E-İmza İptali Nasıl Yapılır? Sertifika İptal Rehberi

E-imza iptali, nitelikli elektronik sertifikanın geçerliliğinin kalıcı olarak sona erdirilmesidir ve sertifikayı düzenleyen elektronik sertifika hizmet sağlayıcısına (ESHS) talep iletilerek gerçekleştirilir. Talep, sağlayıcının çağrı merkezine ya da online işlemler portalına iletilir; kimlik doğrulaması tamamlandıktan sonra sertifika gecikmeksizin iptal edilir. İptalden sonra akıllı kart sertifika sahibinde kalsa dahi o sertifikayla geçerli bir imza atılamaz.

E-İmza İptali Nedir?

E-imza iptali, sertifikanın geçerlilik süresi dolmadan devre dışı bırakılmasıdır. 5070 sayılı Elektronik İmza Kanunu'nun 11. maddesi, sağlayıcının hangi hallerde sertifikayı derhal iptal etmek zorunda olduğunu sayar: sertifika sahibinin talebi, sertifikaya ilişkin veri tabanındaki bilgilerin sahteliğinin ya da yanlışlığının ortaya çıkması veya bu bilgilerin değişmesi, sertifika sahibinin fiil ehliyetinin sınırlandığının, iflasının, gaipliğinin ya da ölümünün öğrenilmesi. Sağlayıcının faaliyetine son vermesi ve sertifikaların başka bir sağlayıcı tarafından kullanılabilir hale getirilememesi de aynı maddede iptal sebebi olarak yer alır.

Sürecin işleyişi, Elektronik İmza Kanunu’nun Uygulanmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'in 13. maddesinde düzenlenmiştir. Maddeye göre iptal talebi; sertifika sahibi, sağlayıcının kendisi ve sözleşmeyle belirlenen kişiler tarafından yapılabilir. Sağlayıcı, bu talebin asgari olarak telefonla ve kesintisiz biçimde iletilebilmesini sağlamakla yükümlüdür. Talep alındıktan sonra sertifika derhal iptal edilir.

İptal işlemi, teknik olarak sertifikanın iptal durum kayıtlarına işlenmesiyle tamamlanır. Aynı madde uyarınca iptal edilen sertifika, geçerlilik süresi sona erene kadar iptal durum kayıtlarında yer alır ve bu kayıtlar kimlik doğrulaması istenmeksizin, ücretsiz ve kesintisiz olarak kamu erişimine açık tutulur. Yönetmelik'in 16. maddesi ise imzayı doğrulayan üçüncü kişilere sertifikanın iptal ve geçerlilik durumunu kontrol etme yükümlülüğü getirir. Bu nedenle iptal sonrasında oluşturulan bir imza, doğrulama aşamasında geçersiz olarak görülür.

Askıya alınan sertifika tekrar kullanıma açılabilirken iptal edilen sertifikada böyle bir imkân bulunmaz; yeniden imza atabilmek için yeni bir sertifika başvurusu yapılması gerekir.

E-İmza Hangi Durumlarda İptal Edilmelidir?

Bazı durumlarda iptal bir tercih değil, mevzuattan doğan yükümlülüktür. Yönetmelik'in 15. maddesi; imza oluşturma aracının veya erişim verisinin kaybolması, çalınması ya da güvenilirliğinden şüphe edilmesi halinde sertifika sahibine sağlayıcıyı derhal bilgilendirme yükümlülüğü getirir. Aynı madde, imza oluşturma verisinin başkalarına kullandırılmaması ve sağlayıcıya verilen bilgilerde değişiklik meydana geldiğinde gecikmeksizin bildirim yapılması gereğini de düzenler. Bildirimde yaşanan her gecikme, sertifika sahibi adına imza atılması riskini artırır.İptal talebi oluşturulması gereken tipik durumlar şunlardır:

• Akıllı, token'ın veya kart okuyucusunun kaybolması ya da çalınması en yaygın iptal nedenidir.

• PIN’in kaybolması, paylaşılması veya üçüncü kişilerin eline geçmesi de iptal gerektirir.Kartın, sertifika sahibinin bilgisi dışında kullanıldığına yönelik bir şüphe bulunması yeterlidir; şüphenin kesinleşmesi beklenmez.

• Kurumsal sertifikada yer alan unvan, kurum veya kimlik bilgilerinin değişmesi, Kanun'un 11. maddesinde doğrudan iptal sebebi olarak sayılmıştır.

• Sertifika sahibinin işten ayrılması halinde kurum adına düzenlenmiş sertifikanın kullanımda kalması gereksiz bir risk oluşturur.

• Kartın fiziksel olarak zarar görmesi ve çipin okunmaması durumunda sağlayıcı, yeniden üretim için iptal talebi ister.

• Sertifika sahibinin ölümü, gaipliği, iflası ya da fiil ehliyetinin sınırlanması gibi hallerde bildirimin ilgili kişiler tarafından yapılması gerekir.

Sayılan durumlarda iptal işlemi geciktirilmemelidir. İşlem ücretsizdir; olası kötüye kullanımın maliyeti ise öngörülemez.

E-İmza İptali Nasıl Yapılır?

İptal işlemi, sertifikayı düzenleyen sağlayıcı üzerinden yürütülür. Kanal seçimi, mevcut erişim bilgilerine ve durumun aciliyetine göre değişir. Yönetmelik, iptal talebinin en az telefonla ve kesintisiz olarak alınmasını zorunlu tutar. Bu nedenle çağrı merkezi tüm sağlayıcılarda kullanılabilen bir başvuru kanalıdır; portal giriş bilgileri mevcutsa online işlemler üzerinden de hızlıca iptal talebi oluşturulabilir.

İptal için kullanılabilecek kanallar şunlardır:

• Sağlayıcının bireysel işlemler portalına kimlik bilgileri ve güvenlik sözcüğüyle giriş yapılır, kayıtlı telefona gelen SMS kodu onaylandıktan sonra iptal tamamlanır.

• Çağrı merkezi üzerinden, operatör desteği olmaksızın sesli yanıt sistemiyle iptal gerçekleştirilebilir. Örneğin bir sağlayıcının iptal yönergesinde, sistemde kayıtlı cep telefonundan yapılan aramalarda doğrulama tek adımda geçilir; farklı bir hattan yapılan aramalarda SMS onay kodu ya da nüfus bilgileri ve ses kaydıyla doğrulama istenir.

• Bazı sağlayıcıların online işlemler ekranına e-Devlet kimliğiyle giriş yapılarak talep oluşturulabilir.

• Kurumsal sertifikalarda iptal, kurumun tanımlı sertifika sorumlusu tarafından da yapılabilir. Personelin işten ayrıldığı durumlarda süreç genellikle bu şekilde yürütülür.

• Yazılı başvuru yolu da açıktır; ancak kayıp ve çalıntı gibi acil hallerde en yavaş seçenek budur.

Hangi kanal kullanılırsa kullanılsın, işlem sonunda alınan teyit saklanmalıdır. Ayrıca sertifikanın iptal durumu ilgili kayıtlar üzerinden kontrol edilmelidir.

E-İmza İptali ile Askıya Alma Arasındaki Farklar Nelerdir?

Her iki işlem de sertifikayı kullanım dışı bırakır; temel fark, işlemin geri alınıp alınamamasıdır. Askıya alma geçici bir önlemdir: sertifika askıda olduğu sürece geçerli imza atılamaz, ancak sağlayıcının portalından askıdan çıkarıldığında aynı sertifika yeniden çalışır hale gelir. İptal edilen sertifika ise yeniden kullanıma açılamaz.Mevzuat iptali ayrıntılı biçimde düzenlerken askıya alma, sağlayıcıların kendi işleyişinde sundukları bir imkân olarak karşımıza çıkar; örneğin bir sağlayıcıda bireysel işlemler ekranında askıya alma ve askıdan çıkarma adımları ayrı ayrı yer alır.

İki yöntem farklı senaryolara karşılık gelir. Kartın nerede olduğu kesin olarak bilinmiyorsaörneğin evde veya ofiste bırakıldığı düşünülüyorsa, askıya alma arama süresince koruma sağlar. Kartın çalındığı ya da PIN kodunun üçüncü kişiler tarafından bilindiği kesinse doğru adım doğrudan iptaldir.

Dikkat edilmesi gereken bir husus daha vardır: askıya alma her sağlayıcıda sunulmaz, sunulduğu yerlerde de askı süresi sınırsız değildir. Belirlenen süre içinde sertifika askıdan çıkarılmazsa işlem iptale dönüşebilir. Sağlayıcının kurallarının önceden bilinmesi, acil durumlarda zaman kaybını önler.

E-İmza İptal Edildikten Sonra Yapılması Gerekenler

İptal, sürecin yalnızca ilk adımıdır. Sertifika devre dışı bırakıldıktan sonra kullanım alanlarındaki yetkilerin ve imza akışlarının gözden geçirilmesi gerekir.

İptal sonrasında tamamlanması gereken adımlar şunlardır:

• İşlem teyidi, tarih ve saat bilgisiyle birlikte kayda alınır. Kanun sağlayıcıdan iptal zamanının tam olarak tespit edilmesine imkân veren bir kayıt tutmasını ister; aynı bilginin sertifika sahibi tarafında da bulunması ihtilaflı durumlarda kolaylık sağlar.

• Sertifikanın iptal edilmiş göründüğü, sağlayıcının sorgulama ekranı ya da sertifika iptal listesi üzerinden teyit edilir.

• Sertifikanın kullanıldığı kurum içi sistemlerde ve kamu portallarında tanımlı yetkiler güncellenir.İmza yetkilerinin güncellenmemesi, devam eden süreçlerin aksamasına neden olabilir.

• Kart ve okuyucu imha edilmez. Yenileme koşulları sağlayıcıya göre değiştiği için donanımın tekrar kullanılabilirliği sağlayıcıya sorulur.

• Yeni sertifika başvurusu geciktirilmez; teslim ve aktivasyon süreci birkaç iş günü sürebilir.

• Kayıp veya çalıntı durumunda olay yazılı olarak kayda geçirilir, gerekli hâllerde kolluğa bildirilir. İmza oluşturma verisinin izinsiz kullanımı, Kanun'un 16. maddesinde suç olarak tanımlanmıştır.

Bu adımlar tamamlandığında eski sertifikaya ilişkin gerekli işlemler tamamlanmış olur ve yeni sertifikaya geçiş daha sorunsuz ilerler.

E-İmza İptali Hakkında Sıkça Sorulan Sorular

İptal sürecinde en çok merak edilen konular ücret, zamanlama ve iptal öncesinde oluşturulmuş imzaların durumudur. Aşağıda bu soruların kısa yanıtları yer alır.

E-imza iptal işlemi ücretli midir?

Hayır, iptal işleminin kendisi ücretsizdir. Sağlayıcılar iptal talebini ücret almaksızın işleme alır; Yönetmelik'in 13. maddesi iptal durum kayıtlarının da ücretsiz erişime açık tutulmasını zorunlu kılar. Ücret, iptal sonrasında yeni sertifika alınması gerektiğinde doğar. Burada bilinmesi gereken bir istisna vardır: aynı maddenin son fıkrası, sertifika sahibinin kusurunun bulunmadığı durumlarda, örneğin sağlayıcının imza oluşturma verisinin güvenilirliğini yitirmesi veya sertifika ilkelerinin değişmesi halinde yapılan yenileme için hiçbir ücret talep edilemeyeceğini düzenler. Kaybın sertifika sahibinden kaynaklandığı hallerde bu istisna uygulanmaz; bu durumda sağlayıcının garanti veya sigorta kapsamının sorulması gerekir.

Kaybolan e-imza zamanında iptal edilmezse ne olur?

Risk doğrudan sertifika sahibinde kalır. PIN kodu bilinmedikçe kartla imza atılamaz; ancak kodun not edilmiş, paylaşılmış ya da tahmin edilebilir biçimde seçilmiş olması bu korumayı zayıflatır. Yönetmelik'in 15. maddesi, kayıp ve çalıntı halinde sağlayıcının derhal bilgilendirilmesini sertifika sahibinin yükümlülüğü olarak tanımlar. Kanun sağlayıcının geçmişe yönelik iptal yapmasına izin vermediğinden, gecikme süresi içinde oluşturulan imzaların sonradan geçersiz sayılması kolay değildir.

e-Devlet üzerinden e-imza iptali yapılabilir mi?

Doğrudan değil, dolaylı olarak evet. e-Devlet Kapısı'nda tek başına çalışan bir "e-imza iptal" hizmeti bulunmaz; iptal her zaman sertifikayı düzenleyen sağlayıcı üzerinden gerçekleşir. Buna karşılık sağlayıcıların online işlemler ekranlarına e-Devlet kimliğiyle giriş yapılarak talep oluşturulabilir. Bir sağlayıcı da kurumsal sertifikalarda iptal işlemlerinin, sertifika sorumluları tarafından online işlemler üzerinden e-Devlet ya da e-imza ile giriş yapılarak yürütülebileceğini belirtir. Kullanılabilir durumda bir e-imza bulunmadığında en hızlı kanal çağrı merkezidir.

Güvenlik sözcüğünü unutan biri e-imzasını nasıl iptal ettirebilir?

Güvenlik sözcüğünün hatırlanmaması iptale engel değildir. Sağlayıcı portallarında sözcüğün sıfırlanmasına yarayan bir bağlantı bulunur; kayıtlı iletişim bilgileri üzerinden doğrulama yapıldıktan sonra yeni bir sözcük belirlenir. Daha hızlı yol çağrı merkezidir. Sesli yanıt sisteminde kimlik doğrulaması kayıtlı cep telefonu, SMS onay kodu ya da nüfus bilgileriyle alınan ses kaydı üzerinden yapıldığı için güvenlik sözcüğüne ihtiyaç duyulmayabilir.

E-imza iptal edildikten sonra önceden imzalanan evraklar geçersiz kalır mı?

Hayır, geçersiz kalmaz. Kanun'un 11. maddesi ile Yönetmelik'in 13. maddesi, sağlayıcının sertifikayı geçmişe yönelik olarak iptal edemeyeceğini açıkça düzenler; iptal yalnızca işlendiği andan sonrası için hüküm doğurur. Tek koşul, imzanın iptalden önce oluşturulduğunun kanıtlanabilmesidir. Bu kanıtı zaman damgası sağlar: Kanun zaman damgasını, elektronik verinin üretildiği veya kaydedildiği zamanın tespiti amacıyla oluşturulan kayıt olarak tanımlar ve Yönetmelik sağlayıcıları bu hizmeti sunmakla yükümlü kılar. Zaman damgası kullanılmadığında imza tarihi ihtilaf konusu olabileceğinden, sözleşme ve resmi evrak gibi uzun ömürlü belgelerde zaman damgalı imza tercih edilmelidir.

E-imza iptali, dakikalar içinde tamamlanan, ücretsiz ve tek yönlü bir işlemdir. Kayıp, çalıntı ya da kötüye kullanım şüphesinde talebin gecikmeden oluşturulması, sonradan doğabilecek hukuki tartışmaların büyük bölümünü baştan önler. İptal sonrasında ilgili yetkilerin güncellenmesi ve yeni sertifikaya zamanında geçilmesi de sürecin ayrılmaz parçasıdır.

Bu içerikteki hukuki bilgiler 5070 sayılı Elektronik İmza Kanunu ile Elektronik İmza Kanunu’nun Uygulanmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik hükümlerine dayanmaktadır. Üçüncü kişilerin doğrulama yükümlülüğü ve zaman damgasının işlevi için BTK'nın e-imza sıkça sorulan sorular sayfası, iptal kanalları ile askıya alma ve güvenlik sözcüğü adımları için Kamu Sertifikasyon Merkezi'nin nitelikli elektronik sertifika yönergeleri esas alınmıştır. Ücret, garanti ve askı süresi gibi başlıklar sağlayıcıya göre değiştiği için sertifika hizmeti alınan kurumun sertifika uygulama esaslarının da incelenmesi önerilir.