SES, AES, QES: Dijital İmza Seviyeleri Arasındaki Farklar (2026 Rehber)
“Dijital imza”nın tek bir türü yoktur. Avrupa Birliği’nin eIDAS düzenlemesi imzaları üç güvence seviyesine ayırır: Basit (SES), Gelişmiş (AES) ve Nitelikli (QES). Türk hukukunda ise 5070 sayılı Kanun imza bakımından iki kategori öngörür: elektronik imza ve güvenli elektronik imza; AES’e karşılık gelen ayrı bir imza kategorisi yoktur. Güvenli elektronik imza, nitelikli elektronik sertifikaya (NES) dayanır; AB’deki QES’e işlevce en yakın Türk kategorisidir, ancak AB’de kendiliğinden QES sayılmaz. Hangi seviyenin gerektiği; işlemin riskine, mevzuata ve ispat ihtiyacına bağlıdır.
SES: Basit Elektronik İmza
Tanım: İmzalama niyetini gösteren en temel elektronik biçim. Kimlik doğrulama, sertifika veya değişiklik tespiti şartı içermez.
Örnekler: Ekranda parmakla/fareyle çizilen el yazısı imza görseli, yazılan ad, “Kabul ediyorum” kutusu.
Hukuki durum: Geçerlidir ancak ispat gücü olaya göre değerlendirilir. Türk hukukunda HMK m.199 kapsamında belge niteliği taşır; delil değeri somut olaya göre takdir edilir.
Tipik kullanım: Düşük riskli onaylar, kullanım koşulları kabulü, iç süreçler, basit sözleşmeler.
AES: Gelişmiş Elektronik İmza
Tanım: eIDAS Art.26’ya göre dört şartı sağlayan imza:
- İmzayı yalnızca imzalayana bağlar,
- İmzalayanı kimliklendirebilir,
- İmzalayanın kontrolündeki verilerle oluşturulur,
- Sonradan yapılan değişiklik tespit edilebilir.
Teknik: AB’deki sağlayıcılar imzacıyı genellikle kimlik belgesi doğrulaması, video ile kimlik tespiti veya ulusal e-kimlik gibi yöntemlerle tanımlar ve imzayı belgeye kriptografik olarak bağlar; belge sonradan değiştirilirse doğrulama başarısız olur.
Türk hukukundaki durumu: Türk mevzuatında AES’e karşılık gelen ayrı bir imza kategorisi yoktur. Güvenli elektronik imza niteliği taşımayan bir imza, HMK m.199 kapsamında belge olarak değerlendirilir.
Tipik kullanım: İş sözleşmeleri, gizlilik sözleşmeleri (NDA), sigorta başvuruları, ticari anlaşmalar.
QES (AB) ve Türk Hukukunda Güvenli Elektronik İmza
Tanım: En yüksek güvence seviyesi. İki ek şart gerektirir:
- Nitelikli imza oluşturma aracı (QSCD), akıllı kart, SIM veya USB token gibi, imza anahtarını koruyan donanım,
- Yetkili bir hizmet sağlayıcıdan (Türkiye’de ESHS, AB’de QTSP) alınan nitelikli sertifika.
Hukuki durum: AB’de eIDAS Art.25 uyarınca elle atılmış ıslak imza ile aynı hukuki sonucu doğurur. Türkiye’de 5070 sayılı Kanun m.5, güvenli elektronik imzayı elle atılmış imzayla aynı ispat gücünde sayar (HMK m.205/2, kesin delil).
Tipik kullanım: Mevzuatın nitelikli imza zorunlu kıldığı işlemler, resmi başvurular, yüksek riskli sözleşmeler.
Karşılaştırma
| Ölçüt | SES | AES | QES (AB) / güvenli e-imza (TR) |
|---|---|---|---|
| Kimlik doğrulama | Yok/asgari | Var (güçlü) | Var (ESHS kimlik tespiti) |
| Değişiklik tespiti | Yok | Var | Var |
| Donanım gereği | Yok | Yok | QSCD (USB token vb.) |
| Hukuki güç (TR) | Takdiri delil | Ayrı kategori yok; takdiri delil | Güvenli e-imza, kesin delil |
| Uygulama eforu | En az | Orta | Yüksek |
İmzala.org bu tabloda nerede?
- Varsayılan akış: dijital imza. Kullanıcı imza ekranında imzasını çizer; bu imza, işlem kaydı ve TÜBİTAK zaman damgası ile bütünlük altına alınır (sonradan yapılan değişiklik doğrulamada ortaya çıkar).
- Ek doğrulama (telefon OTP + T.C. kimlik numarası kontrolü) etkinleştirildiğinde imzanın delil değeri güçlenir; ancak imza gelişmiş (AES) ya da güvenli elektronik imzaya dönüşmez. Tarayıcıdan atılan dijital imza 5070 sayılı Kanun anlamında elektronik imzadır ve AB hukuku bakımından gelişmiş veya nitelikli imza olarak sunulmaz.
- Güvenli elektronik imza gereken işlemler için E-İmzala ile USB token (akıllı kart) üzerinden nitelikli elektronik sertifikanızla (NES) imzalayabilirsiniz.
Önemli ayrım: Tarayıcıdan atılan dijital imza için “ıslak imza ile aynı/eşdeğer” denmez. Islak imza eşdeğerliği, hukuken güvenli elektronik imzaya özgüdür.
İmza mı, Mühür (Kaşe) mü?
eIDAS bir ayrım daha yapar: elektronik imza gerçek kişiye, elektronik mühür tüzel kişiye (kuruma) aittir. Belgede kişi adı yerine kurum/kaşe görünmesi gerekiyorsa mühür yolu kullanılır. İmzala.org’da hem kişisel imza hem görsel kurumsal kaşe alanları desteklenir. (Görsel kaşe, belgeye kurum bilgisini ekler; bu, eIDAS anlamındaki nitelikli elektronik mühür sertifikasından farklı bir özelliktir.)
Hangisini seçmeliyim?
İki soruyla karar verebilirsiniz:
- Mevzuat güvenli elektronik imza zorunlu kılıyor mu? Evet → Türkiye’de güvenli elektronik imza; AB’de QES.
- Karşı tarafa ilişkin daha güçlü delil gerekiyor mu? Evet → dijital imzada telefon ve T.C. kimlik numarası kontrolünü açın, gerekirse güvenli elektronik imzayı değerlendirin; hayır, düşük riskli onay mı → varsayılan dijital imza yeterli olabilir.
Çoğu ticari ve bireysel sözleşme için ek doğrulamalı dijital imza pratik bir dengedir; bu, imzayı AES yapmaz.
Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. Belirli bir işlem için hangi imza seviyesinin gerektiği, ilgili mevzuata ve somut duruma göre değişir; tereddüt halinde bir hukuk uzmanına danışmanız önerilir.
Konuyu daha derinlemesine ele aldığımız yazılar: Elektronik İmza Nedir? · HMK m.199-205 ve elektronik belge. Dijital imzaya başlamak için imzala.org.