Yetki

Bir elektronik sözleşmeyi, e-faturayı ya da resmi başvuruyu zaman bakımından tartışmasız hale getirmek istiyorsan, ilk bakman gereken yer zaman damgasını veren kurumların yetkisi olur. Çünkü yanlış hizmet sağlayıcı seçimi, ileride delil değeri tartışmasına, işlem reddine ve ek maliyete yol açabilir. Bu rehberde hangi kurumların yetkili olduğunu, başvurunun nasıl ilerlediğini ve seçim yaparken hangi ölçütlere bakman gerektiğini açık biçimde göreceksin.

Zaman damgası tam olarak neyi ispatlar?

Zaman damgası, bir elektronik verinin belirli bir tarihte ve saatte var olduğunu kriptografik olarak kanıtlar. Basit anlatımla sistem, ilgili verinin özetini alır, güvenilir zaman kaynağıyla ilişkilendirir ve bunu elektronik sertifika altyapısı içinde mühürler. Böylece sonradan “Bu belge o tarihte yoktu” ya da “İçerik sonradan değişti” itirazlarına karşı güçlü bir teknik dayanak oluşur.

Elektronik imza ile zaman damgasını sıkça karıştırırlar. Elektronik imza, imza sahibinin kimliğini ve iradesini öne çıkarır. Zaman damgası ise verinin hangi anda mevcut olduğunu sabitler. Birçok işlemde bu iki yapı birlikte kullanılır. Özellikle uzun süreli arşivleme, sözleşme doğrulama, e-defter, e-fatura, KEP süreçleri ve fikri mülkiyet ispatında bu birliktelik büyük avantaj sağlar.

Türkiye’de bu alanın hukuki omurgasını 5070 sayılı Elektronik İmza Kanunu oluşturur. Kanun, elektronik sertifika hizmet sağlayıcıları için çerçeveyi çizer. Uygulamada zaman damgası hizmeti de bu güven altyapısının bir parçası olarak ilerler. Ayrıca Bilgi Teknolojileri ve İletişim Kurumu, yani BTK, yetkilendirme ve denetim tarafında merkezi rol oynar. Bu yüzden “zaman damgasını kim verir” sorusunun kısa cevabı şudur: Yetkili elektronik sertifika hizmet sağlayıcıları verir.

Kendi tecrübemle söyleyebilirim ki kullanıcıların en sık yaptığı hata, sadece fiyat listesine bakıp karar vermek oluyor. Oysa burada asıl mesele hukuki geçerlilik, teknik süreklilik, kayıt saklama disiplini ve doğrulama altyapısıdır.

Türkiye’de zaman damgasını veren kurumlar nasıl yetki alır?

Türkiye’de her şirket ya da yazılım firması “ben zaman damgası veriyorum” diyerek hukuken güvenilir bir hizmet sunamaz. Bu alanda faaliyet gösterecek kurumun elektronik sertifika hizmet sağlayıcısı niteliği taşıması gerekir. Yetki çerçevesi, 5070 sayılı Kanun ve buna bağlı ikincil düzenlemeler üzerinden şekillenir. Denetim ve gözetim tarafında BTK öne çıkar.

Yetkili kurumların temel özellikleri şunlardır:
– Güvenli sertifika altyapısı kurarlar.
– Kriptografik anahtar yönetimini sıkı güvenlik kurallarıyla yürütürler.
– Zaman kaynağını güvenilir biçimde senkronize ederler.
– Kayıt üretir, saklar ve gerektiğinde doğrulamaya açarlar.
– Hizmet kesintisi, ihlal yönetimi ve denetim süreçleri için prosedür oluştururlar.

Avrupa tarafında eIDAS düzenlemesi, güven hizmetleri için önemli bir referans çerçevesi sunar. Türkiye doğrudan eIDAS sistemi içinde yer almasa da güven hizmetleri mimarisi değerlendirilirken benzer teknik ve yönetsel ilkeler dikkate alınır. Özellikle kurumsal şirketler, sınır ötesi işlem yaparken sadece yerel yetkiyi değil uluslararası uyumluluğu da sorgular.

Zaman kaynağının doğruluğu teknik açıdan kritiktir. Ulusal metroloji altyapıları ve uluslararası zaman senkronizasyon standartları, güvenilir zaman bilgisinin temelini oluşturur. NIST gibi kurumlar zaman senkronizasyonu ve izlenebilirlik konusunda yıllardır referans kabul edilen teknik yayınlar paylaşır. Bu yayınlar, güvenilir zamanın sadece saat göstergesi değil, delil değeri taşıyan bir doğruluk zinciri olduğunu net biçimde ortaya koyar.

BTK’nın rolü nedir?

BTK, elektronik sertifika hizmet sağlayıcılarını gözetir, mevzuat uyumunu takip eder ve sektörde güven çerçevesini korur. Kullanıcı tarafında senin için anlamı şu: Hizmet alacağın kurumun yetkili statüsünü ve güncel durumunu resmi kaynaklardan teyit etmelisin.

Her e-imza firması zaman damgası da verir mi?

Hayır. Bazı sağlayıcılar e-imza tarafında görünür olsa da zaman damgası hizmet modelinde, entegrasyon yapısında veya paket içeriklerinde farklılaşır. Bu yüzden hizmet başlığını açıkça doğrulaman gerekir.

Yetki neden bu kadar önemli?

Çünkü uyuşmazlık çıktığında teknik kayıt, sertifika altyapısı ve hizmet sağlayıcının hukuki konumu birlikte incelenir. Yetkisiz ya da belirsiz bir yapıdan alınan hizmet, delil gücünü zayıflatır.

Başvuru ve kullanım süreci adım adım nasıl ilerler?

Zaman damgası hizmetine geçiş çoğu kişi için karmaşık görünür; oysa doğru sırayla ilerlediğinde süreç oldukça nettir. Burada kritik nokta, ihtiyacını baştan doğru tanımlamandır. Tek seferlik belge ispatı ile yüksek hacimli kurumsal entegrasyon aynı yol haritasını izlemez.

1. İhtiyacı tanımla
Önce kullanım senaryonu belirle. Bir avukat dosya teslim zamanını mı sabitleyecek, bir şirket e-defter ve e-fatura kayıtlarını mı güvenceye alacak, yoksa bir yazılımcı uygulama içine otomatik zaman damgası mı entegre edecek? Bu ayrım, paket türünü doğrudan etkiler.

2. Yetkili sağlayıcıyı doğrula
BTK kayıtları ve sağlayıcının kurumsal sayfaları üzerinden hizmetin aktif olup olmadığını kontrol et. Sözleşme metni, hizmet seviyesi taahhüdü ve teknik dokümanlara bak.

3. Başvuru modelini seç
Bireysel başvuru ile kurumsal başvuru aynı ilerlemez. Kurumsal tarafta vergi bilgileri, yetkili kişi evrakları, entegrasyon talepleri ve kullanım hacmi analizi öne çıkar.

4. Kimlik ve sözleşme aşamasını tamamla
Sağlayıcı, kimlik doğrulama ve sözleşme kabul adımlarını ister. Burada ücretlendirme modeli de netleşir. Bazı firmalar kontör mantığıyla ilerler, bazıları kurumsal paket tanımlar.

5. Teknik kullanım yöntemini belirle
Web paneli, masaüstü aracı, API ya da kurumsal entegrasyon seçenekleri sunulabilir. Yüksek adetli işlem yapan firmalar API tercih eder. Az sayıda belge işleyen kullanıcılar panel kullanımını daha pratik bulur.

6. Damgalama ve doğrulama testini yap
İlk işlemden sonra sadece damgayı almak yetmez; doğrulama adımını da test et. Belgenin özeti değiştiğinde sistemin uyarı verip vermediğini kontrol et.

7. Saklama ve denetim planını kur
Zaman damgası delil zincirinin parçasıdır. Bu yüzden log kayıtları, orijinal dosya, damga verisi ve işlem politikası birlikte saklanmalı.

Yıllar süren mevzuat ve uygulama takibim gösteriyor ki en çok sorun, doğrulama testini atlayan kurumlarda çıkıyor. Belgeyi damgalayıp bir kenara koyuyorlar; fakat denetim veya dava aşamasında hangi dosyanın hangi özet değeriyle eşleştiğini hızlıca gösteremiyorlar.

Bazı uluslararası araştırmalar, elektronik kayıtların bütünlük doğrulamasında kriptografik damgalamanın adli bilişim süreçlerini hızlandırdığını ortaya koyar. Özellikle dijital delilin zincirleme korunması konusunda hash tabanlı doğrulama, akademik literatürde uzun süredir temel yöntem kabul edilir. Bu yüzden zaman damgası sadece bir formalite değil, delilin yaşam döngüsündeki kontrol noktasıdır.

Bireysel kullanıcı ile şirket başvurusu arasında ne fark var?

Bireysel kullanıcı çoğu zaman sınırlı adetli işlem yapar ve hazır panel çözümleriyle ilerler. Şirket tarafında ise ERP, arşiv sistemi, e-belge altyapısı ve API bağlantıları devreye girer. Kurumsal süreç daha fazla teknik planlama ister.

API entegrasyonu ne zaman gerekir?

Her gün çok sayıda belge üretiyorsan veya belge akışını manuel yürütmek istemiyorsan API entegrasyonu gerekir. Bu model, insan hatasını azaltır ve işlem sürelerini kısaltır.

Kurum seçerken hangi ölçütlere bakmalısın?

Yetkili olmak tek başına yeterli değil. İyi bir zaman damgası hizmeti, hukuki dayanak ile operasyonel güveni aynı çizgide toplar. Seçim yaparken şu başlıklara odaklan:

– Yetki ve güncel statü
Resmi kayıtlarda aktif görünmeyen, hizmet kapsamını net açıklamayan kurumlardan uzak dur.

– Teknik doğrulama araçları
Aldığın damgayı bağımsız biçimde doğrulayabiliyor musun? Doğrulama aracı zayıfsa ileride ciddi zaman kaybı yaşarsın.

– Kayıt saklama politikası
İşlem kayıtları ne kadar süreyle tutuluyor, hangi formatta sunuluyor, denetim halinde nasıl erişiliyor? Bunlar sözleşmede açık yazmalı.

– Hizmet sürekliliği
Kesinti oranı, bakım planı, acil durum prosedürü ve destek saatleri kritik önemdedir. Özellikle kurumsal tarafta SLA metni mutlaka incelenmeli.

– Fiyat modeli
Ucuz paket bazen pahalıya patlar. Kontör sınırı, ek API ücreti, yıllık bakım, doğrulama hizmeti ve kullanıcı limiti gibi kalemleri birlikte değerlendir.

– Entegrasyon kolaylığı
Muhasebe, arşiv, doküman yönetimi veya hukuk otomasyonu kullanıyorsan entegrasyon belgelerine mutlaka bak.

Kendi tecrübemle söyleyebilirim ki sözleşme eki niteliğindeki hizmet politikası çoğu kullanıcı tarafından okunmuyor. Oysa asıl riskler orada yazar. Kayıtların saklama süresi, sorumluluk sınırı, teknik kesinti bildirimi ve destek kapsamı bu belgelerde yer alır.

Sahaf Kitap okurları için burada pratik bir not bırakayım: Eğer küçük işletme sahibiysen, ilk görüşmede sadece “kaç para” diye sorma. “Doğrulama aracı var mı, log kayıtlarını nasıl alırım, API desteğiniz hangi formatta çalışıyor” sorularını da yönelt. Bu üç soru, hizmet kalitesini hızla ortaya çıkarır.

Sahada en çok karşılaşılan sorunlar ve işe yarayan çözümler

Uygulamada sık görülen sorunların çoğu teknikten çok süreç hatasından çıkar. Doğru belgeyi damgalamamak, dosyanın son halini saklamamak ya da damga ile belgeyi ayrı klasörlerde tutmak, ileride ciddi karmaşa yaratır.

En yaygın sorunlardan biri sürüm karışıklığıdır. Bir sözleşmenin taslak haline damga vurulur, sonra son metin değişir, ama ekip bunu kayıt altına almaz. Uyuşmazlık çıktığında hangi sürümün delil niteliği taşıdığı karışır. Çözüm basit: Dosya adlandırma standardı kur, son onaylı sürümü ayrı klasörde sakla, damga kayıtlarını aynı dosya zinciriyle eşleştir.

İkinci büyük sorun zaman damgasını elektronik imzanın yerine koymaktır. Oysa iki araç farklı iş yapar. Kimlik ve irade beyanı gerektiğinde elektronik imza gerekir. Sadece varlık anını sabitlemek istediğinde zaman damgası yeterli olabilir. İşlem türüne göre bu ayrımı baştan yap.

Üçüncü sorun doğrulama bağımlılığıdır. Yani belgeyi damgalarsın ama doğrulamayı yalnızca tek bir kurumun aracıyla yapabiliyorsundur. Bu durum risk oluşturur. Mümkünse standartlara uyumlu ve farklı ortamlarda kontrol edilebilir yapıları tercih et.

Dördüncü sorun saklama disiplinsizliğidir. Özellikle KOBİ’lerde belge ayrı yerde, log ayrı yerde, damga dosyası başka yerde kalır. Denetim anında hepsini birleştirmek zorlaşır. En iyi çözüm, işlem sonrası otomatik arşiv kuralı oluşturmaktır.

Yıllar süren saha gözlemim gösteriyor ki küçük hatalar büyük hukuki sorunlardan daha fazla vakit kaybettiriyor. Çünkü dava başlamadan önce bile şirket içi belge toplama süreci aksıyor.

Sahaf Kitap üzerinde içerik hazırlarken benzer teknik konularda sık vurguladığım bir ilke var: İspat gücü sadece belge üretmekle değil, belgeyi gerektiği anda doğrulanabilir halde tutmakla oluşur. Zaman damgasında da aynı mantık geçerli.

Sıkça Sorulan Sorular

Zaman damgası ile elektronik imza aynı şey mi?

Hayır. Elektronik imza, imzalayan kişiyi ve irade beyanını öne çıkarır. Zaman damgası, verinin belirli bir anda var olduğunu ispatlar.

Zaman damgası hangi belgelerde kullanılır?

Sözleşmeler, e-faturalar, e-defter kayıtları, fikri mülkiyet içerikleri, başvuru dosyaları ve dijital delil niteliği taşıyan birçok belgede kullanılır.

Yetkili kurumları nasıl kontrol ederim?

BTK kayıtları, hizmet sağlayıcının resmi açıklamaları ve sözleşme dokümanları üzerinden kontrol edebilirsin.

Zaman damgası tek başına mahkemede delil olur mu?

Çok güçlü teknik destek sağlar; ancak mahkeme değerlendirmesinde olayın bütünü, belge zinciri ve diğer deliller de dikkate alınır.

Bir belge değişirse eski zaman damgası geçerli kalır mı?

Hayır. Belgenin içeriği değiştiğinde özet değeri de değişir. Bu yüzden eski damga yeni sürüm için geçerli sayılmaz.

Kurumsal kullanım için en kritik teknik özellik nedir?

API entegrasyonu, doğrulama araçları, log yönetimi ve saklama politikası birlikte en kritik çekirdeği oluşturur.

Zaman damgası hizmeti almayı düşünüyorsan ilk adımın çok net olsun: Seçtiğin sağlayıcının yetkisini doğrula, ardından örnek bir belge üzerinde damgalama ve doğrulama testi yap. İstersen en çok tereddüt ettiğin noktayı yaz; özellikle kurum seçimi, delil değeri ya da entegrasyon tarafında merak ettiğin soruya odaklı yanıt hazırlayalım.