I. GİRİŞ: GÜVEN ZİNCİRİ

Türkiye’nin dijital altyapısını sarsan elektronik sertifika hizmet sağlayıcıları e-imza vakası, basit bir dolandırıcılık olayından çok güven zincirini kıran daha derin bir gerçeği gözler önüne seriyor: dijital devlet projemizin temelinde çatlaklar var. Adalet Bakanı Yılmaz Tunç’un açıkladığı üzere 199 şüpheli hakkında kamu davası açılan bu sahte e-imza operasyonu, sadece birkaç hilekârın başarısı değil, sistemli bir güvenlik zafiyetlerinin sonucudur.

Risk Toplumu ve Sistem Kuramı Işığında Dijital Kırılganlık

Ulrich Beck’in risk toplumu kuramı bu vakayı anlamamız için kritik bir çerçeve sunuyor. Modern toplumlar kendi ürettikleri teknolojik sistemlerin risklerini yönetemez hale geldiğinde “risk toplumu” aşamasına geçer. E-imza vakası tam da bu durumun dijital versiyonudur: dijitalleşmeyi hızlandırırken –ki bundan büyük bir çoğunluğumuz ciddi yararlar elde ettik- yarattığımız riskleri hesaplayamadık, yönetecek kurumsal kapasiteyi geliştiremedik.

Beck’in “hesaplanabilir risklerin hesaplanamaz belirsizliklere dönüşümü” tezi burada somutlaşıyor. Elektronik sertifika hizmet sağlayıcıları gibi kritik altyapı sağlayıcılarının güvenlik zafiyetleri artık teknik bir “arıza” değil. Bu zafiyetler tüm dijital ekosistemi tehdit eden sistemik belirsizlik yaratıyor. Geleneksel risk yönetimi araçları (denetim, sigorta, yasal sorumluluk) bu yeni belirsizlik türü karşısında yetersiz kalıyor.

Niklas Luhmann’ın sistem kuramı bu vakayı daha da derinlemesine anlamamızı sağlıyor. Modern toplumda hukuk, siyaset, teknoloji gibi alt sistemler farklı mantıklarla çalışır. Türkiye’de bu alt sistemler arasında yatay etkileşim kurulamıyor. BTK, elektronik sertifika hizmet sağlayıcıları, Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü ve üniversiteler birbirinden bağımsız hareket ediyor. Donella Meadows‘un deyişiyle, sistem sadece “veri üreten” değil, “geri bildirimle öğrenen” bir yapı olmalıdır. Oysa bizim sistemimiz bu geri bildirimi işleyemiyor, sonuç olarak kırılgan ama fark edilmeyen bir yapı ortaya çıkıyor.

“Dijital güç, kırılgan devlet” çelişkisi tam da burada kendini gösteriyor. Bir yandan herkesin yaşamını kolaylaştıran e-devlet hizmetlerini yaygınlaştırırken, diğer yandan bu dijital altyapının güvenlik temellerini ihmal ettik. Sonuç: BTK Başkanı’ndan üniversite daire başkanlarına kadar kritik pozisyondaki onlarca kişinin e-imzası sahte kimliklerle üretildi ve kullanıldı.

Çok Boyutlu Krizin Analizi ve Yazı Dizisinin Kapsamı

Bu yazı, elektronik sertifika hizmet sağlayıcıları vakasının çok katmanlı yapısını anlamak için tasarlanmış bir dizinin ilk bölümüdür. Vakanın teknik boyutları, hukuki sonuçları, kurumsal başarısızlıkları ve uluslararası etkileri o denli iç içe geçmiş ki, her biri ayrı derinlemesine inceleme gerektiriyor. Bu nedenle önümüzdeki yazılarda şu konulara odaklanacağız:

• İmzanın Evrimi: Elle atılan imzadan e-imzaya – hukuki eşdeğerlik ve toplumsal kabul
• Dijital güvenlik mimarisinin teknik analizi ve PKI altyapısının uluslararası karşılaştırması,
• Hukuk mesleğinin dijital kırılganlığı ve mesleki sorumluluk dönüşümü,
• Kurumsal hesap verme krizinin anatomisi ve düzenleyici başarısızlıklar,
• AB uyumu ve dijital egemenlik stratejilerinin detaylı incelemesi.

II. SAHTE E-İMZA VAKASININ BOYUTLARI: E-İMZA OPERASYONLARI

Ankara Cumhuriyet Başsavcılığı’nın hazırladığı iddianameler vakanın boyutlarını gözler önüne seriyor: Adalet Bakanı’nın açıkladığı üzere 199 şüpheli hakkında kamu davası açıldı, 37 tutuklama, iki ayrı soruşturma dosyası. Bu rakamlar Türkiye’nin dijital güvenlik tarihindeki en büyük ihlallerden birini işaret ediyor. Ancak vakanın asıl büyüklüğü sayılarda değil, açığa çıkardığı yapısal zafiyetlerde gizli.

Olayın Kronolojisi: 2024 Sonbaharından 2025 Operasyonlarına

İlk bulgular 2024 sonbaharında Gazi Üniversitesi’nde ortaya çıktı. Adına e-imza çıkarılan bir görevli başvuruda bulunmadığını bildirince soruşturma başladı. Ankara Cumhuriyet Başsavcılığı’nın koordinasyonunda yürütülen çalışmalarda, 7 Ocak ve 23 Mayıs 2025 tarihlerinde iki büyük operasyon yapıldı. Bu operasyonlarda çok sayıda sahte belgeye ve usulsüz e-imzaya ulaşıldı, kamu sistemlerine erişim sağlamak için sahte kimlik, diploma ve ehliyet kullanıldığı ortaya kondu.

Sosyal Medyada Açık Suç Ekonomisi: Paralel Hizmet Sektörü

İddianamelerde geçen en çarpıcı bulgulardan biri, sahte belgelerin doğrudan internet üzerinden pazarlanması. Web siteleri, Telegram grupları, sahte diploma “danışmanlık” ofisleri açık şekilde reklam veriyor, referans paylaşıyor, kargo garantisi sunuyor. Adeta paralel bir hizmet sektörü kurulmuş durumda. Bu durum sadece hukuki değil, sosyolojik bir çözülmenin de işareti. Devletin belge düzenleme/verme tekeline bu kadar açık şekilde meydan okunması, dijital devlet otoritesinin sorgulandığını gösteriyor.

Hedeflenen Kurumlar ve Kişiler

Çetenin hedef listesi Türkiye’nin kritik kurumlarının haritasını çiziyor: BTK Başkanı ve iki başkan yardımcısı, Yükseköğretim Kurulu (YÖK), Milli Eğitim Bakanlığı (MEB), 14 farklı üniversitenin daire başkanları ve Çevre, Şehircilik ve İklim Değişikliği Bakanlığı Milli Emlak Genel Müdürlüğü Genel Satış Daire Başkanı. Bu isimler rastgele seçilmemiş; e-imzalarıyla onaylanacak belgelerin kurumsal ağırlığı ve etki alanı dikkate alınarak belirlenmiş.

Milli Emlak Vakası: Erken Müdahale Örneği

Çevre, Şehircilik ve İklim Değişikliği Bakanlığı’nın 3 Ağustos 2025 tarihli açıklaması, vakanın boyutlarını daha da genişletiyor. Milli Emlak Genel Müdürlüğü Genel Satış Daire Başkanı’nın adına bilgisi dışında e-imza düzenlenmiş. Bu e-imza ile Belgenet Sistemi’ne giriş girişiminde bulunulması, suç örgütünün kamu emlak sistemlerini de hedeflediğini gösteriyor. Bu vakada daire başkanının erken fark etmesi ve derhal e-imzayı iptal ettirmesi, potansiyel büyük zararın önlenmesini sağladı.

BTK Başkanı ve başkan yardımcılarının e-imzalarının hedeflenmesi özellikle dikkat çekici. Telekomünikasyon sektörünün düzenleyici otoritesi olan BTK’nın en üst düzey yöneticilerinin dijital kimliklerinin ele geçirilmesi, sadece bireysel bir zarar değil, kurumsal güvenilirliğin sarsılması anlamına geliyor. Benzer şekilde, milli emlak sistemine erişim girişimi, devletin mal varlığı yönetiminin hedeflendiğini gösteriyor.

25 Yıllık Mesleki Kariyer! 

Operasyonun kilit ismi Ziya Kadiroğlu‘nun geçmişi, Türkiye’nin sınav ve belge güvenliği açıklarının kronik olduğunu gösteriyor. 2010 KPSS vakası, 2016 sahte diploma çetesi ve şimdi 2025 e-imza operasyonu – öncekilerle birlikte neredeyse 25 yıllık bir “mesleki” kariyer. Bu durum iki önemli soruyu gündeme getiriyor: İlk, bu kişi nasıl bu kadar süre boyunca bir yandan yargılanırken diğer yandan benzer suçları işlemeye devam edebildi? İkinci, sistemlerimizin bu tür seri suçlulara karşı erken uyarı düzeneği neden yok?

TUZEM Akademi: Gelişmiş Suç Altyapısı

Operasyonun merkezi olduğu ifade edilen Ankara Ulus’taki TUZEM Akademi, klasik “sahte belge dükkânı” değil, modern dijital suç altyapısının örneği. Halil Erkoç’un TÜRKTRUST bayisi pozisyonunu kullanarak 16 sahte e-imza onaylaması, suç örgütünün sistem bilgisi ve kurumsal erişim seviyesini gösteriyor. Bu durum önemli bir gerçeği ortaya koyuyor: dijital suçlar artık bireysel bilgisayar korsanlarının işi değil, kurumsal yapıları sızan organize suç örgütlerinin alanı.

III. TEKNİK GERÇEKLİK: SERTİFİKA OTORİTESİNİN KRİZİ

Medyada vaka genellikle “e-imza kopyalandı” veya “e-imzalar ele geçirildi” şeklinde anlatılıyor. Bu teknik olarak yanlış ve aldatıcı bir anlatım. E-imza teknolojisinin temel ilkesi, şifreleme imzalarının kopyalanamaz olmasıdır. Asıl sorun çok daha derindir ve dijital güvenlik altyapımızın temellerine dokunur.

“E-İmza Kopyalanması” Yanılgısı

E-imza, açık anahtar altyapısı teknolojisine dayanır ve her imza matematiksel olarak benzersizdir. Bir e-imzayı “kopyalamak” şifreleme bilimi açısından imkânsızdır. Tıpkı parmak izinin benzersiz olması gibi, her e-imza da sahiplik ve bütünlük kanıtı taşır. Medyanın “kopyalama” anlatımı, teknik gerçekleri yansıtmadığı gibi kamuoyunun konuyu yanlış anlamasına da neden oluyor.

E-İmzanın Elle Atılan İmza ile Eşdeğerliği: Güç ve Kırılganlık

5070 sayılı Kanun’un 5. maddesi, Türk hukuk sisteminde devrim niteliğinde bir düzenleme getiriyor: “Güvenli elektronik imza, elle atılan imza ile aynı hukukî sonucu doğurur.” Bu eşitlik, dijital dönüşümün hukuki temelini oluştururken, aynı zamanda sistemin en kritik kırılganlığını da yaratıyor.

Elle atılan imzanın binlerce yıllık hukuk geleneğindeki yeri düşünüldüğünde, e-imzaya aynı gücün verilmesi cesur bir adım. Bir tıklama ile atılan dijital imza, mürekkep ve kağıtla atılan imza ile aynı bağlayıcılığa sahip. Bu eşitlik sayesinde milyarlarca liralık işlemler, kritik kamu kararları, hukuki sözleşmeler tamamen dijital ortamda gerçekleştiriliyor.

Ancak sahte e-imza vakası, bu güçlü eşitliğin yarattığı riskleri dramatik şekilde ortaya koyuyor. BTK Başkanı’nın sahte e-imzası, hukuken BTK Başkanı’nın elle attığı imza kadar geçerli. Sahte diploma ile alınan e-imza, gerçek kişinin ıslak imzası gibi bağlayıcı. Bu durum, dijital kimlik güvenliğinin neden bu kadar kritik olduğunu gösteriyor.

Not: E-imzanın elle atılan imza ile hukuki eşdeğerliği ve bunun yarattığı fırsatlar ve riskler, başlı başına ayrı bir analizi hak ediyor. Dijital kimlik doğrulama sistemleri, mali sorumluluk sigortalarının kapsamı, hukuk mesleğinin dijital dönüşümde yaşadığı özel riskler gibi konuları ilerleyen yazılarımızda derinlemesine ele alacağız.

Gerçek Sorun: Güven Zincirinin Kırılması

Asıl olan şu: Suç örgütü mevcut e-imzaları kopyalamadı, sahte kimliklerle yepyeni sertifikalar ürettirdi. TÜRKTRUST ve E-İMZATR gibi elektronik sertifika hizmet sağlayıcılarının sertifika otoritesi rolündeki sistemli başarısızlığı bu güvenlik ihlalinin kök nedenidir. TÜRKTRUST bayisi pozisyonu kullanılarak 16 sahte e-imzanın onaylanması, kimlik doğrulama sürecinin yapısal zafiyetini gösteriyor.

Bayilik Sistemi Üzerinden Kurumsal Sorumluluk

Şüpheli Halil Erkoç’un ifadesi ve dosya kapsamındaki deliller, bayilik sisteminin nasıl denetimsiz kaldığını ortaya koyuyor. 60.000’in üzerinde işlem onaylamış tek personel, ofisinde çalışan başka kimse yok. TÜRKTRUST’ın şirket açıklamalarıyla bu ifadeler arasında çelişkiler mevcut. “12 yıl boyunca tek çalışanlı bayilikte, her gün onlarca kimlik kontrolü” gibi bir uygulamanın ne teknik ne hukuki denetimi var.

Elektronik sertifika hizmet sağlayıcıları normalde oldukça sıkı bir prosedür uygular: yüz yüze kimlik tespiti zorunlu, sistemden gelen alarm düzenekleri kurulu. Ama Adana başta olmak üzere bazı bayilerde bu prosedürlerin yalnızca kağıt üstünde kaldığı görülüyor. İddianamelere göre sadece bir bayi üzerinden 16 sahte e-imza üretilmiş. Bu işlemler için “yüz yüze kimlik tespiti yapılmıştır” ibaresi kullanılmış. Ama ortada ne gerçek kimlik var, ne fiziksel başvuru.

Bu durum şu anlama geliyor: Türkiye’nin dijital güvenlik altyapısının en kritik halkası olan güven zinciri kırılmış durumda. TÜRKTRUST ve E-İMZATR gibi sertifika otoriteleri, vatandaşların dijital kimliklerini doğrulama sorumluluğunu taşıyor.

“Trust” Paradoksu: İsim ile Gerçeklik Arasındaki Uçurum

İronik olan şu: Sektörün önde gelen sağlayıcısı TÜRKTRUST’ın adında bile “trust” (güven) kelimesi geçiyor, ancak bu güven sistematik olarak ihlal edilmiş durumda.

E-İMZATR’ın web sayfasında yer alan “alması kolay kullanması kolay” sloganı ise sektörün güvenlik önceliğinden ne kadar uzaklaştığını gözler önüne seriyor. Dijital güvenlik sektöründe “kolay” vurgusu, “güvenli” vurgusunun yerini almışsa, bu yapısal bir sorunun işaretidir.

Bu sorumluluğun bu kadar kolay manipüle edilmesi, sistemin temelindeki zafiyeti ortaya koyuyor.

Açık Anahtar Altyapısı (Public Key Infrastructure – PKI) Sisteminde Kırılma: Güven Doğrulaması Krizi

Açık anahtar altyapısının (PKI) işleyişi şu ilkeye dayanır: Sertifika otoritesi güvenilir olduğu sürece, onun onayladığı tüm sertifikalar güvenilirdir. TÜRKTRUST ve E-İMZATR gibi sağlayıcıların güvenilirlik krizi, onların onayladığı tüm sertifikaları şüpheli hale getiriyor. Bu da şu soruyu gündeme getiriyor: Acaba güvenlik ihlali sadece bir kaç bayiden çıkan sahte sertifikalarla mı sınırlı, yoksa elektronik sertifika hizmet sağlayıcıları sektöründe daha büyük çapta sistemli manipülasyon mu var?

Sahte Sertifika Üretimi: Yeni E-İmzalar, Eskiler Değil

Önemli bir teknik detay: Suç örgütü eski e-imzaları ele geçirmedi, sahte kimlik bilgileriyle yeni e-imza sertifikaları ürettirdi. Bu durum iki önemli sonuç doğuruyor. İlk, mağdur olan kişiler, çoğu durumda e-imzalarının çalındığını bile fark etmedi çünkü kendi özgün e-imzaları çalışmaya devam etti. İkinci, sahte e-imzalar da teknik olarak “geçerli” görünüyordu çünkü TÜRKTRUST ve E-İMZATR gibi yetkili sağlayıcılar tarafından onaylanmışlardı.

Bu teknik gerçeklik vakanın boyutlarını daha da büyütüyor. Eğer sertifika otoritesi seviyesinde manipülasyon mümkünse, Türkiye’nin tüm dijital işlem güvenliği sorgulanabilir hale geliyor.

IV. AB STANDARTLARI: TÜRKİYE’NİN DİJİTAL GÜVENLİK AÇIĞI

Avrupa Birliği’nin dijital güvenlik yaklaşımı ile Türkiye’nin mevcut durumu arasındaki fark, sadece teknik standart farkı değil, felsefi yaklaşım farkıdır. AB vatandaşlarının dijital haklarını korumak için çok katmanlı, şeffaf ve hesap verebilir bir sistem kurmuşken, Türkiye’de bu konular hâlâ “teknisyen meselesi” olarak görülüyor.

Elektronik Kimlik ve Güven Hizmetleri + Ağ ve Bilgi Sistemleri Güvenliği Standardı: Önleyici Koruma Modeli

Avrupa’nın elektronik kimlik ve güven hizmetleri düzenlemesi ile ağ ve bilgi sistemleri güvenliği yönergesi, dijital güvenlik ihlallerinde 24 saat içinde bildirim zorunluluğu getiriyor. Bu sadece bir bürokrasi değil, erken müdahale sisteminin temelidir.

Türkiye’de ise elektronik sertifika hizmet sağlayıcıları sahte e-imza vakasını hiç bildirmedi. BTK ancak 14 Ocak 2025’te güvenlik tedbirleri içeren bir Kurul kararı aldı. ESHS’lere 1-2 ay uygulama süresi tanındı ve TÜRKTRUST gibi sağlayıcılar ancak Mayıs 2025’te bu SMS doğrulama sistemini devreye aldı.

AB Uyumunun Gecikmesi: Çok Az, Çok Geç

Elektronik sertifika hizmet sağlayıcılarının 5 Mayıs 2025 tarihli duyurusu ve BTK’nın kararına göre e-imza başvurularına ilişkin kısa mesaj bilgilendirmesi ve “6 saatlik güvenlik süresi” ancak bu tarihten itibaren başlatıldı.

Oysa Avrupa Birliği’nin elektronik kimlik ve güven hizmetleri yönetmeliği kapsamındaki benzer uygulamalar yıllardır yürürlükteydi. Türkiye’nin bu kadar geç önlem alması, düzenleme ve uygulama arasında yapısal bir boşluk olduğunu gösteriyor.

24 saat kuralının mantığı şu: Dijital güvenlik ihlalleri geometrik ilerleyişle yayılır. İlk 24 saat kritik müdahale penceresini oluşturur. Bu pencereyi kaçırmak, ihlalın kontrol edilemez boyutlara çıkması demektir. TÜRKTRUST’ın aylarca sessiz kalması, AB standartlarında “ağır ihmal” kategorisinde değerlendirilir.

Avrupa Birliği Siber Güvenlik Ajansı (ENISA) Eşgüdümü: Sınır Ötesi Olay Yönetimi

Avrupa Birliği Siber Güvenlik Ajansı (ENISA), 27 üye ülkenin siber güvenlik olaylarını eşgüdümleyici. Bir ülkede yaşanan güvenlik ihlali, 24 saat içinde ajansa bildiriliyor ve diğer ülkeler uyarılıyor. Bu sistem sayesinde sınır ötesi dijital saldırılar erken tespit ediliyor ve etkisi en aza indiriliyor.

Türkiye’nin AB Dijital Tek Pazar stratejisine uyumu açısından bu eşgüdüm eksikliği kritik bir engel oluşturuyor. Eğer Türkiye’deki bir güvenlik ihlali AB ülkelerini etkiliyorsa (ki dijitalleşmiş dünyada bu kaçınılmaz), Türkiye’nin bildirim yapmama durumu diplomatik sorun yaratabilir.

Yıllık Şeffaflık: Sistemli Öğrenme Düzeneği

AB’de güven hizmeti sağlayıcıları (TÜRKTRUST benzeri kurumlar) yıllık şeffaflık raporları yayınlamak zorunda. Bu raporlarda yaşanan güvenlik olayları, alınan önlemler ve gelecek planlar detaylı şekilde açıklanıyor. ENISA bu raporları çözümleyerek AB genelinde eğilim çözümlemesi yapıyor ve en iyi uygulamaları paylaşıyor.

Bu yaklaşımın felsefesi şu: Güvenlik ihlalleri kaçınılmazdır, önemli olan öğrenmek ve geliştirmektir. Türkiye’de ise güvenlik ihlalleri çoğu zaman öğrenme fırsatı yerine gizlenmesi gereken başarısızlıklar olarak görülüyor. Bu yaklaşım sistemli öğrenmeyi engelliyor ve aynı hataların tekrarlanmasına neden oluyor.

Türkiye Açığı: Düzenleyici Kör Nokta

5070 sayılı Elektronik İmza Kanunu’nda güvenlik ihlallerinin bildirim zorunluluğu yok. Bu düzenleyici açık sadece hukuki değil, stratejik bir zafiyet oluşturuyor. Kritik altyapı sağlayıcılarının hesap vermeme durumu, dijital ekosistemin güvenilirliğini sarıyor.

Dijital Sömürgecilik Riski: AB Standardında Koruma ile Türkiye’de Bilinmeyen Risk

Bu açığın stratejik sonucu şu: AB vatandaşları dijital haklarının korunduğunu biliyor ve güveniyor. Türkiye’de ise vatandaşlar hangi risklerin olduğunu bile bilmiyor. Bu durum “dijital sömürgecilik” riskini yaratıyor – Türk vatandaşları ve kurumları, güvenlik standartları yüksek AB sistemlerini tercih etmeye başlayabilir.

Örneğin, büyük ölçekli uluslararası işlemlerde Türk e-imzalarının güvenilirlik sorunu yaşanması durumunda, Türk şirketleri AB nitelikli elektronik imzalar kullanmak zorunda kalabilir. Bu da dijital egemenliğin aşınması anlamına gelir.

V. HUKUK MESLEĞİ RİSKLERİ

E-imza vakası tüm sektörleri etkilerken, hukuk mesleği için özel riskler taşıyor. Avukatların mesleki faaliyetlerinin dijitalleşmesi ve özellikle Ulusal Yargı Ağı Projesi (UYAP) entegrasyonu, bu güvenlik ihlalinin hukuk mesleği üzerindeki etkilerini katlanarak artırıyor.

Türkiye Barolar Birliği’nin TÜRKTRUST ile kurumsal anlaşması, tüm avukatları sistemik risk altında bırakıyor. Bu anlaşma çerçevesinde avukatlara sunulan e-imza sertifikaları, ihlalin ortaya çıkardığı güvenlik zafiyetleri nedeniyle şüphe altındadır. Eğer TÜRKTRUST’ın sertifika otoritesi güvenilirliği sorgulanıyorsa, Barolar Birliği alternatif sağlayıcıları değerlendirmek zorundadır.

UYAP sistemiyle o kadar bütünleşmiş olan avukatlık mesleğinde, e-imza güvenlik sorunları doğrudan mesleki sorumluluk yaratıyor. Mahkemeye sunulan elektronik belgelerin özgünlüğü, avukatın gerekli özen sorumluluğu kapsamında değerlendiriliyor. Bu durum özellikle uluslararası işlemlerde rekabet dezavantajı yaratabilir.

Bu konunun detaylı analizi yazı dizimizin ilerleyen bölümlerinde ele alınacaktır.

VI. Kurumsal Sorumsuzluk ve Analitik Yaklaşım

Geç Gelen Savunma

E-imza vakasının en dikkat çekici yanlarından biri, sorumlu kurumların krize yaklaşımı ve medyanın bir kısmının gecikmeli savunma refleksidir. Elektronik sertifika hizmet sağlayıcılarından BTK’ya, KVKK’dan düzenleyici otoritelere kadar tüm kurumsal aktörler önce tepkisel pozisyon aldı. Ardından koordineli bir “başarı hikayesi” anlatımına geçtiler. Bu durum Türkiye’nin kurumsal hesap verme kültüründeki derin sorunları gözler önüne seriyor.

5 Ağustos 2025 itibariyle iktidar medyası güvenlik ihlali etrafında koordineli bir savunma kampanyası başlattı. Bu kampanyada şu ana temalara odaklanıldı:

• USOM ve BTK’nın proaktif rolü: “9 Ağustos 2024’te Gazi Üniversitesi SOME ekiplerinin USOM’a bildirimi üzerine sistem harekete geçti“
• Teknik başarı hikayesi: “MEB’in yapay zeka destekli ALERT sistemi“, “LOG kayıtları analizi“, “IP ve port bilgileri tespiti”
• Muhalefet suçlaması: “Fondaş medya dezenformasyon peşinde“, “Devletin acziyeti yalanı“

Kronolojik Çelişki: Erken Tespit, Geç Tepki

BTK’dan sorumlu Bakan Yardımcısı Ömer Fatih Sayan’ın 7 Ağustos 2025 tarihli açıklaması, kurumsal ataleti belirgin hale getiriyor. Açıklamada geçen resmi kronoloji şöyle:

• 29 Şubat 2024: USOM’a ilk ihbar ve tespit
• Mart 2024: Geçici önlem olarak yüz yüze başvuruların durdurulması
• 9 Ağustos 2024: Sahte diplomalara ilişkin bulgulara ulaşılması
• 10 Ekim 2024: Yüz yüze kimlik ibrazının kesin olarak durdurulması
• 14 Ocak 2025: BTK Kurul kararı (SMS bildirimi ve 6 saatlik güvenlik süresi)
• 5 Mayıs 2025: TÜRKTRUST ve diğer ESHS’lerin önlemleri fiilen uygulamaya koyması

Bu tarihler, sistemin ne kadar yavaş hareket ettiğinin resmi itirafı niteliğinde. İlk tespitle nihai uygulama arasında geçen 15 aylık süre, dijital çağın hızıyla tamamen uyumsuz. Daha da endişe verici olan, BTK’nın Ocak 2025’te aldığı “acil” güvenlik tedbirlerinin ancak Mayıs 2025’te –yani 5 ay sonra– uygulanmaya başlanması.

BTK’nın ESHS’lere “1-2 ay uygulama süresi” tanıdığı belirtiliyor, pratikte bu süre 5 aya çıkmış durumda. AB standartlarında güvenlik ihlalleri için 24-72 saatlik müdahale süreleri varken, Türkiye’de aylarca süren “hazırlık” dönemleri kabul ediliyor.

Bir de, açıklamada tespitler sonrasında tüm ESHS’ler için denetim sürecinin başlatıldığı bilgisine yer verilmiş. Bir soru daha doğuyor o zaman; denetim sonuçları nedir? İhmal, kusur bulundu mu? İdari yaptırım uygulandı mı? Zira, BTK web sayfasında yayınlanan Kurul kararları arasında ne 14 Ocak 2025 tarihli Kurul kararı ne de denetim/sonuçlarına dair bir Kurul kararı var.

Yapıcı Eleştiri vs. Komplo Teorileri

Bu analizin temel amacı, 21. yüzyıla uygun güçlü bir dijital devlet inşasına katkıda bulunabilmektir. Modern toplumlar kendi yarattıkları teknolojik riskleri ancak şeffaflık, hesap verebilirlik ve sürekli öğrenme ile yönetebilir.

Analitik yaklaşımımız sistemleri güçlendirme odaklıdır. Zira, önümüzdeki on yıllar kolay geçmeyecektir. Öte yandan, güçlü kurumlar eleştiriden beslenirken, kırılgan yapılar eleştiriden kaçar.

Risk toplumu yaklaşımında hem yenilikçi cesaret hem de eleştirel düşünce bir arada yaşar. Bu denge kurulmadığında sistemler ya aşırı tutucu kalır ya da kontrolsüz risk alır. Her iki durum da dijital egemenlik için tehlikelidir.

BTK’nın her yeni teknolojiyi risk gibi görmesi kadar, her eleştirinin ardında “medya dezenformasyonu” aramak da sağlıklı değil. Risk toplumu yaklaşımında hem eleştiri hem de öğrenme kapasitesi kritiktir. İktidar medyasının “devletin acziyeti yalanı” iddiası, meşru kaygıları politik komplo teorilerine dönüştürerek sistemli gelişimi engelliyor.

Eksiklikleri göstermek kötü bir niyetle değil, sistem güçlendirme amacıyladır. Amacımız devleti güçsüzleştirmek değil, risk toplumu anlayışına uygun hale getirmektir.

Savunma Stratejisi: “Mağdur” Konumlandırması

TÜRKTRUST’ın ihlale yaklaşımı klasik kurumsal kriz yönetimi kitabından çıkmış gibi: kendini mağdur olarak konumlandırmak, sorumluluğu dış faktörlere yüklemek ve en az hasarla krizi atlatmaya çalışmak. Ancak sertifika otoritesi rolünün yarattığı kurumsal sorumluluk bu stratejinin sınırlarını belirliyor.

TÜRKTRUST’ın “biz de mağduruz” söylemi teknik gerçeklerle çelişiyor. Sertifika otoritesinin temel sorumluluğu kimlik doğrulamasıdır. Halil Erkoç’un bayi pozisyonunu kullanarak 16 sahte e-imza onaylaması, TÜRKTRUST’ın doğrulama sisteminin temel başarısızlığı anlamına geliyor. Bu gerekli özen başarısızlığı, mağduriyet iddiasıyla bağdaşmıyor.

2012 SSL Vakası Tekrarı: Kurumsal Öğrenme Başarısızlığı

Sektörün önde gelen sağlayıcısının 2012’de yaşadığı SSL sertifika vakası ile 2025 e-imza vakası arasındaki benzerlik, kurumsal öğrenme kapasitesindeki ciddi sorunları gösteriyor. 2012’de bu sağlayıcı, Google gibi büyük internet sitelerine sahte SSL sertifikaları vermişti. 13 yıl sonra aynı sektörde benzer bir güvenlik zafiyeti yaşanması, sistemli gelişimin olmadığını kanıtlıyor.

Bu düzen şu soruları gündeme getiriyor: TÜRKTRUST 2012 ihlalinden sonra hangi önlemleri aldı? İç kontrol sistemleri nasıl güçlendirildi? Personel denetleme süreçleri yenilendi mi? Görünen o ki, bu sorulara tatmin edici cevaplar yok çünkü 2025’te benzer bir ihlal tekrarlandı.

KVKK ile E-İmza Çelişkisi: Aynı Risk, Farklı Standart

En dikkat çekici kurumsal tutarsızlık KVKK ile e-imza kanunu arasındaki farklı yaklaşımdan kaynaklanıyor. KVKK kapsamında elektronik sertifika hizmet sağlayıcıları, kişisel veri ihlallerini 72 saat içinde bildirmek zorunda. Ancak e-imza güvenlik ihlalleri için böyle bir zorunluluk yok. Bu düzenleyici tutarsızlık, aynı şirketlerin aynı riskleri farklı kanunlar altında farklı şekilde yönetmesine neden oluyor.

Bu çelişki daha da derinleşiyor: E-imza sertifikaları aslında kişisel veri içeriyor (kimlik bilgileri, biyometrik veriler). Bu verilerin güvenlik ihlali hem KVKK hem de e-imza kanunu kapsamında değerlendirilmeli. Ancak elektronik sertifika hizmet sağlayıcıları bu zafiyeti hiçbir kanun kapsamında bildirmedi.

Etik Uyarıcı Mekanizmalarının Eksikliği

Gelişmiş ülkelerde whistleblower (etik uyarıcı) sistemleri, kurumsal risklerin erken tespitinde kritik rol oynar. AB’de ve ABD’de, kurum içi uyarı mekanizmaları ve yasal korumalar sayesinde çalışanlar güvenlik açıklarını bildirebildiği için birçok ihlal büyümeden önlenir.

Türkiye’de ise etik uyarıcı mekanizmalarının zayıflığı, sistemik bir sorun olarak karşımıza çıkıyor. Yasal koruma eksikliği ve kurum içi raporlama kanallarının güvenilir olmaması, potansiyel risklerin zamanında bildirilmesini engelliyor. Bu durum, küçük güvenlik açıklarının büyük güvenlik ihlallerine dönüşmesine zemin hazırlıyor.

Kurumsal Zafiyetler: Geç Kalan Önlemler

Sahte e-imza vakasının ortaya çıkması, kurumsal denetim mekanizmalarındaki boşlukları görünür kıldı. BTK ancak olaylar kamuoyuna yansıdıktan sonra, 14 Ocak 2025’te güvenlik süresi ve SMS bildirimi gibi elektronik sertifika başvuru sürecinde güvenlik önlemlerini devreye sokan Kurul kararını aldı. Üniversiteler soruşturmalara geç başladı. Bu gecikmeler, proaktif risk yönetimi yerine reaktif kriz yönetimi yapıldığını gösteriyor.

Kanuni Sorumluluk Rejiminin İhlali

5070 sayılı Kanun’un öngördüğü sorumluluk rejimi, sahte e-imza vakasında tamamen ihlal edilmiş durumda:

Birincisi, Madde 8’deki “taklit ve tahrifi önleme” yükümlülüğü sistematik olarak ihlal edilmiş. BTK’nın bu ihlali tespit edip faaliyet durdurma yetkisini kullanmaması, denetim mekanizmasının işlevsizliğini gösteriyor.

İkincisi, Madde 13’teki ters ispat yükü ve mutlak sorumluluk rejimi, ESHS’leri neredeyse sigortacı konumuna getiriyor. TÜRKTRUST’ın bayisinin verdiği 16 sahte sertifika için kusursuzluğunu ispat etmesi imkansız görünüyor.

Üçüncüsü, Madde 16-17’deki ceza hükümleri, ESHS çalışanlarının (bayiler dahil) işlediği suçları ağırlaştırıyor. 199 sanıklı dava, bu ağırlaştırılmış sorumluluk rejiminin somut uygulaması.

Dördüncüsü, zorunlu mali sorumluluk sigortası sistemi, mağdurların zararının tazminini garanti altına alması gerekirken, sigortaların bu büyüklükteki sistemik riski kapsayıp kapsamadığı belirsiz.

Bu dört katmanlı sorumluluk sistemi, teoride güçlü koruma sağlarken, pratikte BTK’nın denetim yetersizliği ve ESHS’lerin öz denetim eksikliği nedeniyle çökmüş durumda. Bu da bu işletmecilere yönelecek tazminat davalarında hukuki savunma imkanlarını oldukça daraltan bir nokta.

VII. BTK’NIN YAPISAL SORUNLARI

BTK’nın Yapısal Sorunları: Görev-Kapasite Uyumsuzluğu

BTK’nın teknoloji karşısındaki tutucu yaklaşımı, somut örneklerle kendini gösteriyor. Alçak yörünge uydu hizmetleri bunun en çarpıcı örneği: Starlink ve benzeri LEO teknolojileri 60’tan fazla ülkede aktif kullanımdayken, BTK yıllardır “güvenlik riski” gerekçesiyle bu yeniliği engelliyor. NATO müttefiklerimiz bu teknolojiyi kritik altyapılarında kullanırken, bizim hâlâ risk değerlendirmesi yapmamız dijital çağın gerisinde kaldığımızı gösteriyor.

Kurumun hukuki meşruiyet krizi daha da endişe verici. Danıştay, BTK’nın idari yaptırımlar yönetmeliğinin dört maddesini iptal etti. Buna rağmen BTK aynı uygulamalara devam ediyor. Üstelik iptal edilen maddeler hâlâ e-Mevzuat sisteminde görünüyor. Bu durum hem hukuki belirsizlik yaratıyor hem de BTK’nın yargı kararlarına saygısını sorgulatıyor. Düzenleyici otoritenin yargı kararlarını görmezden gelmesi, demokratik yönetişim açısından kabul edilemez.

BTK’nın “her teknoloji risk” zihniyeti, ülkenin dijital dönüşümünü yavaşlatan temel faktörlerden biri haline gelmiş durumda. E-SIM teknolojisinden 5G özel ağlara, uydu internetten yeni nesil iletişim protokollerine kadar pek çok alanda ilk refleks hep yasaklama veya kısıtlama oluyor. Bu yaklaşım Türkiye’yi teknoloji üreticisi değil, sürekli ithalatçı konumunda tutuyor.

Siber güvenlik denetimlerinin 7545 sayılı Kanun ile BTK görevleri arasından çıkarılarak Cumhurbaşkanlığı bünyesinde oluşturulan Siber Güvenlik Başkanlığı’na devri, aslında BTK için yeniden yapılanma fırsatı sunuyor. Kurum, bu vesileyle sadece telekomünikasyon altyapısına odaklanarak daha etkin bir düzenleyici olabilir. Ancak mevcut tutum, yetki alanını daraltmak yerine koruma refleksi gösteriyor.

VIII. ÇÖZÜM ÖNERİLERİ: DİJİTAL GÜVENLİK REFORMU

E-imza vakasının yarattığı kriz aynı zamanda Türkiye’nin dijital altyapısını temelden güçlendirme fırsatıdır. Krizi boşa harcamamak için acil eylemler, orta vadeli düzenleyici uyum ve uzun vadeli yapısal reformlar eşgüdümlü şekilde hayata geçirilmeli. Dijital egemenliğin yeniden kazanımı bu üç aşamanın başarılı uygulanmasına bağlı.

Güvenlik İncelemesi ve Sektörel Çeşitlendirme

Sahte e-imza vakası sonrası, sektörde kapsamlı güvenlik denetimi ihtiyacı ortaya çıktı. Tüm sertifika sağlayıcılarının güvenlik protokollerini gözden geçirmesi ve bağımsız denetim mekanizmalarını güçlendirmesi önem taşıyor.

Sektörel çeşitlendirme açısından, alternatif sertifika sağlayıcılarının kapasitelerini artırması ve pazarda daha dengeli bir yapı oluşturulması, sistemik risk yönetimi açısından değerlendirilmeli. Tek sağlayıcıya aşırı bağımlılık yerine, çoklu sağlayıcı modeli hem güvenlik hem de hizmet sürekliliği açısından daha sağlıklı olabilir.

Avukatlar için özel çözüm paketi hazırlanmalı. Barolar Birliği ile alternatif sağlayıcılar arasında acil durum anlaşması sağlanarak, UYAP kullanımında kesinti yaşanmamalı. Mesleki sorumluluk sigortalarının güncellenmesi ve yapısal risk kapsamı sağlanması gerekiyor.

Düzenleyici Uyum: AB Elektronik Kimlik ve Güven Hizmetleri + Ağ ve Bilgi Sistemleri Güvenliği Uygunluk Yol Haritası

Orta vadeli strateji AB standartlarına uyum olmalı. Elektronik kimlik ve güven hizmetleri 2.0 ve ağ ve bilgi sistemleri güvenliği 2 yönergelerinin gerekliliklerinin Türk mevzuatına aktarımı için 18 aylık yol haritası hazırlanmalı. Bu yol haritası şu unsurları içermeli:

• 5070 sayılı Elektronik İmza Kanunu’na 24 saat olay bildirimi zorunluluğu eklenmesi,
• KVKK ile eşgüdüm sağlanarak ikili bildirim tutarsızlığının giderilmesi,
• Güven hizmeti sağlayıcıları için yıllık şeffaflık raporu zorunluluğu getirilmesi,
• Sınır ötesi olay eşgüdümü için Avrupa Birliği Siber Güvenlik Ajansı (ENISA) benzeri sistem kurulması (Bu yapı Siber Güvenlik Başkanlığı bünyesinde oluşturulabilir).

Düzenleyici uyum sadece uygunluk değil, rekabet avantajı yaratma stratejisi olarak görülmeli. AB standartlarında sertifikalara sahip Türk şirketleri AB Dijital Tek Pazarında daha kolay erişim sağlayacak. Bu dijital ihracat fırsatı olarak değerlendirilmeli.

BTK Reformu: Siber Güvenlik → Başkanlık, Pazar Düzenlemesi → BTK

Uzun vadeli yapısal reform BTK’nın ikili rol problemini çözmeli. Siber güvenlik yetkilerinin Siber Güvenlik Başkanlığı’na devredilmesi ile BTK pazar düzenlemesine odaklanmalı. Bu endişelerin ayrılması şu faydaları sağlayacak:

BTK yenilik dostu politikalar geliştirebilecek, risk alma için kurumsal kapasite kazanacak. Siber Güvenlik Başkanlığı uzmanlaşmış yapısıyla güvenlik tehditlerile daha etkin karşılık verebilecek. Yenilik ile güvenlik dengesi kurumsal düzeyde daha sağlıklı kurulacak.

Alçak dünya yörüngesi uydu onay süreçlerinin hızlı yola alınması, 5G ve nesnelerin interneti yeniliği için düzenleyici deneme alanı kurulması, finans teknolojisi geliştirme için olanak veren düzenlemeler yazılması BTK’nın yeni görevi olmalı.

Şeffaflık Düzenekleri: Zorunlu Olay Bildirimi ve Yıllık Şeffaflık

Hesap verme kültürü yaratmak için şeffaflık düzenekleri zorunlu hale getirilmeli. Güven hizmeti sağlayıcılarının olay bildirimi, güvenlik denetim sonuçları ve risk değerlendirme raporlarını kamuya açıklama zorunluluğu getirilmeli.

Avrupa Birliği Siber Güvenlik Ajansı (ENISA) modeline benzer şekilde ulusal siber güvenlik olay veri tabanı kurulmalı. Bu veri tabanı kamu erişimi ile araştırmacıların ve sivil toplumun izleme yapabilmesini sağlamalı. Şeffaflık rekabet baskısı yaratarak pazardaki tüm oyuncuların güvenlik standartlarını yükseltecek.

Yıllık güven hizmetleri pazar raporu yayınlanmalı. Bu rapor pazar yoğunlaşması, güvenlik olayı istatistikleri, uluslararası karşılaştırma ve en iyi uygulama önerileri içermeli. Parlamento gözetimi sağlanarak demokratik hesap verme kurulmalı.

IX. SONUÇ: EGEMENLİK VEYA KOLONİLEŞME SEÇİMİ

Sahte e-imza vakası, basit bir güvenlik ihlalinden çok daha fazlası: Türkiye’nin dijital dönüşüm modelinin yapısal çelişkilerinin somut kanıtı, güven zincirini kıran bir ihlal. Bir yanda AB standartlarında dijital hizmetler sunma iddiası, diğer yanda 1990’lar düzeyinde denetim mekanizmaları. Bu çelişki sürdürülebilir değil.

Görünmeyen Maliyet: Güven Erozyonu

Vakanın ekonomik zararları hesaplanabilir, ancak asıl maliyet güven kaybında. Bu güven kaybı üç katmanlı bir krize dönüşüyor:

Uluslararası güven: Türk e-imzalarının AB ülkelerinde sorgulanmaya başlaması sadece teknik bir mesele değil. Almanya’daki bir müşteri “Bu e-imza gerçekten güvenli mi?” diye sorduğunda, Türk şirketi ne cevap verecek? “Evet, BTK denetliyor” dediğinde, karşı taraf “BTK Başkanı’nın e-imzası bile sahte çıkmadı mı?” diyebilir. Bu diyalog, milyarlarca euroluk ihracat potansiyelini riske atıyor.

İç güven: Daha kritik olan, vatandaşların kendi dijital altyapısına güven kaybı. E-devlet kullanan 60 milyon vatandaş, “Benim e-imzam da sahte olabilir mi?” endişesi taşıyor. Bu endişe, dijital dönüşümün toplumsal kabulünü tehdit ediyor. Güvensizlik virüsü yayıldığında, insanlar yeniden kağıda, kuyruğa, fiziksel işlemlere dönebilir.

Kurumlar arası güven: Belki de en tehlikeli olan, kurumların birbirine güvensizliği. Üniversiteler TÜRKTRUST’a, BTK sektöre, sektör BTK’ya güvenmiyor. Bu karşılıklı güvensizlik sarmalı, koordineli çözüm üretmeyi imkansız kılıyor.

Ortak Zemin: Güven Restorasyon

İşte tam da burada, politik kutuplaşmayı aşacak ortak zemin beliriyor: Dijital güven altyapısının yeniden inşası herkesin çıkarına. İktidar-muhalefet, kamu-özel, yerli-yabancı ayrımı yapmadan, herkes güvenli dijital altyapıya muhtaç.

İktidarı destekleyen işadamının Avrupa’daki sözleşmesi, muhalif avukatın UYAP başvurusu, apolitik öğrencinin diploması… Hepsi aynı güven zincirine bağlı. Bu güven zinciri kırıldığında, kaybedenler listesinde parti rozetine bakılmıyor.

Dijital güven, 21. yüzyılın sosyal sözleşmesi. Nasıl ki herkes temiz havaya, güvenli suya ihtiyaç duyuyorsa, herkes güvenli dijital kimliğe ihtiyaç duyuyor. Bu ihtiyaç, bizi ortak çözüm aramaya mecbur kılıyor.

Güven erozyonu sadece teknik değil, toplumsal bir kriz. Ama aynı zamanda, kutuplaşmış toplumumuzun üzerinde anlaşabileceği nadir konulardan biri: Kimse sahte e-imza istemez, herkes güvenli dijital kimlik ister.

Fırsat Penceresi: 2025-2027

AB’nin eIDAS 2.0 düzenlemesi 2026’da tam uygulamaya geçecek. Türkiye’nin bu standartlara uyum sağlaması için 18 aylık kritik pencere var. Bu süre kaçırılırsa, dijital hizmetlerde kalıcı ikinci lig konumu kaçınılmaz. Paradoks şu ki, sahte e-imza krizi bu uyum için gerekli siyasi iradeyi yaratabilir.

Yapısal Öğrenme mı, Yapısal Körlük mü?

5070 sayılı Kanun’un 13. maddesi ESHS’lere “kusursuzluğunu ispat” yükü getiriyor. TÜRKTRUST’ın 16 sahte sertifika için kusursuzluğunu ispat etmesi imkansız. Ancak BTK’nın denetim yetersizliği de ortada. Bu karşılıklı başarısızlık ya yapısal reforma ya da karşılıklı suçlamalarla zaman kaybına yol açacak.

Kritik Karar: Teknoloji İthalatçısı mı, Üreticisi mi?

Starlink yasağından sahte e-imza vakasına, BTK’nın “her yenilik risk” refleksi Türkiye’yi teknoloji ithalatçısı konumunda tutuyor. Oysa dijital egemenlik, risk almadan kazanılamaz. Seçim net: Ya kontrollü risk alıp teknoloji üreticisi olacağız ya da risk almayıp ebedi tüketici kalacağız.

2025’in Mirası

Bu vaka, 2025’te Türkiye’nin dijital tarihine kara leke olarak mı yoksa dönüşüm katalizörü olarak mı yazılacak? Cevap, önümüzdeki 6 ayda alınacak kararlarda gizli. Reform paketi yasalaşır, BTK yeniden yapılandırılır, ESHS’ler gerçek denetime tabi tutulursa, krizden güçlenerek çıkabiliriz.

Aksi halde, bir sonraki dijital güvenlik vakasında “keşke” demeye devam ederiz. Ve o zaman kaybedeceğimiz sadece dijital egemenlik değil, 21. yüzyılda var olma şansımız olur.

Bu analiz e-imza vakasının teknik, hukuki ve kurumsal boyutlarını inceleyerek, Türkiye’nin dijital altyapısının güçlendirilmesi için yol haritası sunmaktadır. Yazıda önerilen reform paketinin hayata geçirilmesi, Türkiye’nin dijital egemenlik kapasitesini artıracak ve gelecekteki güvenlik zafiyetlerini en aza indirecektir.

 

Yazının İlk Yayın Tarihi.  : 06.08.2025

Güncelleme Tarihi.          : 07.08.2025