istanbul TicARET ODASı YAYıN NO:

Transkript

1 YAYıN NO: istanbul TicARET ODASı

2 İSTANBUL TİCARET ODASI DİJİTAL İMZA REHBERİ HAZİRLAYAN: IVlüge Buiut Uzman Yardımcısı AB ve Uluslararası İşbirliği Şubesi YAYIN NO: İstanbul 2005

3 Bu eserin tüm telif hakları İstanbul Ticaret Odası'na (İTO) aittir. Eser üzerinde 5846 sayılı FSEK tarafından sağlanan tüm haklar saklıdır. İTO'nun ve yazarın adı belirtilmek koşuluyla eserden normal ölçüde alıntı yapılabilir. İTO ve yazarın izni olmadan eserin tamamı veya bir bölümü fotokopi, faksimile veya başka bir araçla çoğaltılamaz, dağıtılamaz, elektronik ortamlarda ticari ya da başka bir amaçla kullanılamaz. İstanbul Ticaret Odası: DİJ Dijital İmza Rehberi. Haz. Müge Bulut. İstanbul, 2005, 62 sayfa. 1.E-TİCARET I.ELEKTRONÎK İMZA II.DİJİTAL İMZA III.ÎTO ISBN NO: Türkçe Reşadiye Cad.Eminönü/İstanbul İTO BİLGİ HATTI (212) İTO yayınları için ayrıntılı bilgi Bilgi ve Doküman Yönetimi Şubesi'nden alınabilir. Tel: (212) Faks: (212) E. Posta: Web: YAYINA HAZIRLIK, BASKI, CİLT furomat ENTEGRE MATBAACILIK ANONİM ŞİRKETİ Sanayi Caddesi No : Çobançeşme-Yenlbosna / İSTANBUL Tel: (212) (pbx) Faks: (212)

4 ÖNSÖZ Bilindiği üzere günümüzde bilgi teknolojileri büyük bir hızla gelişmektedir. Özellikle iletişim alanında kaydedilen gelişmeler, bilgi, belge ve veri transferine ek olarak sözleşme gibi birçok önemli işlemin elektronik ortamda yürütülmesi zorunluluğunu doğurmuştur. İletişim teknolojilerindeki bu gelişmelere bağlı olarak, dünyaca uygulanan ticari yöntemlerde de köklü değişimler meydana gelmiş, 20. yüzyılın son döneminde elektronik ticaret hacmi büyük ölçüde artmıştır. Herkesin erişimine açık olan riskli internet ortamının cazip hale gelmesi ise ciddi bir güvenlik sorununu ortaya çıkarmış, elektronik ortama aktarılan kamusal ve ticari alandaki uygulamaların güvenilir ve etkin hale getirilmesi büyük bir ihtiyaç haline gelmiştir. İşte bu noktada karşımıza çıkan "elektronik imza", iletişim ve veri güvenliğini sağlamak amacıyla geliştirilmiş bir teknolojidir. Bilindiği üzere, bir belge altına elle atılan (ıslak imza) klasik imza, hem imzayı atan kişinin kimliğini doğrulamakta hem de bu kişinin sözkonusu belge tarafından kendisine yüklenen sorumlulukları ve hukuki bağlayıcılığını kabul ettiğini teyit etmektedir. Kişinin imzası ile hukuken geçerlilik ve bağlayıcılık kazanan işlemlerin, elektronik ortamda aynı özelliklere sahip olabilmesi için elektronik olarak imzalanması gerekmektedir. Bu ise, e-devletin ve yaklaşık 6 trilyon dolar değerindeki dünya elektronik ticaretinin altyapısını oluşturan, "elektronik imza" ile mümkün olup, elektronik ortamda gerçekleştirilen iş ve işlemlere hukuki zemin sağlaması ve güvenlik sorununa bir çözüm getirmesi açısından büyük öneme sahiptir. Elinizde bulunan "Dijital İmza" adlı rehber kitapta, genel hatlarıyla elektronik imza ve elektronik imzanın bir çeşidi olan "Dijital İmza" incelenmiştir. Araştırmayı gerçekleştiren Avrupa Birliği ve Uluslararası İşbirliği Şubesi Uzman Yardımcısı Müge Bulut'a teşekkür eder, araştırmanın tüm üyelerimize ve konuyla ilgili herkese faydalı olmasını dilerim. Dr. Cengiz Ersun Genel Sekreter

5

6 içindekiler I. BÖLÜM DİJİTAL İMZA Ll. Dijital İmza Nedir? Elektronik İmza Dijital (Sayısal) İnıza Dijital İmzanm Dayandığı Teknik Temeller Dijital İmza Nasıl Oluşturulur? Şifreleme Tek Anahtarlı Simetrik Şifreleme Asimetrik (Açık Anahtarlı) Şifreleme Açık Anahtar Altyapısı (AAA) LO Açık Anahtar Altyapısı'nın Temel Bileşenleri 10 la. Kimler Dijital İmza Kullanmalıdır? Dijital İmza Nerelerde Kullanılır? Dijital İmzanın Ekonomiye Olası Etkileri Dijital İmza Konusundaki Yasal Düzenlemeler Amerika Birleşik Devletleri Avrupa Birliği 17 II. BÖLÜM TÜRKİYE'DE DİJİTAL İMZA 2.1. Dijital İmza Konusundaki Yasal Düzenlemeler Türkiye'de Elektronik Sertifika Hizmet Sağlayıcısı (ESHS) Yapılanması Hukuki Altyapıs! Türkiye' deki ESHS'ler Kamu Sektöründe ESHS Yapılanmas!. 2l 2.2A. Özel Sektörde ESHS Yapılanması Türkiye' de Dijital İmzanın Kullanım Alanları 23 2A. Türkiye'de ESHS Ohnak İçin Ne Yapılmalıdır? 23 III. EKLER EK 1 Dijital İmza Rehberi 24 EK 2 Kaynaklar 26 EK3 Faydalı Adresler 27

7 2.2. TÜRKİYE'DE ELEKTRONİK SERTİFİKA HİzMET SAGLAYlCISI (ESHS) YAPıLANMASı 2.2. ı. HUKUKİ ALTYAPıSı 5070 Sayılı Elektronik İmza Kanunu'nun İkinci Bölümü, 8. Maddesi'ne göre, Elektronik Sertifıka Hizmet Sağlayıcısı; "elektronik sertiftka, zaman damgası ve elektronik imzalarla ilgili hizmetleri sağlayan kamu kurum ve kuruluşları ile gerçek veya özel hukuk tüzel kişilerdir. Elektronik sertiftka hizmet sağlayıcısı, Kuruma yapacağı bildirimden iki ay sonra faaliyete geçer". Sözkonusu Kanun'un 10. Maddesi'nde, Elektronik sertifika hizmet sağlayıcısının yükümlülükleri aşağıdaki gibi sıralanmıştır; a) Hizmetin gerektirdiği nitelikte personel istihdam etmek, b) Nitelikli sertifıka verdiği kişilerin kimliğini resmi belgelere göre güvenilir bir biçimde tespit etmek, c) Sertifıka sahibinin diğer bir kişi adına hareket edebilme yetkisi, mesleki veya diğer kişisel bilgilerinin sertifıkada bulunması durumunda, bu bilgileri de resmi belgelere dayandırarak güvenilir bir biçimde belirlemek, d) İmza oluşturma verisinin sertifıka hizmet sağlayıcısı tarafından veya sertifıka talep eden kişi tarafından sertifıka hizmet sağlayıcısına ait yerlerde üretilmesi durumunda bu işlemin gizliliğini sağlamak veya sertifıka hizmet sağlayıcısının sağladığı araçlarla üretilmesi durumunda, bu işleyişin güvenliğini sağlamak, e) Sertifıkanın kullanımına ilişkin özelliklerin ve uyuşmazlıkların çözüm yolları ile ilgili şartların ve kanunlarda öngörülen sınırlamalar saklı kalmak üzere güvenli elektronik imzanın elle atılan imza ile eşdeğer olduğu hakkında sertifika talep eden kişiyi sertifikanın tesliminden önce yazılı olarak bilgilendirmek, f) Sertifıkada bulunan imza doğrulama verisine karşılık gelen imza oluşturma verisini başkasına kullandırmaması konusunda, sertifıka sahibini yazılı olarak uyarmak ve bilgilendirmek, 19

8 ŞEKİL 5 Türkiye'deki ESHS Yapılanması , Diğer Sertinka Hizmet Kaynak: Kamu Bilişim Platformu VII KAMU SEKTÖRÜNDE ESHS YAPıLANMASı 6 Eylül 2004 tarihinde yayınlanan ve 2004/21 No'lu Kamu Sertifıkasyon Merkezi (KSM) Oluşturulması konulu Başbakanlık Genelgesi'ne göre; (EK 4) "Tüm kamu kurum ve kuruluşlarının aynı kurumsal sertifikasyon yapısı altında toplanmasını hedefleyen, sadece kamu kurum ve kuruluşlarına kurumsal sertifikazarın oluşturulması ve sertifika yaşam çevriminin yönetilmesini sağlayacak Kamu Sertifikasyon Yapısının kurulması ve işletilmesi görev ve sorumluluğu Türkiye Bilimsel ve Teknik Araştırma Kurumu 'na (TÜBİTAK) bağlı Ulusal Elektronik ve Kriptoloji Araştırma Enstitüsü Müdürlüğü 'ne (UEKAE) verilmiştir. Söz konusu yapının gözden geçirilmesi ve uygunluğunun izlenmesi görev ve sorumluluğu ise Telekomünikasyon Kurumuna verilmiştir". (2) TUBİTAK - Ulusal Elektronik ve Kriptoloji Araştırma Enstitüsü (UEKAE) Kamu Sertifikasyon Merkezi'nin misyonu; "bilgi güvenliği, haberleşme ve ileri elektronik 21 2 Telekomünikasyon Kurumu, 27 Ocak 2000 tarih ve 4502 Sayılı Yasa ile kurulmuş, 15 Ağustos 2000 tarihinde faaliyetlerine başlamıştır.

9 alanlarında Türkiye 'nin teknolojik bağımsızlığını sağlamak ve sürdürmek için nitelikli insan gücü ve uluslararası düzeyde kabul görmüş altyapısı ile, bilimsel ve teknolojik çözümler üretmek ve uygulamaktır ". ŞEKİL 6 Kamuda Sertifikasyon Yapılanması Kaynak: Kamu Bilişim Platformu VII ÖZEL SEKTÖRDE ESHS YAPıLANMASı Türkiye' de ticari olarak ESHS hizmeti verecek olan kurumlar şunlardır: E-güven Elektronik Bilgi Güvenliği A.Ş. TürkTrust Bilgi iletişim ve Bilişim Güvenliği Hizmetleri A.Ş. ŞEKİL 7 TÜRKİYE'DE TİcARİ ESHS YAPıLANMASı f~~~.". '. ~--"i; / Kaynak: Kamu Bilişim Platformu VII 22

10 2.3. TÜRKİYE'DE DiJiTAL imzanin KULLANIM ALANLARI Türkiye'deki muhtemel elektronik imza uygulama alanları, Telekomünikasyon Kurumu'nca şu şekilde sıralanmıştır; Kamusal Alandaki Uygulamalar Her türlü başvurular (ÖSS, KPSS, LES, pasaport vb.) Kurumlar arası iletişim (Emniyet Müdürlükleri, Nüfus ve Vatandaşlık İşleri Müdürlükleri vb) Sosyal güvenlik uygulamaları Sağlık uygulamaları (Sağlık personeli - hastaneler - eczaneler) Vergi ödemeleri Elektronik oy verme işlemleri Ticari Alandaki Uygulamalar İnternet bankacılığı Sigortacılık işlemleri Kağıtsız ofisler e-sözleşmeler e-sipariş 2.4. TÜRKİYE'DE ESHS OLMAK için NE YAPıLMALıDıR? Bir kurum, ESHS olabilmek için Telekomünikasyon Kurumu'na bir bildirimde bulunmalıdır. Bu bildirimde sunulması gerekli bilgi ve belgeler yönetmelikte belirlenmiş olup, sözkonusu kurum; ı. Güvenli ürün ve sistemleri kullanmak, 2. Hizmeti güvenilir bir biçimde yürütmek, 3. Sertifikaların taklit ve tahrif edilmesini önleınek ile ilgili tüm tedbirleri almakla ilgili şartların tamamını sağladığını ispat etmelidir. Telekomünikasyon Kurumu, bu bildirimi inceler. Bildirimin şartlarını eksiksiz yerine getiren ESHS, bildirimin yapıldığı tarihten 2 ay sonra faaliyete geçebilmektedir. 23

11 III. EKLER EK 1: DİJİTAL İMZA REHBERİ Açık Anahtar Altyapısl(AAA) : "VeriJbilgi iletişiminde açık anahtarlı kriptografinin yaygın ve güvenli olarak kullanılabilmesini sağlayan ve birbirleriyle eşgüdüm içinde çalışan anahtar üretimi, anahtar yönetimi, onay kurumu, sayısal noterlik, zaman damgası gibi hizmetlerin tümünü kapsamaktadır". Anahtar: Şifreleme algoritmasının kullanıldığı uzun sayı dizisi anlamına gelen rakamsal bir değerdir. AçıkAnahtar (Publle Key): Açık anahtarlı şifrelernede herkes tarafından erişilebilen anahtardır. Sadece eşi olan özel anahtara sahip kişi tarafından açılması istenen verileri şifrelemek için ya da özel anahtar sahibi tarafından şifrelenmiş verileri çözmek için kullanılır. Özel Anahtar (Private Key): Açık anahtarlı şifrelemede, sadece sahibi tarafından bilinmesi gereken anahtardır. Karşılık gelen açık anahtarla şifrelenmiş verileri çözmek veya veri imzalamak için kullanılır. Elektronik İmza: Başka bir elektronik veriye eklenen veya elektronik veriyle mantıksal bağlantısı bulunan ve kimlik doğrulama amacıyla kullanılan elektronik veridir. (5070 Sayılı Elektronik İmza Kanunu) Elektronik Sertifika Hizmet Sağlayıcısı: Elektronik sertifika, zaman damgası ve elektronik imzalarla ilgili hizmetleri sağlayan kamu kurum ve kuruluşları ile gerçek veya özel hukuk tüzel kişilerdir. (5070 Sayılı Elektronik İmza Kanunu) Elektronik Veri: Elektronik, optik veya benzeri yollarla üretilen, taşınan veya saklanan kayıtlardır. (5070 Sayılı Elektronik İmza Kanunu) İmza Sahibi: Elektronik imza oluşturmak amacıyla bir imza oluşturma aracını kullanan gerçek kişidir. (5070 Sayılı Elektronik İmza Kanunu) 24

12 İmza Oluşturma Verisi: İmza sahibine ait olan, imza sahibi tarafından elektronik imza oluşturma amacıyla kullanılan ve bir eşi daha olmayan şifreler, kriptografık gizli anahtarlar gibi verileridir. (5070 Sayılı Elektronik İmza Kanunu) İmza Oluşturma Aracı: Elektronik imza oluşturmak üzere, imza oluşturma verisini kullanan yazılım veya donanım aracıdır. (5070 Sayılı Elektronik İmza Kanunu) İmza Doğrulama Verisi: Elektronik imzayı doğrulamak için kullanılan şifreler, kriptografik açık anahtarlar gibi verilerdir. (5070 Sayılı Elektronik İmza Kanunu) İmza Doğrulama Aracı: Elektronik imzayı doğrulamak amacıyla imza doğrulama verisini kullanan yazılım veya donanım aracıdır. (5070 Sayılı Elektronik İmza Kanunu) Zaman Damgası: Bir elektronik verinin, üretildiği, değiştirildiği, gönderildiği, alındığı ve / veya kaydedildiği zamanın tespit edilmesi amacıyla, elektronik sertifika hizmet sağlayıcısı tarafından elektronik imzayla doğrulanan kaydıdır. (5070 Sayılı Elektronik İmza Kanunu) 25

13 EK 2: KAYNAKLAR "Dijital İmza ve Yasal Düzenlemeler" Bilişim Şurası Hukuk Çalışma Grubu Taslak Raporu Bilişim Şurası E-toplum Çalışma Grubu e-birey Alt Çalışma Grubu Raporu TBD Kamu-BİB, Kamu Bilişim Platformu VII, Mayıs 2005, "e-imza; Nitelikli Sertifikasyon Altyapısı ve Yetkilendirme", ı. Çalışma Grubu TBD Kamu-BİB Kamu Bilişim Platformu VII, Mayıs 2005, "e-imza'mn Toplumsal Boyutu", 2. Çalışma Grubu Keser L., Elektronik İmza Ulusal Koordinasyon Kurulu Hukuk Çalışma Grubu İlerleme Ve Sonuç Raporu, Temmuz 2004 Eruğrul Z., "Kamuda E-İmza Uygulamalarinin İsrafi Önlemeye Ve Verimliliğe Etkileri" Dr. Tolga Tüfekçi, "Elektronik İmza Niçin Yaygınlaşamıyor" - Tübitak Yüksek Planlama Kurulu Tebliği 24/3/2005 Web-Sayfalan

14 EK 3: FAYDALı ADRESLER DÜNYA Birleşmiş Milletler Uluslararası Ticaret Hukuku Komisyonu (UNCITRAL) (United Nations Commission on International Trade Law) Adres : P.O. Box 500, A-1400 Vienna, AVUSTURYA Telefone : (0043) (1) Faks : (0043) (1) E-Posta : uncitral@uncitral.org Web Sitesi : TÜRKİYE Mevzuat ve Standartlar Bilgi Teknolojileri ve Koordinasyon Dairesi Başkanlığı Telekomünikasyon Kurumu Adres : Yeşilırmak Sok. No: 16 Demirtepe / ANKARA Telefon : (312) Faks : (312) E-Posta : info@tk.gov.tr Web Sitesi : Elektronik Sertifika Hizmet Sağlayıcıları Elektronik Bilgi Güvenliği A.Ş. Adres : Vali Konağı Cad. No: 147 D: Nişantaşı / istanbul Telefon : (212) Faks : (212) E-Posta : info@e-guven.com Web Sitesi : Türkiye Bilimsel ve Teknolojik Araştırına Kurumu - TÜBİTAK Ulusal Elektronik ve Kriptoloji Araştırma Enstitüsü - UEKAE Kamu Sertifikasyon Merkezi Telefon : (262) Faks : (262)

15 E-Posta Web Sitesi : bilgi@kamusm.gov.tr : TÜRKTRUST - Bilgi iletişim ve Bilişim Güvenliği HizmetleriA.Ş. Adres : Hollanda Caddesi 62.Sokak No: Yıldız, Çankaya / ANKARA Çağrı Merkezi: 444 O 263 Telefon : (312) 439 LO 00 Faks : (312) OL E-Posta : bilgi@turktrust.com.tr (genel bilgi) sertifıka@turktrust.com.tr (sertifika hizmetleri) Web Sitesi : Kamu Kuruluşları ve Üniversiteler Türkiye Bilimsel ve Teknolojik Araştırma Kurumu - TÜBİTAK Adres : Tunus Cd. No: K.dere / ANKARA Telefon : (312) E-Post : bhi@tubitak.gov.tr Web Sitesi : T.C. Başbakanlık Dış Ticaret Müsteşarlığı, Ekonomik Araştırmalar ve Değerlendirmeler Genel Müdürlüğü e-ticaret Genel Koordinatörlüğü Adres : 17. Kat, İnönü Bulvarı, 16510, Emek/ANKARA Telefon : (312) Faks : (312) E-Post : e-bilgi@dtm.gov.tr Web Sitesi : TÜBİTAK - BİLTEN Bilgi Teknolojileri ve Elektronik Araştırma Enstitüsü Adres : ODTÜ Yerleşkesi ANKARA Telefon : (312) Faks : (312) E-Post : info@bilten.metu.edu.tr Web Sitesi : 28

16 T.C. Başbakanlık Devlet Planlama Teşkilatı Müsteşarlığı Bilgi Toplumu Dairesi Adres : Necatibey Cad. No:ıo8, 14.Kat, Bakanlıklar/ANKARA Telefon : (312) Faks : (312) E-Post : btd@dpt.gov.tr Web Sitesi : Sivil Toplum Kuruluşları Türkiye Bilişim Derneği (TBD) Adres : Çetin Emeç Bulvarı 4. Cad No: 3/ A.Öveçler ANKARA Telefon : (312) (pbx) Faks : (312) E-Posta : tbd-merkez@tbd.org.tr Web Sitesi : Türkiye Bilişim Vakfı (TBV) Adres : Valikonağı Cad. No: Nişantaşı / İSTANBUL Telefon : (212) , (212) Faks : (212) E-Posta : info@tbv.org.tr Web Sitesi : Bilişim Sektörü Derneği (TÜBİDER) Adres : Sivritaş Sok. KanatApt., No:8 K:4 D:ll, Mecidiyeköy / İSTANBUL Telefon : (212) (212) Faks : (212) E-Posta : tubider@tubider.org.tr Web Sitesi : İnternet Teknolojileri Derneği (İNETD) Adres Pazarbasi Mah. Duduoğlu Sok. Gül Apt., No:18 Kat 3 D. Üsküdar / İSTANBUL Telefon : (532) (312) Faks : (312) E-Posta : bilgi@inetd.org.tr Web Sitesi : php 29

17 Tüm İnternet Derneği (TİD) Adres : Dikilitaş, Eren Sok. No:6/6 Kat:3 Beşiktaş i İSTANBUL Telefon : (212) i (212) Faks : (212) E-Posta : info@tid.org.tr Web Sitesi : Mobil İletişim Sistemleri ve Araçlan İş Adamlan Derneği (MOBİSAD) Adres : Avide-i Hürriyet Cad. No: 182/8, Şişli i İSTANBUL Telefon : (212) Faks : (212) E-Posta : mobisad@mobisad.org Web Sitesi : Telekomünikasyon ve Enerji Hizmetleri Tüketici Haklan ve Sektörel Araş. Der. (TEDER) Adres : İçerenköyMalı. çetinkaya Sk. No:2/4 Kadıköy, istanbul Telefon : (216) Faks : (216) E-Posta : info@teder.org.tr Web Sitesi : Türk Telekomünikasyon İş Adamlan Derneği (TUTED) Adres : Sıraselviler Cad. BAKRAÇ Sok. No:31 D.2 i CİHANGİR Telefon : (212) Faks : (212) Web Sitesi : Serbest Adres Telefon Faks E-Posta Web Sitesi Telekomünikasyon İşletmecileri Derneği : G.M.K. Bulvarı, Şehit Daniş Tunalıgil Sok. No: 2/34, 06570, Maltepe i ANKARA : (312) : (312) : telkoder@telkoder.org.tr : (TELKODER) 30

18 EK 4: 5070 SAYILI ELEKTRONİK İMZA KANUNU 23 Ocak 2004 Tarihli Resmi Gazete Sayı Kanun No 5070 Kabul Tarihi Elektronik İmza Kanunu BİRİNCİ KısıM Amaç, Kapsam ve Tanımlar Amaç MADDE ı. - Bu Kanunun amacı, elektronik imzanın hukuki ve teknik yönleri ile kullanımına ilişkin esasları düzenlemektir. Kapsam MADDE 2. - Bu Kanun, elektronik imzanın hukuki yapısını, elektronik sertifika hizmet sağlayıcılarının faaliyetlerini ve her alanda elektronik imzanın kullanımına ilişkin işlemleri kapsar. Tanımlar MADDE 3. - Bu Kanunda geçen; a) Elektronik veri: Elektronik, optik veya benzeri yollarla üretilen, taşınan veya saklanan kayıtları, b) Elektronik imza: Başka bir elektronik veriye eklenen veya elektronik veriyle mantıksal bağlantısı bulunan ve kimlik doğrulama amacıyla kullanılan elektronik veriyi, c) İmza sahibi: Elektronik imza oluşturmak amacıyla bir imza oluşturma aracını kullanan gerçek kişiyi, d) İmza oluşturma verisi: İmza sahibine ait olan, imza sahibi tarafından elektronik imza oluşturma amacıyla kullanılan ve bir eşi daha olmayan şifreler, kriptografık gizli anahtarlar gibi verileri, e) İmza oluşturma aracı: Elektronik imza oluşturmak üzere, imza oluşturma verisini kullanan yazılım veya donanım aracını, f) İmza doğrulama verisi: Elektronik imzayı doğrulamak için kullanılan şifreler, kriptografik açık anahtarlar gibi verileri, g) İmza doğrulama aracı: Elektronik imzayı doğrulamak amacıyla imza doğrulama 31

19 verisini kullanan yazılım veya donanım aracını, h) Zaman damgası: Bir elektronik verinin, üretildiği, değiştirildiği, gönderildiği, alındığı ve / veya kaydedildiği zamanın tespit edilmesi amacıyla, elektronik sertifika hizmet sağlayıcısı tarafından elektronik imzayla doğrulanan kaydı, ı) Elektronik sertifika: İmza sahibinin imza doğrulama verisini ve kimlik bilgilerini birbirine bağlayan elektronik kaydı, j) Kurum: Telekomünikasyon Kurumunu, ifade eder. İKİNCİ KıSıM Güvenli Elektronik İmza ve Sertifika Hizmederi BİRİNCİ BÖLÜM Güvenli Elektronik İmza, Güvenli Elektronik İmza Oluşturma ve Doğrulama Araçlan Güvenli elektronik imza MADDE 4. - Güvenli elektronik imza; a) Münhasıran imza sahibine bağlı olan, b) Sadece imza sahibinin tasarrufunda bulunan güvenli elektronik imza oluşturma aracı ile oluşturulan, c) Nitelikli elektronik sertifikaya dayanarak imza sahibinin kimliğinin tespitini sağlayan, d) İmzalanmış elektronik veride sonradan herhangi bir değişiklik yapılıp yapılmadığının tespitini sağlayan, Elektronik imzadır. Güvenli elektronik imzanın hukuki sonucu ve uygulama alanı MADDE 5. - Güvenli elektronik imza, elle atılan imza ile aynı hukuki sonucu doğurur. Kanunların resmi şekle veya özel bir merasime tabi tuttuğu hukuki işlemler ile teminat sözleşmeleri güvenli elektronik imza ile gerçekleştirilemez. Güvenli elektronik imza oluştunna araçlan MADDE 6. - Güvenli elektronik imza oluştunna araçlan; a) Ürettiği elektronik imza oluşturma verilerinin kendi aralarında bir eşi daha bulunmamasını, b) Üzerinde kayıtlı olan elektronik imza oluşturma verilerinin araç dışına hiçbir 32

20 biçimde çıkarılamamasını ve gizliliğini, c) Üzerinde kayıtlı olan elektronik imza oluşturma verilerinin, üçüncü kişilerce elde edilememesini, kullanılamamasını ve elektronik imzanın sahteciliğe karşı korunmasını, d) imzalanacak verinin imza sahibi dışında değiştirilememesini ve bu verinin imza sahibi tarafından imzanın oluşturulmasından önce görülebilmesini, Sağlayan imza oluşturma araçlarıdır. Güvenli elektronik İmza doğrulama araçları MADDE 7. - Güvenli elektronik imza doğrulama araçları; a) imzanın doğrulanması için kullanılan verileri, değiştirmeksizin doğrulama yapan kişiye gösteren, b) İmza doğrulama işlemini güvenilir ve kesin bir biçimde çalıştıran ve doğrulama sonuçlarını değiştirmeksizin doğrulama yapan kişiye gösteren, c) Gerektiğinde, imzalanmış verinin güvenilir bir biçimde gösterilmesini sağlayan, d) imzanın doğrulanması için kullanılan elektronik sertifikanın doğruluğunu ve geçerliliğini güvenilir bir biçimde tespit ederek sonuçlarını değiştirmeksizin doğrulama yapan kişiye gösteren, e) İmza sahibinin kimliğini değiştirmeksizin doğrulama yapan kişiye gösteren, f) İmzanın doğrulanması ile ilgili şartlara etki edecek değişikliklerin tespit edilebilmesini sağlayan, İmza doğrulama araçlarıdır. İKİNCİ BÖLÜM Elektronik Sertifika Hizmet Sağlayıcısı, Yabancı Elektronik Sertifikalar Nitelikli Elektronik Sertifika ve Elektronik sertifika hizmet sağlayıcısı MADDE 8. - Elektronik sertifika hizmet sağlayıcısı, elektronik sertifika, zaman damgası ve elektronik imzalarla ilgili hizmetleri sağlayan kamu kurum ve kuruluşları ile gerçek veya özel hukuk tüzel kişilerdir. Elektronik sertifika hizmet sağlayıcısı, Kuruma yapacağı bildirimden iki ay sonra faaliyete geçer. Elektronik sertifika hizmet sağlayıcısı yapacağı bildirimde; a) Güvenli ürün ve sistemleri kullanmak, b) Hizmeti güvenilir bir biçimde yürütmek, c) Sertifikaların taklit ve tahrif edilmesini önlemekle ilgili her türlü tedbiri almak, İle ilgili şartları sağladığını ayrıntılı bir biçimde gösterir. 33

21 Kurum, yukarıdaki şartlardan birinin eksikliğini veya yerine getirilmediğini tespit ederse, bu eksikliklerin giderilmesi için, elektronik sertifika hizmet sağlayıcısına bir ayı geçmemek üzere bir süre verir, bu süre içinde elektronik sertifıka hizmet sağlayıcısının faaliyetlerini durdurur. Sürenin sonunda eksikliklerin giderilmemesi halinde elektronik sertifika hizmet sağlayıcısının faaliyetine son verir. Kurumun bu kararlarına karşı ı 9 uncu maddenin ikinci fıkrası hükümleri gereğince itiraz edilebilir. Elektronik sertifıka hizmet sağlayıcılarının faaliyetlerinin devamı sırasında bu maddede gösterilen şartları kaybetmeleri halinde de yukarıdaki fıkra hükümleri uygulanır. Elektronik sertifıka hizmet sağlayıcıları, Kurumun belirleyeceği ücret alt ve üst sınırlarına uymak zorundadır. Nitelikli elektronik sertifika MADDE 9. - Nitelikli elektronik sertifikada; a) Sertifıkanın "nitelikli elektronik sertifıka" olduğuna dair bir ibarenin, b) Sertifika hizmet sağlayıcısının kimlik bilgileri ve kurulduğu ülke adının, c) İmza sahibinin teşhis edilebileceği kimlik bilgilerinin, d) Elektronik imza oluşturma verisine karşılık gelen imza doğrulama verisinin, e) Sertifikanın geçerlilik süresinin başlangıç ve bitiş tarihlerinin, f) Sertifikanın seri numarasının, g) Sertifika sahibi diğer bir kişi adına hareket ediyorsa bu yetkisine ilişkin bilginin, h) Sertifika sahibi talep ederse mesleki veya diğer kişisel bilgilerinin, ı) Varsa sertifikanın kullanım şartları ve kullanılacağı işlemlerdeki maddi sınırlamalara ilişkin bilgilerin, j) Sertifıka hizmet sağlayıcısının sertifikada yer alan bilgileri doğrulayan güvenli elektronik imzasının, Bulunması zorunludur. Elektronik sertifika hizmet sağlayıcısının yükümlülükleri MADDE Elektronik sertifika hizmet sağlayıcısı; a) Hizmetin gerektirdiği nitelikte personel istihdam etmekle, b) Nitelikli sertifıka verdiği kişilerin kimliğini resmi belgelere göre güvenilir bir biçimde tespit etmekle, 34

22 c) Sertifıka sahibinin diğer bir kişi adına hareket edebilme yetkisi, mesleki veya diğer kişisel bilgilerinin sertifıkada bulunması durumunda, bu bilgileri de resmi belgelere dayandırarak güvenilir bir biçimde belirlemekle, d) İmza oluşturma verisinin sertifika hizmet sağlayıcısı tarafından veya sertifika talep eden kişi tarafından sertifıka hizmet sağlayıcısına ait yerlerde üretilmesi durumunda bu işlemin gizliliğini sağlamak veya sertifıka hizmet sağlayıcısının sağladığı araçlarla üretilmesi durumunda, bu işleyişin güvenliğini sağlamakla, e) Sertifıkanın kullanımına ilişkin özelliklerin ve uyuşmazlıkların çözüm yolları ile ilgili şartların ve kanunlarda öngörülen sınırlamalar saklı kalmak üzere güvenli elektronik imzanın elle atılan imza ile eşdeğer olduğu hakkında sertifika talep eden kişiyi sertifikamn tesliminden önce yazılı olarak bilgilendirmekle, f) Sertifıkada bulunan imza doğrulama verisine karşılık gelen imza oluşturma verisini başkasına kullandırmaması konusunda, sertifıka sahibini yazılı olarak uyarmak ve bilgilendirmekle, g) Yaptığı hizmetlere ilişkin tüm kayıtları yönetmelikle belirlenen süreyle saklamakla, h) Faaliyetine son vereceği tarihten en az üç ay önce durumu Kuruma ve elektronik sertifika sahibine bildirmekle, Yükümlüdür. Elektronik sertifika hizmet sağlayıcısı üretilen imza oluşturma verisinin bir kopyasını alamaz veya bu veriyi saklayamaz. Nitelikli elektronik sertifikalarm iptal edilmesi MADDE ıl. - Elektronik sertifika hizmet sağlayıcısı; a) Nitelikli elektronik sertifıka sahibinin talebi, b) Sağladığı nitelikli elektronik sertifikaya ilişkin veri tabanında bulunan bilgilerin sahteliğinin veya yanlışlığının ortaya çıkması veya bilgilerin değişmesi, c) Nitelikli elektronik sertifıka sahibinin fıil ehliyetinin sınırlandığının, iflasının veya gaipliğinin ya da ölümünün öğrenilmesi durumunda vermiş olduğu nitelikli elektronik sertifikaları derhal iptal eder. Elektronik sertifika hizmet sağlayıcısı, nitelikli elektronik sertifikaların iptal edildiği zamanın tam olarak tespit edilmesine imkan veren ve üçüncü kişilerin hızlı ve güvenli bir biçimde ulaşabileceği bir kayıt oluşturur. Elektronik sertifika hizmet sağlayıcısı, faaliyetine son vermesi ve vermiş olduğu nitelikli elektronik sertifıkaların başka bir elektronik sertifıka hizmet sağlayıcısı tarafmdan kullanımının sağlanamaması durumunda vermiş olduğu nitelikli elektronik sertifikaları derhal iptal eder. 35

23 -~----- Elektronik sertifika hizmet sağlayıcısının faaliyetine Kurum tarafından son verilmesi halinde Kurum, faaliyetine son verilen elektronik sertifika hizmet sağlayıcısının vermiş olduğu nitelikli elektronik sertifikaların başka bir elektronik sertifika hizmet sağlayıcısına devredilmesine karar verir ve durumu ilgililere duyurur. Elektronik sertifika hizmet sağlayıcısı geçmişe yönelik olarak nitelikli elektronik sertifıka iptal edemez. Bilgilerin korunması MADDE Elektronik sertifika hizmet sağlayıcısı; a) Elektronik sertifika talep eden kişiden, elektronik sertifika vermek için gerekli bilgiler hariç bilgi talep edemez ve bu bilgileri kişinin rızası dışında elde edemez, b) Elektronik sertifıka sahibinin izni olmaksızın sertifıkayı üçüncü kişilerin ulaşabileceği ortamlarda bulunduramaz, c) Elektronik sertifıka talep eden kişinin yazılı rızası olmaksızın üçüncü kişilerin kişisel verileri elde etmesini engeller. Bu bilgileri sertifika salıibinin onayı olmaksızın üçüncü kişilere iletemez ve başka amaçlarla kullanamaz. Hukuki sorumluluk MADDE Elektronik sertifika hizmet sağlayıcısının, elektronik sertifika sahibine karşı sorumluluğu genel hükümlere tabidir. Elektronik sertifika hizmet sağlayıcısı, bu Kanun veya bu Kanuna dayanılarak çıkarılan yönetmelik hükümlerinin ihlali suretiyle üçüncü kişilere verdiği zararları tazminle yükümlüdür. Elektronik sertifika hizmet sağlayıcısı kusursuzluğunu ispat ettiği takdirde tazminat ödeme yükümlülüğü doğmaz. Elektronik sertifika hizmet sağlayıcısı, söz konusu yükümlülük ihlalinin istihdam ettiği kişilerin davranışına dayanması halinde de zarardan sorumlu olup, elektronik sertifika hizmet sağlayıcısı, bu sorumluluğundan, Borçlar Kanununun 55 inci maddesinde öngörülen türden bir kurtuluş kanıtı getirerek kurtulamaz. Nitelikli elektronik sertifıkanın içerdiği kullanım ve maddi kapsamına ilişkin sınırlamalar hariç olmak üzere, elektronik sertifika hizmet sağlayıcısının üçüncü kişilere ve nitelikli elektronik inıza salıibine karşı sorumluluğurıu ortadan kaldıran veya sınırlandıran her türlü şart geçersizdir. Elektronik sertifika hizmet sağlayıcısı, bu Kanundan doğan yükümlülüklerini 36

24 yerine getirmemesi sonucu doğan zararların karşılanması amacıyla sertifıka mali sorumluluk sigortası yaptırmak zorundadır. Sigortaya ilişkin usul ve esaslar Hazin Müsteşarlığının görüşü alınarak Kurum tarafından çıkarılacak yönetmelik" belirlenir. Bu maddede öngörülen sertifika mali sorumluluk sigortası Türkiye'de ilgili branşta çalışmaya yetkili olan sigorta şirketleri tarafından yapılır. Bu sigorta şirketleri sertifıka mali sorumluluk sigortasını yapmakla yükümlüdürler. Bu yükümlülüğe uymayan sigorta şirketlerine Hazine Müsteşarlığınca sekizmilyar lira idari para cezası verilir. Bu para cezasının tahsilinde ve cezaya itiraz usulünde IS inci madde hükümleri uygulanır. Elektronik sertifika hizmet sağlayıcısı, nitelikli elektronik sertifıkayı elektronik imza sahibine sigorta ettirerek teslim etmekle yükümlüdür. Yabancı elektronik sertifikalar MADDE Yabancı bir ülkede kurulu bir elektronik sertifika hizmet sağlayıcısı tarafından verilen elektronik sertifikaların hukuki sonuçları milletlerarası anlaşmalarla belirlenir. Yabancı bir ülkede kurulu bir elektronik sertifika hizmet sağlayıcısı tarafından verilen elektronik sertifikaların, Türkiye'de kurulu bir elektronik sertifika hizmet sağlayıcısı tarafindan kabul edilmesi durumunda, bu elektronik sertifikalar nitelikli elektronik sertifika sayılır. Bu elektronik sertifikaların kullanılması sonucunda doğacak zararlardan, Türkiye'deki elektronik sertifika hizmet sağlayıcısı da sorumludur. ÜÇÜNCÜ KıSıM Denetİm ve Ceza Hükümleri Denetim MADDE Elektronik sertifika hizmet sağlayıcılarının bu Kanunun uygulanmasına ilişkin faaliyet ve işlemlerinin denetimi Kururnca yerine getirilir. Kurum, gerekli gördüğü zamanlarda elektronik sertifika hizmet sağlayıcılarını denetleyebilir. Denetleme sırasında, denetleme yapmaya yetkili görevliler tarafindan her türlü defter, belge ve kayıtların verilmesi, yönetim yerleri, binalar ve eklentilerine girme, yazılı ve sözlü bilgi alma, örnek alma ve işlem ve hesapları denetleme isteminin elektronik sertifika hizmet sağlayıcıları ve ilgililer tarafından yerine getirilmesi zorunludur. 37