E-İmza Aracı Kaybolursa İlk Ne Yapılmalı?

E-imza oluşturma aracınız veya erişim bilgileriniz kaybolursa, çalınırsa ya da güvenliğinden şüphe ederseniz elektronik sertifika hizmet sağlayıcınızı derhal bilgilendirmelisiniz. Nitelikli elektronik sertifika sahibinin talebi, 5070 sayılı Kanunun 11. maddesine göre derhal iptal sebebidir. Yalnız yeni cihaz sipariş etmek veya bir uygulamanın şifresini değiştirmek, kayıp araçtaki sertifikanın iptal edildiği anlamına gelmez. Hangi sertifikanın hangi anda iptal edildiği doğrulanmalıdır.

İlk bildirim kime yapılır?

Bildirim, sertifikayı düzenleyen elektronik sertifika hizmet sağlayıcısına yöneltilir. Cihazın üzerinde görünen marka ile sertifikayı düzenleyen kuruluş aynı olmayabilir. Sertifika belgesi, başvuru kaydı veya kurumsal e-imza sorumlusu bu bilgiyi belirlemeye yardımcı olabilir. İş için kullanılan araçta kurumun bilgi güvenliği ve yetkili işlem birimlerinin de haberdar edilmesi gerekebilir.

BTK açıklaması, kayıp ve çalıntının yanında güvenilirlikten şüphe edilmesini de bildirim gerektiren durumlar arasında sayar. Dolayısıyla kesin kötüye kullanım kanıtını beklemek zorunlu bir ön koşul değildir. Şifrenin başka kişiye geçtiği düşünülüyorsa cihaz hâlâ elde bulunsa bile risk bildirilmelidir. Bildirim kanalı hizmet sağlayıcının resmî iletişim bilgileri üzerinden doğrulanmalıdır.

İptal talebi nasıl belgelenir?

Hizmet sağlayıcının kabul ettiği kimlik doğrulama ve iptal usulü kullanılmalıdır. Kamu SM, kendi sertifikaları için çevrim içi işlemler üzerinden iptal imkânını açıklar; başka sağlayıcının süreci farklı olabilir. Talep numarası, gönderim zamanı, iptal onayı ve sertifika seri numarası saklanmalıdır. Telefonda görüşüldüyse yazılı işlem sonucunun da alınması takip açısından yararlıdır.

Bir kişide birden fazla sertifika bulunabilir. Kayıp araçla ilişkili sertifikanın doğru seçilmesi gerekir. İş bilgisayarındaki başka sertifikanın iptal edilmesi, kaybolan sertifikanın riskini ortadan kaldırmaz. Kurumsal erişim hesabının kapatılması ile elektronik sertifikanın iptali de farklı teknik işlemlerdir; ikisinin sonuçları ayrı doğrulanmalıdır.

İptal geçmişteki imzaları siler mi?

Kanun, hizmet sağlayıcının geçmişe yönelik nitelikli elektronik sertifika iptal edemeyeceğini düzenler. Bu nedenle bugünkü iptal, dün imzalanmış bütün belgelerin otomatik olarak yok sayılmasını sağlamaz. Önceki işlemlerde imzanın zamanı, o anda sertifikanın durumu, belgenin bütünlüğü ve gerçek imza iradesi ayrıca incelenir.

Bu ayrım, sahte veya yetkisiz bir işlemin itiraz edilemeyeceği anlamına da gelmez. Kişi kendisinin yapmadığını söylediği işlemi somut kayıtlarla tartışabilir. Elektronik imzalı belgenin geçerliliği, yalnız sertifikanın adına bakılarak değil ilgili işlem ve ispat kurallarıyla değerlendirilir. İptal tarihi, incelemedeki önemli kayıtlardan biridir.

Hangi dijital deliller korunmalı?

Kayıp fark edilme zamanı, son meşru kullanım, cihazın bulunduğu yer, şüpheli bildirimler ve hizmet sağlayıcıyla yazışmalar kaydedilebilir. Şüpheli işlem varsa imzalı dosyanın aslı, sertifika bilgileri, zaman damgası ve doğrulama raporu korunmalıdır. Sadece ekrandaki görüntü, elektronik belgenin tüm doğrulama verilerini taşımayabilir. Özgün dosyayı değiştirerek kaydetmek incelemeyi güçleştirebilir.

KEP bildirimi ve dijital deliller de ayrı teknik kayıtlar içerir. E-imza kaybı, KEP hesabındaki bütün mesajların kendiliğinden geçersizleşmesi anlamına gelmez. Hesap erişimi, gönderim kaydı ve imzanın aidiyeti ilgili işlemin koşullarında ayrıştırılmalıdır. Hangi hesabın veya belgenin etkilendiği somutlaştırılmadan genel iptal beklentisi oluşturulmamalıdır.

Kayıp araç sonradan bulunursa

Varsayımsal örnek: Bir çalışan, e-imza aracını toplu taşımada unuttuğunu fark ederek sağlayıcıya iptal talebi verir. Ertesi gün cihaz bulunsa bile sertifikanın geçerli olduğu varsayılarak işleme devam edilmez; sağlayıcıdan durum ve yeni sertifika süreci öğrenilir. Kayıp dönemde yapılan işlemler ayrıca kontrol edilir.

İzinsiz imza veya sahte işlem şüphesi varsa ilgili kuruma bildirim, ceza başvurusu ve özel hukuk yolları somut olaya göre değerlendirilir. Bu başvuruların yapılması, sertifikaya ilişkin acil bildirimi geciktirmemelidir. Hızlı bildirim ile geçmiş işlemin hukuki incelemesi farklı ihtiyaçları karşılar.

Hukuki kaynaklar

• 5070 sayılı Elektronik İmza Kanunu — TBMM kabul metni — m.11; iptal hükmü BTK güncel açıklamasıyla birlikte değerlendirildi.
• BTK elektronik imza soruları — sertifika sahibinin kayıp, çalıntı ve güvenlik şüphesini derhal bildirme yükümlülüğü.
• TÜBİTAK Kamu SM sertifika işlemleri — Kamu SM sertifikalarında çevrim içi iptal işlemi.