmesi gerekir.

Geçmişte oluşturulmuş bir imzanın hukuki değerlendirmesinde, sertifikanın imza anındaki durumu önemlidir. Bu nedenle zaman damgası, SİL ve OCSP doğrulama bilgileri uzun dönem doğrulama bakımından değer taşır. Kurumların yalnız belgenin bugünkü açılış sonucuna güvenmek yerine doğrulama kanıtlarını saklaması gerekir.

E-imza ile ıslak imzanın hukuki eşdeğerliği için E-İmza Islak İmza ile Aynı mı? ve e-imzayla yapılamayan işlemler için E-İmza ile Hangi İşlemler Yapılamaz? rehberleri ayrıca incelenebilir.

Türkiye geneli ve Mersin uygulaması

Nitelikli elektronik sertifikanın içeriği ve güvenli elektronik imza şartları Türkiye genelinde 5070 sayılı Kanun ve BTK düzenlemeleriyle belirlenir. Mersin’deki bir şirketin İstanbul’daki ESHS’den sertifika alması veya başka şehirdeki bir sözleşmeyi imzalaması sonucu değiştirmez.

Bakırcı & Keskin Hukuk Bürosu açısından e-imza uyuşmazlığında ilk teknik belge nitelikli elektronik sertifikadır. Sertifikanın kimliği, seri numarası, geçerlilik dönemi ve iptal durumu özgün elektronik dosyayla birlikte incelenmeden yalnız belge çıktısı üzerinden sonuç kurulmaz.

Yurt dışındaki nitelikli elektronik sertifika Türkiye’de geçerli midir?

Yabancı bir ülkede düzenlenen elektronik sertifikanın Türkiye’de güvenli elektronik imza sonucu doğurması otomatik değildir. 5070 sayılı Kanun, yabancı elektronik sertifikaların hukuki sonuçlarını ayrıca düzenler. Sertifikanın hangi ülkede ve hangi sağlayıcı tarafından düzenlendiği, sağlayıcının nitelikleri ve Türkiye’deki elektronik sertifika hizmet sağlayıcısı ile kurulan güven ilişkisi değerlendirilir. Nitelikli sertifikada sağlayıcının kurulduğu ülkenin yazılması bu nedenle yalnız teknik bir ayrıntı değildir.

Yurt dışından Türkiye’de kullanılacak bir elektronik belgenin imzalanmasında, sertifikanın Türkiye’de güvenli elektronik imza olarak tanınıp tanınmadığı işlemden önce kontrol edilmelidir. Yabancı sağlayıcının kendi ülkesinde “qualified” veya benzeri statüde olması tek başına 5070 m.4 ve m.9 sonuçlarının Türkiye’de aynen doğacağını garanti etmez. Özellikle yüksek bedelli ticari sözleşmelerde sertifika zinciri ve uygulanacak hukuk birlikte incelenmelidir.

Şirket çalışanının sertifikası şirket adına işlem yapma yetkisi verir mi?

Hayır. Nitelikli elektronik sertifika imza sahibinin kimliğini doğrular; şirket adına temsil yetkisini kendiliğinden oluşturmaz. Bir çalışanın veya yöneticinin geçerli nitelikli elektronik sertifikası bulunması, onun şirketi her tutarda ve her işlemde bağlayabileceği anlamına gelmez. Ticaret sicili kayıtları, imza yetkisi, iç yönerge, yönetim kurulu veya müdürler kurulu kararları ve varsa parasal sınırlar ayrıca kontrol edilmelidir.

Bu ayrım elektronik sözleşmelerde sık önem kazanır. Belgenin teknik doğrulaması “imza geçerli” sonucu verebilir; ancak şirket daha sonra imza sahibinin yetkisiz olduğunu ileri sürebilir. Bu nedenle karşı taraf, özellikle olağan dışı veya yüksek bedelli işlemlerde yalnız sertifika doğrulamasına değil, temsil yetkisine de bakmalıdır.

Uzun dönem doğrulama için hangi kayıtlar saklanmalıdır?

Nitelikli elektronik sertifikanın bir imza anındaki geçerliliğini yıllar sonra ispatlayabilmek için yalnız elektronik belgenin kendisini saklamak yeterli olmayabilir. İmza doğrulama raporu, sertifika zinciri, imza zamanına ilişkin güvenilir kayıtlar, varsa zaman damgası ile SİL veya OCSP durum bilgileri arşivlenmelidir. Böylece sertifikanın sonradan süresi dolsa veya iptal edilse bile imzanın oluşturulduğu tarihteki durum incelenebilir.

Kurumsal arşiv sistemlerinde elektronik dosyanın imzalı özgün biçimi korunmalı; dosya başka formata dönüştürülerek kriptografik doğrulama kabiliyeti kaybedilmemelidir. Belgeyi yalnız yazdırmak veya ekran görüntüsü olarak saklamak, sertifikanın teknik verilerini ortadan kaldırır. Hukuki uyuşmazlıkta özgün elektronik dosya ile doğrulama kayıtları birlikte sunulmalıdır.

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →