Dijital İmza ve Elektronik İmza (e-İmza) Farkı Nedir?

Günlük konuşmada “dijital imza” ve “e-İmza” sık sık birbirinin yerine kullanılır ama hukuki ve teknik açılardan ikisi aynı şey değildir. Biri bir teknoloji, diğeri ise hukuki bir kavramdır ve bu ayrımı bilmemek, bir belgenin hukuki geçerli olup olmayacağını doğrudan etkileyebilir.

Bu yazıda dijital imza, elektronik imza (e-İmza) ve mobil imza terimlerinin ne anlama geldiğini, aralarındaki ilişkiyi, hukuki geçerliliklerini ve hangi durumda hangisini kullanmanız gerektiğini 5070 sayılı Elektronik İmza Kanunu çerçevesinde açıklıyoruz.

Dijital İmza, Elektronik İmza ve e-İmza Aynı Şey mi? 

Elektronik imza, dijital ortamda bir irade beyanını ifade eden en geniş hukuki kavramdır; dijital imza ise bunun açık anahtar altyapısına (PKI) dayanan teknik bir uygulama biçimidir. Mobil imza da nitelikli elektronik imzanın SIM kart üzerinden çalışan bir kullanım şeklidir.

İlişki şöyle özetlenebilir: Her nitelikli e-İmza teknik olarak bir dijital imzadır, her dijital imza bir elektronik imzanın türüdür; ancak bunun tersi geçerli değildir. Yani her elektronik imza dijital imza teknolojisini kullanmaz.

Elektronik İmza (e-İmza) Nedir?

5070 sayılı Elektronik İmza Kanunu’na göre elektronik imza, başka bir elektronik veriye eklenen veya onunla mantıksal bağlantısı bulunan ve kimlik doğrulama amacıyla kullanılan elektronik veridir. Kısaca, bir belgeyi onayladığınızı veya o belgeyle ilişkili olduğunuzu gösteren her türlü elektronik işaret, geniş anlamda elektronik imza sayılır.

Burada dikkat edilmesi gereken şey elektronik imzanın tek bir güvenlik seviyesi olmamasıdır. Kavramın kendi içinde katmanları vardır ve her katmanın hukuki ağırlığı farklıdır. Türkiye’de günlük dilde “e-İmza” dendiğinde genellikle kastedilen, bu katmanların en üstünde yer alan nitelikli elektronik imzadır; ancak teknik ve hukuki olarak e-İmza şemsiyesi bundan çok daha geniştir.

Türkiye’de günlük dilde “e-İmza” dendiğinde genellikle kastedilen, bu katmanların en üstünde yer alan güvenli elektronik imzadır. Başvuru sürecini incelemek için e-İmza nasıl alınır? rehberimize göz atabilirsiniz.

Elektronik İmza Türleri (Basit, Gelişmiş, Güvenli)

Elektronik imza, güvenlik ve hukuki geçerlilik seviyesine göre üç katmanda incelenir:

Basit Elektronik imza

Bir e-postanın altına yazılan ad-soyad, taranmış bir imza görseli veya “Kabul ediyorum” kutucuğuna tıklama gibi, onay niyetini gösteren ama kimlik doğrulama gücü zayıf olan biçimlerdir. Delil değeri sınırlıdır ve bir ihtilaf durumunda tek başına güçlü bir kanıt oluşturmaz.

Gelişmiş Elektronik imza

İmza sahibine benzersiz şekilde bağlı olacak şekilde oluşturulur ve imzalandıktan sonra belgede yapılan değişiklikler tespit edilebilir. Basit imzaya göre daha güçlü bir kimlik doğrulama sağlar, ama ıslak imzayla aynı hukuki statüde değildir.

Güvenli Elektronik İmza

Güvenli elektronik imza; münhasıran imza sahibine bağlı olan, yalnızca imza sahibinin kontrolünde bulunan güvenli elektronik imza oluşturma aracıyla oluşturulan ve nitelikli elektronik sertifikaya (NES) dayanarak imza sahibinin kimliğinin tespit edilmesini sağlayan elektronik imzadır.

Aynı zamanda imzalanmış elektronik veride sonradan herhangi bir değişiklik yapılıp yapılmadığının belirlenmesini sağlar.

5070 sayılı Elektronik İmza Kanunu kapsamında güvenli elektronik imza, kanunda belirtilen istisnalar dışında elle atılan imzayla aynı hukuki sonucu doğurur.

e-İmza Ne İşe Yarar?

Elektronik imzanın temel işlevi, dijital ortamda gerçekleştirilen bir irade beyanını veya onayı hukuken geçerli ve doğrulanabilir şekilde belgelemektir. İmza sahibine ait nitelikli elektronik sertifika sayesinde imzalayan kişinin kimliğiyle imza arasında güvenilir bir bağ kurulur. Aynı zamanda belgenin imzalandıktan sonra değiştirilip değiştirilmediği kontrol edilebilir ve işlemin bütünlüğü korunur.

Bu sayede kağıt, kargo ve fiziksel arşivleme gibi maliyetler azalır; sözleşme, başvuru ve onay süreçleri saatler veya günler yerine dakikalar içinde tamamlanabilir.

e-İmza; resmi kurum başvurularından e-Devlet işlemlerine, ticari sözleşmelerden bankacılık ve şirket içi onay süreçlerine kadar geniş bir kullanım alanına sahiptir. Türkiye’de 5070 sayılı Elektronik İmza Kanunu’nda tanımlanan güvenli e-imza, kanunda belirtilen istisnalar dışında ıslak imza ile aynı hukuki sonucu doğurur.

Avrupa Birliği’nde ise eIDAS düzenlemesi; elektronik kimlik, kimlik doğrulama ve güven hizmetleri için ortak bir çerçeve oluşturur. eIDAS kapsamındaki elektronik imzalar, dijital işlemlerin güvenli ve sınır ötesi doğrulanabilir şekilde yürütülmesini destekler. Düzenlemede “qualified electronic signature” olarak tanımlanan imza seviyesi, AB üyesi ülkelerde el yazısıyla atılan imzayla eşdeğer hukuki etkiye sahiptir. Böylece imzalayanın kimliğiyle ilişkilendirilen, belgenin bütünlüğünü koruyan ve farklı ülkelerde doğrulanabilen güvenilir bir işlem kaydı oluşturulur.

Dijital İmza Nedir?

Dijital imza, elektronik imzanın aksine bir hukuki kavram değil, teknik bir yöntemdir. Tek başına bir hukuki statü taşımaz; bir belgenin kimden geldiğini ve imzalandıktan sonra değiştirilip değiştirilmediğini kriptografik olarak doğrulayan bir mekanizmadır.

Dijital imza, açık anahtar altyapısına (PKI) ve asimetrik şifrelemeye dayanır. Bir belge imzalandıktan sonra üzerinde yapılan en küçük değişiklik, imzanın geçersiz hale gelmesine ve doğrulama sırasında tespit edilmesine yol açar. Güvenli ve nitelikli elektronik imzanın teknik temelinde de yine bu dijital imza teknolojisi bulunur.

Dijital İmza Nasıl Çalışır? (PKI, Açık ve Özel Anahtar)

Dijital imza, biri gizli (özel anahtar) biri herkese açık (açık anahtar) olan bir anahtar çiftine dayanır. İmza sahibi, belgeyi özel anahtarıyla imzalar; bu işlem öncesinde belgenin bir özet (hash) değeri çıkarılır ve bu özet şifrelenir. Karşı taraf, imza sahibinin açık anahtarını kullanarak bu imzayı doğrular ve belgenin değiştirilip değiştirilmediğini anlar.

Açık anahtarın gerçekten o kişiye ait olduğunun garantisi, bir sertifika otoritesi (CA) tarafından verilen elektronik sertifika ile sağlanır. Türkiye’de bu rolü büyük ölçüde KamuSM ve yetkili ESHS’ler üstlenir. Dijital imzalama sürecinde yaygın olarak RSA ve ECDSA gibi kriptografik algoritmalar kullanılır.

Belgenin türüne göre de farklı imza formatları devreye girer: genel veri imzalama için CAdES, PDF belgeleri için PAdES, XML tabanlı veriler için XAdES kullanılır. Bu formatlar, imzanın hangi standarda göre doğrulanacağını belirler ve uzun süreli arşivleme (LTV) için de uyarlanabilir.

Dijital İmza ile Elektronik İmza Aynı Düzlemde mi?

Dijital imza ile elektronik imza, birbirinin alternatifi veya karşıtı değildir; farklı kategorilerde yer alan iki kavramdır. Dijital imza bir teknolojidir, elektronik imza ise bu teknolojinin (veya başka yöntemlerin) içinde yer aldığı hukuki bir şemsiyedir.

Burada sıkça yapılan bir hata, “e-İmza basit ve güvensizdir, dijital imza ise güvenli olandır” şeklinde bir eşitleme kurmaktır. Bu doğru değildir. Türkiye’de nitelikli elektronik imza zaten dijital imza teknolojisi üzerine kuruludur; yani en güvenli ve hukuken en geçerli e-İmza türü, dijital imzanın kriptografik altyapısını kullanır. Sorun “e-İmza mı dijital imza mı” sorusunda değil, e-İmzanın hangi seviyede (basit, gelişmiş veya nitelikli) olduğunda gizlidir.

Mobil İmza Nedir?

Mobil imza, nitelikli elektronik imzanın SIM kart üzerinden çalışan bir kullanım biçimidir. GSM operatörünün altyapısı üzerinden, ayrı bir kart okuyucuya veya USB token’a gerek kalmadan, doğrudan cep telefonu ile imza atmayı mümkün kılar. İmza oluşturma verisi (özel anahtar) SIM kart içindeki güvenli alanda tutulur; bu sayede ayrı bir donanım taşımaya gerek kalmaz.

Mobil imza da diğer nitelikli elektronik imzalar gibi ıslak imza ile aynı hukuki geçerliliğe sahiptir; fark, imza oluşturma aracının SIM kart olmasıdır. Kullanıcı, imzalanacak belge için gelen bir PIN isteğini onaylayarak işlemi tamamlar. Bu da onu özellikle bireysel kullanıcılar ve sık imza atması gereken saha çalışanları için pratik bir seçenek haline getirir. Konuyu daha detaylı incelemek isterseniz mobil imzanın nasıl alındığını ve kullanıldığını ayrı bir başlıkta ele alıyoruz.

Dijital İmza, Elektronik İmza ve Mobil İmza Arasındaki Farklar

Üç kavramı yan yana incelediğimizde farklar daha net görünür:

Kapsam Farkı

Elektronik imza, üç kavramın en genişidir ve dijital imza ile mobil imzayı da kapsayan bir şemsiye terimdir. Dijital imza, bu şemsiyenin altında yer alan teknik bir alt küme; mobil imza ise nitelikli elektronik imzanın belirli bir kullanım biçimidir. Yani kapsam sıralaması şu şekilde okunabilir: elektronik imza içinde dijital imza, dijital imza temelinde de mobil imza gibi belirli uygulamalar yer alır.

Hukuki Geçerlilik Farkı

Basit elektronik imza ile nitelikli elektronik imza arasındaki hukuki geçerlilik farkı oldukça büyüktür. Nitelikli elektronik sertifika, 5070 sayılı Kanun ve Hukuk Muhakemeleri Kanunu (HMK) çerçevesinde ıslak imza ile eşdeğer kabul edilir ve kesin delil niteliği taşır; bir ihtilafta aksi ispat edilmedikçe geçerliliği kabul edilir.

Dijital imza ise tek başına bir hukuki statüye sahip değildir; bir belgenin kimden geldiğini ve değiştirilip değiştirilmediğini teknik olarak güvence altına alır. Bu güvencenin hukuki bir geçerliliğe dönüşmesi, dijital imzanın nitelikli elektronik imza gibi bir hukuki çerçeve içinde kullanılmasına bağlıdır.

Güvenlik ve Teknoloji Farkı

Basit elektronik imza, görsel olarak taklit edilmeye açıktır; bir taranmış imza görseli veya yazılı ad-soyad, başka biri tarafından kolayca kopyalanabilir. Sertifika tabanlı imzalar (gelişmiş ve nitelikli elektronik sertifika) ise üç temel güvenceyi birlikte sunar: kimlik doğrulama, belge bütünlüğü ve inkar edilemezlik. Bu sayede imzanın kim tarafından, ne zaman ve hangi belgeye atıldığı kriptografik olarak doğrulanabilir.

Kullanım Biçimi Farkı

Nitelikli elektronik imza farklı araçlarla atılabilir: USB token veya akıllı kart üzerinden, mobil imza ile SIM kart üzerinden veya bulut tabanlı uzaktan imzalama çözümleriyle. Hangi yöntemin seçileceği; kullanım sıklığı, hacim ve teknik altyapıya göre değişir.

Hangi İmzayı Ne Zaman Kullanmalısınız?

Doğru imza türünü seçmek, belgenin hukuki ağırlığına ve kullanım senaryosuna bağlıdır:

Resmi kurum başvurularında, e-Devlet girişinde, KEP (Kayıtlı Elektronik Posta) ve e-tebligat süreçlerinde nitelikli elektronik imza zorunlu veya standart uygulamadır. Sözleşme imzalama, bankacılık işlemleri ve şirket içi resmi onaylarda da nitelikli elektronik imza, hukuki güvenlik açısından tercih edilmelidir. E-fatura ve e-arşiv süreçlerinde ise mali mühür ve nitelikli elektronik imza birlikte kullanılır.

Şirket içi düşük riskli onaylar (örneğin bir talep formunun onaylanması) için gelişmiş veya basit elektronik imza yeterli olabilir; ancak hukuki bağlayıcılığı yüksek belgelerde bu seviyeler risk taşır, çünkü bir ihtilaf durumunda imzanın kim tarafından atıldığını veya belgenin değiştirilip değiştirilmediğini ispatlamak güçleşebilir.

Bireysel ve düşük hacimli kullanımda mobil imza veya USB token üzerinden tek tek imzalama pratik bir çözümdür. Ancak kurumların önünde farklı bir tablo vardır: yüz, binlerce belgeyi her ay imzaya göndermek, taraflara manuel olarak link veya belge iletmek, kim imzaladı kim imzalamadı takibini elle yapmak. Bu noktada tek tek imzalama yaklaşımı operasyonel bir darboğaza dönüşür.

Yüksek hacimli veya otomatik imzalama ihtiyacı olan kurumlar için farklı bir yaklaşım gerekir: imza süreçlerini kendi yazılımına (ERP, CRM, İK sistemi, BPM gibi) API üzerinden entegre etmek. Bu yaklaşımda imza talebi, doğrulama, çoklu imzacı akışı ve durum takibi otomatik olarak yürütülür; ekiplerin manuel takip yapmasına gerek kalmaz. Bu noktada İmzago, çoklu imza profili desteği (BES, ES-T, ES-XL, ES/A+LTV), cloud SaaS veya on-premise kurulum seçenekleri ve API-first mimarisiyle, belgeleri elle imzaya göndermek yerine imza akışını doğrudan kurumsal sisteme bağlamak isteyen şirketler için bir seçenek sunar.

e-İmza süreçlerini kullanıcılarınızı farklı bir platforma yönlendirmeden, kendi uygulamanızın içine entegre edin. İmzago API ile belge hazırlama, imzacı doğrulama, imza akışı ve süreç takibini tek entegrasyon üzerinden deneyimleyin.

Kaynaklar

• 5070 Sayılı Elektronik İmza Kanunu
• 6100 Sayılı Hukuk Muhakemeleri Kanunu
• eIDAS Tüzüğü (AB) No 910/2014
• Kamu Sertifikasyon Merkezi (KamuSM)
• Şimşek, M., Özcan, T., Ergun, T. ve Çelik, V. (2019). Elektronik İmza Seviyeleri. Bilgi Yönetimi, 2(2), 136-144.

*Bu içerik genel bilgilendirme amaçlıdır; somut bir hukuki uyuşmazlıkta güncel mevzuat ve uzman görüşüne başvurulmalıdır.

e-İmza ve Dijital İmza Hakkında Sık Sorulan Sorular

Dijital imza ile elektronik imza aynı şey mi?

Hayır. Elektronik imza, onay niyetini gösteren her türlü elektronik veriyi kapsayan geniş bir hukuki kavramdır. Dijital imza ise bunun açık anahtar altyapısına dayanan teknik bir uygulamasıdır.

e-İmza ile dijital imza arasındaki fark nedir?

e-imza bir hukuki kavram, dijital imza bir teknik yöntemdir. Nitelikli e-imza gibi en güvenli e-imza türleri, dijital imza teknolojisi üzerine kuruludur; yani ikisi rakip değil, birbirini tamamlayan kavramlardır.

Dijital imza ıslak imza yerine geçer mi?

Dijital imza tek başına bir hukuki statü taşımadığı için bu soruya doğrudan cevap vermek doğru değildir. Islak imzanın yerine geçen, dijital imza teknolojisiyle oluşturulan nitelikli elektronik imzadır.

Dijital imza hukuken geçerli mi?

Dijital imza teknolojisi, nitelikli elektronik sertifika ile birleştiğinde ve nitelikli elektronik imza şartlarını karşıladığında 5070 sayılı Kanun kapsamında ıslak imza ile eşdeğer kabul edilir.

e-İmza mı dijital imza mı daha güvenli?

Bu bir karşılaştırma değil, bir ilişki sorusudur. Türkiye’deki en güvenli e-imza türü olan nitelikli elektronik imza, zaten dijital imza teknolojisini temel alır. Güvenlik farkı, e-imzanın basit, gelişmiş veya nitelikli olmasına göre değişir.

Mobil imza bir e-İmza türü müdür?

Evet. Mobil imza, nitelikli elektronik imzanın SIM kart üzerinden çalışan bir kullanım biçimidir ve ıslak imza ile aynı hukuki geçerliliğe sahiptir.

Biyometrik imza nedir, e-İmzadan farkı nedir?

Biyometrik imza, özel bir tablet veya ped üzerinde el yazısı imza sırasındaki hız, basınç ve eğim gibi verilerin kaydedilmesiyle oluşturulur. eIDAS çerçevesinde en iyi koşullarda gelişmiş elektronik imza seviyesine karşılık gelebilir, ancak nitelikli elektronik imzanın gerektirdiği akredite sertifika ve güvenli imza oluşturma aracı şartlarını karşılamadığı için ıslak imzayla eşdeğer sayılmaz.

e-İmza ücretli mi?

Nitelikli elektronik sertifika edinimi yetkili ESHS’ler üzerinden ücretlidir. Kurumsal kullanımda, imza hacmine göre değişen abonelik, kontör veya kullandıkça öde gibi farklı fiyatlandırma modelleri de uygulanabilir.

e-İmza nerelerde kullanılır?

e-Devlet işlemleri, bankacılık ve sigorta sözleşmeleri, e-fatura ve e-arşiv süreçleri, İK ve işe alım belgeleri, kamu başvuruları ve ticari sözleşmeler gibi pek çok alanda kullanılır.

Nitelikli elektronik sertifika (NES) nedir?

NES, bir kişinin kimlik bilgilerini ve açık anahtarını barındıran, yetkili bir ESHS tarafından verilen elektronik sertifikadır. Nitelikli elektronik imzanın oluşturulabilmesi için bu sertifikaya sahip olmak zorunludur.