E-imza nedir, nasıl alınır ve kurulur? Bireysel ve kurumsal kullanım, ESHS'ler ve maliyetler

E-imza, Türkiye'de hukuken "güvenli elektronik imza" olarak tanımlanan ve nitelikli elektronik sertifikaya dayanan imzadır. Almak için Bilgi Teknolojileri ve İletişim Kurumu'nun (BTK) listesindeki bir elektronik sertifika hizmet sağlayıcısına (ESHS) başvurur, kimliğinizi doğrulatır, sertifikanızı akıllı kart ya da USB token içinde teslim alır, kart okuyucu sürücüsünü kurup PIN belirlersiniz. Sertifika her zaman bir gerçek kişiye verilir; şirket adına imza atan çalışan da kendi sertifikasıyla imzalar. Maliyet; sertifika süresine (1, 2 ya da 3 yıl), kart okuyucunun pakete dahil olup olmadığına ve teslim yöntemine göre değişir.

Güvenli elektronik imza ve nitelikli sertifika ne demek?

5070 sayılı Elektronik İmza Kanunu önce genel tanımı verir: elektronik imza, başka bir elektronik veriye eklenen ya da onunla mantıksal bağlantısı bulunan ve kimlik doğrulama amacıyla kullanılan elektronik veridir (md. 3/b). Bu tanım geniştir; hukuken ağırlık taşıyan ise bir üst basamaktaki güvenli elektronik imzadır.

Kanuna göre güvenli elektronik imza (md. 4):

• yalnızca imza sahibine bağlıdır,
• sadece imza sahibinin tasarrufundaki güvenli bir imza oluşturma aracıyla oluşturulur,
• nitelikli elektronik sertifikaya dayanarak imza sahibinin kimliğini tespit eder,
• imzalanan veride sonradan değişiklik yapılıp yapılmadığını gösterir.

Nitelikli elektronik sertifika ise imza sahibinin kimliğini imza doğrulama verisine bağlayan kayıttır. Kanun içinde neler bulunması gerektiğini tek tek sayar (md. 9): sertifikanın "nitelikli elektronik sertifika" olduğuna dair ibare, sağlayıcının kimliği ve kurulduğu ülke, imza sahibinin kimlik bilgileri, geçerlilik başlangıç ve bitiş tarihleri, seri numarası ve sağlayıcının kendi güvenli e-imzası. Sertifika sahibi başka bir kişi adına hareket ediyorsa bu yetkiye ilişkin bilgi de sertifikada yer alır (md. 9/g).

Kanun "imza sahibi"ni imza oluşturma aracını kullanan gerçek kişi olarak tanımlar (md. 3/c). Kurumsal kullanımı anlamak için bu ayrıntı önemlidir; aşağıda döneceğiz. Güvenli e-imzanın hangi belgelerde ıslak imza yerine geçtiğini ayrıca bu yazıda anlattık.

E-imza, mobil imza ve mali mühür arasındaki fark

Mobil imza da nitelikli elektronik sertifikaya dayanır; fark aracın türündedir. Kamu Sertifikasyon Merkezi'nin (Kamu SM) açıklamasına göre mobil nitelikli sertifikalar, standarda uygun SIM kartlara yüklenir ve hizmet GSM operatörü aracılığıyla sunulur. Bir sistemin mobil imzayı kabul edip etmediği o sisteme bağlıdır; işleme başlamadan kontrol edin.

Mali mühür ayrı bir üründür. Kamu SM'nin mali mühür sayfasına göre bu sertifikaları üretmeye yetkili tek kuruluş TÜBİTAK BİLGEM bünyesindeki Kamu SM'dir. Sertifikalar Gelir İdaresi Başkanlığı'nın Vergi Usul Kanunu kapsamındaki düzenlemelerinde kullanılmak üzere tasarlanmıştır; mali mühür sertifikası sahibinin vergi kimlik numarasını ve unvanını içerir, e-fatura ve mevzuatın izin verdiği diğer belgeler bununla mühürlenir. Sertifikalar 3 yıl geçerlidir ve bir akıllı kart içinde, mini kart okuyucuyla teslim edilir. Kısacası mali mühür şirketin vergi belgeleri içindir; bir sözleşmeyi kişi olarak imzalamanın yerini tutmaz.

E-imzayı kimden alırsınız? BTK'nın güncel ESHS listesi

Nitelikli sertifikayı yalnızca BTK'ya bildirimde bulunmuş ESHS'ler verebilir (5070 md. 8). BTK'nın resmî sayfasında 28 Eylül 2026 itibarıyla şu sekiz sağlayıcı "faaliyetine devam etmektedir" olarak listeleniyor (sayfanın kendi güncelleme tarihi 9 Ocak 2026):

1. Elektronik Bilgi Güvenliği A.Ş. (E-Güven)
2. TÜBİTAK-UEKAE (Kamu Sertifikasyon Merkezi)
3. TürkTrust Bilgi, İletişim ve Bilişim Güvenliği Hizmetleri A.Ş.
4. E-TUGRA EBG Bilişim Teknolojileri ve Hizmetleri A.Ş. (E-TUGRA)
5. Emniyet Genel Müdürlüğü Sertifikasyon Merkezi (EGMSM)
6. EİMZATR Bilgi Güvenliği Hizmetleri A.Ş. (E-İMZATR)
7. Ayyıldız İmza Bilgi Güvenliği ve Teknolojileri A.Ş. (AYYILDIZ İMZA)
8. Arksigner Yazılım ve Donanım Sanayi Ticaret A.Ş. (ARKİMZA)

Aynı sayfadaki nota göre Kamu SM yalnızca kamu çalışanlarına, EGMSM ise yalnızca Emniyet Genel Müdürlüğü bünyesinde sertifika hizmeti veriyor. Özel sektördeki bir işletme için pratikte diğer altı sağlayıcı kalıyor. Liste değişebildiği için karar vermeden önce BTK'nın sayfasını kendiniz açın; listede olmayan bir satıcıdan "nitelikli" diye sertifika almayın.

Adım adım: başvurudan ilk imzaya

1. Başvuru ve belgeler

Başvuru genellikle sağlayıcının sitesinden, şubesinden ya da bayisinden yapılır. Bireysel başvuruda istenen temel belgeler kimlik (T.C. kimlik numarası yazılı) ve sağlayıcının başvuru formu ile kullanıcı taahhütnamesidir; örneğin E-Tuğra bireysel başvuru için bu ikisini sayıyor. Süre olarak 1, 2 ve 3 yıllık seçenekler yaygındır.

2. Kimlik doğrulama

Kanun, sağlayıcıyı nitelikli sertifika verdiği kişinin kimliğini resmî belgelere göre ya da T.C. kimlik kartı aracılığıyla uzaktan güvenilir biçimde tespit etmekle yükümlü tutar (5070 md. 10/b). Bu yüzden yüz yüze doğrulamanın yanında e-Devlet üzerinden uzaktan doğrulama yapan sağlayıcılar da var. TürkTrust'ın sayfasında belirtildiğine göre BTK kararı doğrultusunda başvuru sırasında T.C. kimlik numaranıza kayıtlı cep telefonuna bilgilendirme SMS'i gönderiliyor ve e-imza bu SMS'ten 3 saat sonra üretiliyor. Sahtecilik girişimlerine karşı konmuş bu bekleme süresini planınıza ekleyin.

3. Teslim

Sertifika, imza oluşturma verisiyle birlikte bir akıllı kart ya da USB token içinde gelir. Sağlayıcıya göre şubeden elden teslim, kurye ya da kargo seçenekleri bulunur. Akıllı kart kullanıyorsanız bilgisayara bağlamak için bir kart okuyucu gerekir; bazı paketlerde okuyucu dahildir, bazılarında ayrıca satılır.

4. Kurulum ve PIN

• Sağlayıcının sitesinden kart okuyucu sürücüsünü ve kart yönetim yazılımını indirin. TürkTrust paketinde bu yazılımın adı PALMA; diğer sağlayıcıların kendi araçları var.
• Kartı takın, sağlayıcının aktivasyon adımlarını tamamlayın ve PIN'inizi belirleyin.
• PIN'i kimseyle paylaşmayın. Kart kilitlenirse sağlayıcıların PIN bloke kaldırma ya da kilit çözme süreçleri vardır.
• İlk imzayı düşük riskli bir belgeyle deneyin ve imzanın PDF okuyucunuzda nasıl göründüğünü kontrol edin.

Bireysel mi kurumsal mı?

"Şirket adına e-imza" ifadesi yanıltıcı olabilir. E-Güven bunu açıkça yazıyor: e-imza gerçek kişiler adına oluşturulur, kurumlar adına oluşturulamaz; kurumda çalışan gerçek kişiler adına oluşturulabilir. Yani her çalışan kendi sertifikasını alır ve kendi imzasını atar.

Kurumsal başvurunun farkı, kişinin şirketle bağının ve temsil yetkisinin de belgelenmesidir. E-Tuğra kurumsal başvuru için şunları istiyor:

• kimlik veya sürücü belgesi (T.C. kimlik numarası yazılı),
• her kullanıcı için ayrı başvuru formu ve taahhütname,
• imza sirküleri (şahıs firmasında imza beyannamesi),
• şahıs firmaları için son 6 ay içinde alınmış faaliyet belgesi,
• kişi münferit yetkili değilse ya da imza sirkülerinde yer almıyorsa yetkilendirme belgesi.

Hukuki dayanak Türk Ticaret Kanunu'ndadır: şirket adına imza yetkisi olan kişiler, kendi adlarına üretilmiş güvenli e-imzayla şirket namına imza atabilir; bu durumda sertifikanın sahibi alanına kişinin adıyla birlikte temsil ettiği tüzel kişinin adı da yazılır (TTK md. 1526/4). Sağlayıcı, sertifikaya konan temsil yetkisini resmî belgelere dayanarak belirlemekle yükümlüdür (5070 md. 10/c). Şirketin vergi belgeleri içinse yukarıda anlattığımız mali mühür gerekir.

E-imza ne kadar tutar?

Tek bir fiyat yok; sağlayıcıya, süreye ve paketin içeriğine göre değişiyor; sitelerde kampanyalı fiyatlar da görülüyor. Maliyeti oluşturan kalemler şunlar:

• Sertifika süresi: 1, 2 veya 3 yıl. Uzun süreli pakette yıllık maliyet çoğu zaman daha düşüktür; aşağıdaki örnekte de öyle.
• Akıllı kart veya token: İlk alımda pakete dahildir.
• Kart okuyucu: Bazı paketlerde dahil, bazılarında ayrı ürün.
• Teslim: Kargo, kurye ya da adrese elden teslim için ek ücret çıkabilir.
• Yenileme: Bazı sağlayıcılarda yenileme paketi ilk alımdan ucuzdur, çünkü kart okuyucu yeniden satılmaz.
• Mobil imza: SIM karta yüklendiği için operatör aracılığıyla sunulur; güncel ücretini operatörünüzden öğrenin.

Somut bir örnek olarak TürkTrust'ın resmî fiyat tablosu 28 Eylül 2026 itibarıyla şöyle: yeni e-imza paketi (sertifika, akıllı kart ve kart okuyucu) 1 yıllık 3.100,00 ₺, 2 yıllık 4.150,00 ₺, 3 yıllık 4.900,00 ₺; kart okuyucunun dahil olmadığı yenileme paketi 1 yıllık 2.650,00 ₺, 2 yıllık 3.600,00 ₺, 3 yıllık 4.400,00 ₺; ayrı kart okuyucu 750,00 ₺. Sayfada tüm bu fiyatlar "KDV Dahil" olarak ve perakende satış fiyatı diye belirtiliyor. Bu bir örnektir, karşılaştırma değildir; diğer sağlayıcıların güncel fiyatlarını kendi sitelerinden karşılaştırın.

Yenilemeyi takvime yazın. TürkTrust yenilemenin en erken süre bitimine 30 gün kala yapılabildiğini, süresi dolmuş bir sertifikayla yenileme başvurusu yapılamadığını belirtiyor. Süreyi kaçırırsanız yeni başvuru gerekir.

Aldıktan sonra: iş belgelerinizde kullanmak

E-imzanız hazır olduğunda teklif ve sözleşmelerinizi de aynı kartla imzalayabilirsiniz. Collobr'un Windows masaüstü uygulaması Collobr E-İmza, ESHS'lerin verdiği nitelikli sertifikayla akıllı kart ya da USB token üzerinden teklif ve sözleşme PDF'lerini PAdES biçiminde imzalar. Uzun yıllar sonra da doğrulanabilir imza için zaman damgası ve LTV yazımıza, karşı taraftan gelen imzalı bir PDF'i kontrol etmek için e-imzalı PDF doğrulama rehberimize bakabilirsiniz. Mevzuatın bütün çerçevesi e-imza rehberimizde.