e-İmza, KEP ve e-Tebligat: Hangisi Ne İşe Yarar?

e-imza kimliği ve iradeyi kanıtlar, KEP gönderinin içeriğini ve zamanını kanıtlar, e-tebligat ise resmî bildirimin size yapıldığını kanıtlar. Birincisi imza, ikincisi posta, üçüncüsü resmî tebliğdir.

Ayrımı akılda tutmanın kolay yolu, klasik karşılıklarını düşünmektir. e-imza, ıslak imzanın elektronik karşılığıdır. KEP, iadeli taahhütlü mektubun elektronik karşılığıdır. e-tebligat ise resmî kurumun kapınıza gönderdiği tebligat memurunun elektronik karşılığıdır — ve tıpkı onun gibi, siz kapıyı açmasanız da süreç işler.

Nitelikli elektronik imza, kanunen ıslak imzayla aynı hukuki sonucu doğurur. Belgenin kim tarafından imzalandığını ve imzadan sonra değiştirilmediğini kanıtlar. Yetkili hizmet sağlayıcılardan başvuruyla alınır.

e-imzanın iki biçimi yaygındır: taşınabilir bir kart/token ile kullanılan nitelikli elektronik imza ve operatör üzerinden telefonla kullanılan mobil imza. İkisi de aynı hukuki güce sahiptir; fark kullanım kolaylığındadır. Kart her bilgisayarda sürücü ve okuyucu ister; mobil imza telefonunuzla çalışır ama operatöre bağlıdır.

1. 01

   Hizmet sağlayıcı seçin

   Elektronik sertifika hizmet sağlayıcıları yetkilendirilmiş kuruluşlardır. Fiyat kadar yenileme kolaylığına, destek hattına ve kullandığınız uygulamalarla uyumluluğuna bakın.

2. 02

   Kimin adına alınacağını belirleyin

   e-imza kişiye aittir, şirkete değil. Şirket adına işlem yapacak kişi kimse onun adına alınır ve o kişi ayrıldığında yeni kişi için yenisi gerekir. Bu yüzden imza yetkisiyle birlikte düşünülmelidir.

3. 03

   Başvuru ve kimlik doğrulama

   Kimlik doğrulaması yapılır ve sertifika üretilir. Süre sağlayıcıya göre değişir; acil bir işlem için son güne bırakmayın.

4. 04

   Kurulum ve deneme

   Aldıktan sonra gerçek bir belgeyi imzalayıp deneyin. İlk kullanım genellikle sürücü ve tarayıcı ayarı gerektirir; bunu ihtiyaç anında değil önceden çözün.

5. 05

   Yenileme tarihini takvime yazın

   Sertifikaların geçerlilik süresi vardır. Süresi dolan e-imza ile işlem yapılamaz ve yenileme anlık değildir — beyanname ya da ihale gününde fark etmek pahalı bir sürprizdir.

Kayıtlı Elektronik Posta, gönderinin içeriğini, tarafları ve zamanını delil niteliğinde kayıt altına alır. Normal e-postadan farkı budur: gönderdim demeniz yeterli değildir, sistem gönderdiğinizi ve ulaştığını belgeler.

Normal e-posta, bir uyuşmazlıkta tek başına güçlü bir delil değildir: tarih değiştirilebilir, gönderilmediği iddia edilebilir, ulaşmadığı söylenebilir. KEP bunların hepsini ortadan kaldırır; gönderi ve alındı kayıtları sistem tarafından tutulur ve taraflarca değiştirilemez.

• İhtarname ve ihbarname gönderiminde noter masrafını azaltan bir alternatiftir.
• Sözleşme feshi, temerrüt bildirimi ve alacak talepleri gibi süreye bağlı yazışmalarda zamanı kanıtlar.
• Kurumsal alıcılar ve kamu kurumları bazı yazışmalarda KEP üzerinden iletim isteyebilir.
• KEP'ten KEP'e gönderilen yazı hukuken güçlüdür; KEP'ten normal e-postaya gönderim aynı sonucu doğurmayabilir.
• Gönderi ve alındı kayıtları saklanır; ihtiyaç hâlinde delil olarak sunulabilir.

e-Tebligat, resmî kurumların size yaptığı bildirimlerin elektronik kutusudur. Kritik nokta şudur: bildirim, siz açmasanız bile kanunda tanımlı sürenin sonunda tebliğ edilmiş sayılır ve o andan itibaren yasal süreler işlemeye başlar.

Burası, bu yazının en önemli bölümü. e-imza ya da KEP'i kullanmamak size bir şey kaybettirmez — sadece o kolaylıktan yararlanmazsınız. Ama e-tebligat kutusuna bakmamak doğrudan hak kaybı üretir: itiraz süresi, ödeme süresi ya da savunma süresi, siz haberdar olmasanız bile işlemeye başlar ve dolar.

GÜN 0   Kurum bildirimi gönderir
        → kutunuza düşer

GÜN 0-N Siz açarsanız: o an tebliğ edilmiş olur
        Açmazsanız: sayaç işlemeye devam eder

GÜN N   Kanunda tanımlı süre dolar
        → AÇILMAMIŞ OLSA DA TEBLİĞ SAYILIR

GÜN N+  Yasal süreler bu tarihten işler:
          · itiraz süresi
          · ödeme süresi
          · savunma süresi

→ "Haberim yoktu" geçerli bir savunma değildir.
→ N değeri mevzuatla belirlenir; güncel hâlini
  ilgili kurumdan doğrulayın.

1. 01

   Sorumlu kişiyi yazılı olarak belirleyin

   Kutuya kim bakacak? "Herkes bakabilir" demek, kimsenin bakmaması demektir. Tek bir isim yazın ve o kişi izinliyken yerine bakacak ikinci ismi de yazın.

2. 02

   Bildirimleri günlük okunan bir adrese yönlendirin

   Sistem, yeni bildirim geldiğinde haber verebilir. Bu haberin gittiği adres, gerçekten günlük bakılan kurumsal bir kutu olmalı — kişisel ve kullanılmayan bir adres değil.

3. 03

   Takvime tekrar eden bir kontrol koyun

   Haftada bir, sabit bir gün ve saat. Bildirim uyarısına güvenmeyin; uyarı e-postası istenmeyen klasörüne düşebilir ya da adres değişmiş olabilir.

4. 04

   Giriş bilgilerini ulaşılabilir yerde tutun

   Şifre tek kişide ve kâğıtta olmasın. Şirketin parola yöneticisinde, yetkili iki kişinin erişebildiği biçimde tutun. Ayrıntısı için siber güvenlik rehberimize bakın.

5. 05

   Adres ve yetkili değişikliklerini güncelleyin

   Yetkili kişi ayrıldığında ya da iletişim bilgileri değiştiğinde sistemdeki kayıtları güncelleyin. Eski bir adrese giden uyarı, uyarı sayılmaz.

Her belge için e-imza gerekmez, her yazı için KEP gerekmez. Belirleyici soru şudur: bu belgede kim imzaladığı mı önemli, ne zaman gittiği mi, yoksa ikisi birden mi?

Tabloyu okuma biçimi şu: kimliğin kanıtı gerekiyorsa e-imza, zamanın ve içeriğin kanıtı gerekiyorsa KEP. Bazı durumlarda ikisi birlikte kullanılır — e-imzalı bir belgeyi KEP ile göndermek, hem kimin imzaladığını hem ne zaman ulaştığını kanıtlar ve uyuşmazlıkta en güçlü kombinasyondur.

Bu üç aracın işletmede karşılığı basit bir tablodur: hangi hesap var, kimin adına, şifresi nerede, kim takip ediyor ve ne zaman yenilenecek. Bu tablo yoksa araçlar var ama düzen yoktur.

HESAP / ARAÇ        KİMİN ADINA   ERİŞİM   TAKİP   YENİLEME
──────────────────────────────────────────────────────────
e-İmza (yönetici)   <kişi>        parola    —      <tarih>
Mobil imza          <kişi>        telefon   —      <tarih>
KEP adresi          <şirket>      <kişi>   günlük  <tarih>
e-Tebligat          <şirket>      <kişi>   haftalık   —
e-Fatura portalı    <şirket>      <kişi>     —     <tarih>
Vergi dairesi ekranı <şirket>     <kişi>     —       —

→ Her satırda BİR isim olsun; "herkes" yazan satır
  kimsenin bakmadığı satırdır.
→ Yedek kişi de yazılsın; izin ve ayrılık kaçınılmaz.

• Şifreleri kâğıtta ve tek kişide tutmayın; kurumsal parola yöneticisi kullanın.
• Yetkili kişi ayrıldığında tüm erişimleri aynı gün gözden geçirin.
• Yenileme tarihlerini ortak takvime tekrar eden hatırlatıcı olarak koyun.
• Mali müşavirinizin hangi hesaplara eriştiğini bilin ve bunu yazılı tutun.
• Yeni bir yükümlülük doğduğunda (yeni portal, yeni sistem) bu tabloya satır ekleyin.
• Tabloyu yılda bir gözden geçirin; kullanılmayan hesapları kapatın.

Hataların neredeyse tamamı kurulum anında değil, kurulumdan sonra ilgilenilmemesinden doğar: kimin bakacağının belirsiz kalması, yenileme tarihlerinin kaçması ve şifrelerin tek kişide kalması.

• e-Tebligat kutusuna kimsenin bakmaması — bu listedeki en pahalı madde, doğrudan hak kaybı üretir.
• KEP ile e-tebligatı aynı şey sanmak — birine bakmak diğerini takip ettiğiniz anlamına gelmez.
• e-imza şifresini muhasebeciyle ya da çalışanla paylaşmak — o kişi sizin adınıza her belgeyi imzalayabilir hâle gelir.
• Sertifika yenileme tarihini takip etmemek — beyanname gününde süresi dolmuş e-imza en klasik krizdir.
• Bildirim uyarılarını kullanılmayan bir adrese yönlendirmek — uyarı gider, kimse görmez.
• Giriş bilgilerini tek kişide ve kâğıtta tutmak — o kişi izinliyken ya da ayrıldığında erişim kaybolur.
• Yetkili değişikliğini sistemlere yansıtmamak — eski yetkiliye giden bildirim size ulaşmaz.
• Her yazışmayı KEP'le göndermek — gereksiz maliyet; KEP delil gereken yazışmalar içindir.
• e-imzayı şirket adına alındı sanmak — e-imza kişiye aittir, kişi ayrılınca yenisi gerekir.
• "Muhasebecim bakıyordur" varsayımı — yazılı değilse bakmıyor olabilir.

Bu maddelerin ortak yanı, hepsinin haftada beş dakikalık bir alışkanlıkla önlenebilir olmasıdır. Sabit bir gün belirleyip e-tebligat ve KEP kutularını açmak, yenileme tarihlerini takvime koymak ve erişim tablosunu güncel tutmak — üçü birlikte, bu alandaki risklerin neredeyse tamamını ortadan kaldırır.