Elektronik İmza: İzlenebilirlik ve İç Denetim 2026'da

Elektronik belgeler arşivlenen belge akışlarının çoğalması, işletmeleri sıklıkla küçümsenen bir riske maruz bırakmaktadır: bir uyuşmazlık veya denetim durumunda, bir imzayı çevreleyen olayların tam zincirini yeniden yapılandırmanın imkansızlığı. Oysa bir elektronik imzanın tam izlenebilirliği basit bir teknik konfor değildir — bu yasal bir zorunluluk, iç denetimin bir kaldıracı ve hukuk ve ticari mahkemeler önünde belirleyici bir argümandır. Bu makale, eIDAS çerçevesinde öngörülen izlenebilirlik mekanizmalarını, bunların sağlam bir iç denetim cihazında nasıl kullanılacağını, olay günlüklerinin saklanmasının en iyi uygulamalarını ve uyumlu bir çözümü seçme kriterlerini incelemektedir.

Elektronik İmzada İzlenebilirlik Nedir?

Tam Denetim İzinin Bileşenleri

Elektronik olarak imzalanan bir belgeyle ilişkili bir denetim izi (veya audit trail), basit bir zaman damgasından çok daha fazlasıdır. Belgenin yayınlanmasından imzanın arşivlenmesine kadar, her danışma, reddetme, devretme veya ara doğrulama dahil olmak üzere belgelenen tüm olayları kapsar. Somut olarak, güvenilir bir olay günlüğü aşağıdakileri yakalar:

• İmzalayanın Doğrulanan Kimliği: Kullanılan kimlik doğrulama yöntemi (OTP SMS, nitelikli sertifika, eIDAS dijital kimlik), IP adresi, cihaz parmak izi (device fingerprint).

• Nitelikli Zaman Damgası: Akredite bir Güven Hizmetleri Sağlayıcısı (GHS) tarafından sağlanan, ETSI EN 319 421 standardına göre her eylemi tartışılmaz bir şekilde zamanda sabitleyen.

• Belgenin Bütünlüğü: Kriptografik karma (SHA-256 veya SHA-3) her etkileşimden önce ve sonra hesaplanarak, herhangi bir değişikliği tespit etmeyi sağlar.

• Bağlamsal Meta Veriler: Tarayıcı, dil, ekran çözünürlüğü, GDPR onayı ile isteğe bağlı coğrafi konum, saat dilimi.

Bu granülarite, günlüğün Fransız ve Avrupa mahkemeleri önünde kabul edilebilir bir kanıt oluşturması için vazgeçilmez. Elektronik imzanın yasal temelleri hakkında daha fazla bilgi için lütfen elektronik imza hakkında kapsamlı kılavuzumuzu inceleyiniz.

İmza Düzeyleri ve İlişkili İzlenebilirlik Düzeyi

eIDAS yönetmeliği üç imza düzeyini — basit (SES), ileri (AdES) ve nitelikli (QES) — ayırt eder ve her biri farklı bir izlenebilirlik derecesi içerir:

| Düzey | Gerekli Minimum İzlenebilirlik | Kanıtlama Değeri | |---|---|---| | Basit (SES) | Zaman damgası, IP, e-posta | Basit varsayım | | İleri (AdES) | Güçlü kimlik doğrulama, sertifika, tam denetim izi | Güçlü (ispat yükünün ters çevrilmesi zor) | | Nitelikli (QES) | Nitelikli sertifika QSCD + Nitelikli TSA | El yazısı imzaya eşdeğer |

Düzeyin seçimi, her belge akışına özgü risk analizi tarafından yönlendirilmelidir. Elektronik imza çözümlerinin karşılaştırması, bağlamınıza uygun çözümü belirlemenize yardımcı olur.

İzlenebilirliğin İç Denetim Cihazına Entegrasyonu

Kritik Belge Akışlarını Haritalandırma

Bir imza çözümünü dağıtmadan önce, iç denetim ekibi tüm hassas belge akışlarını haritalandırmalıdır: ticari sözleşmeler, İK avenans, yönetim kurulu tutanakları, virman emirleri, gizlilik taahhütleri (NDA). Her akış için şunları tanımlamak gerekir:

• Gerekli imza düzeyi ilişkili yasal değer ve finansal risk doğrultusunda.

• İlgili aktörler ve bunların rolleri (başlatıcı, doğrulayıcı, imzalayan, arşivci).

• Günlüklerin saklanma süresi, geçerli hüküm süresi sınırlamaları ile uyumlu (ticari konular için 5 yıl, tescilli belgeler için 10 yıl).

• Denetim günlüklerine erişim koşulları, işlevlerin ayrılmasına dikkat ederek.

Bu haritalama, elektronik imza ile ilgili iç kontrol referans kaynağının temelini oluşturur. Bu, işletmede elektronik imza yönetişiminin daha geniş bir yaklaşımının doğal bir parçasıdır.

Denetim Görevlerinde Olay Günlüklerini Kullanma

İç denetim görevinde, elektronik imza platformu tarafından oluşturulan olay günlükleri şunları sağlar:

• Yetki delegasyonlarının uyumluluğunun doğrulanması: Kim neyi imzaladı, hangi yetki düzeyiyle, ne zaman?

• Zamansal anormalliklerin tespit edilmesi: Normal çalışma saatleri dışında imzalanan bir sözleşme, alışılmadık bir yerden veya anormal kısa bir zaman diliminde, iç dolandırıcılığı ortaya çıkarabilir.

• Beyanların doğrulanması: İmzalayanın imza koymayı reddettikleri bir anlaşmazlık durumunda, denetim günlüğü teknik kanıt sağlar.

• Uyumluluğu destekleyen raporlar: GDPR (veri işleme kaydı), ISO 27001 (erişim izlenebilirliği), sektöre özgü yönergeler (DSP2, sigorta sektörü, sağlık).

Bir dikkat noktası: olay günlüklerinin kendileri bütün ve değiştirilmez olmalıdır. İyi bir uygulama, bunları düzenli olarak zaman damgasıyla işaretlemek ve bunları üretim sisteminden ayrı bir dijital kasada saklamaktır; ideally bir arşivleme sistemi yoluyla kanıtlama değeri (AEVP) NF Z 42-013 standardına uygun.

API'ler Aracılığıyla Denetim Raporlamayı Otomatikleştirme

Modern elektronik imza platformları, izlenebilirlik verilerini otomatik olarak çıkartmaya ve işletmenin GRC araçlarına (Governance, Risk & Compliance) enjekte etmeye izin veren REST API'ler gösterir (ServiceNow, SAP GRC, IBM OpenPages, vb.). Bu otomasyon, iç denetçilerin yükünü önemli ölçüde azaltır ve kanıtların manuel konsolidasyonu sırasında insan hatasının riskini ortadan kaldırır. Certyneo'nun elektronik imza ROI hesaplayıcısı, bu entegrasyon ile ilişkili ölçülebilir üretkenlik kazançlarını göstermektedir.

İmza Kanıtlarının Saklanması ve Arşivlenmesi

Yasal Saklama Süreleri ve Zaman Aşımı

İmza kanıtlarının saklanması çeşitli yasal rejimlere uymalıdır:

• Ticari hukuk (art. L. 123-22 C. com.): Muhasebe belgeleri ve destekleyici belgeler, mali yılın kapanmasından itibaren 10 yıl saklanmalıdır.

• Genel hukuk zaman aşımı (art. 2224 C. civ.): Kişisel veya mallı davalar için 5 yıl, unvan sahibinin gerçekleri bildiği veya bilmesi gerektiği günden başlayarak.

• Çalışma hukuku: Maaş bordroları 50 yıl veya çalışanın 75 yaşına kadar saklanmalıdır.

• Sağlık verileri: Son ziyaretten itibaren 20 yıl (art. R. 1112-7 CSP).

Bu süreler, arşivleme çözümünün uzun vadede format okunabilirliğini garantilemesi gerektirdiğini zorunlu kılar (PDF/A-3, XML imzaları için XAdES-LTA) ve şifre çözme anahtarlarına erişilebilirlik.

Uzun Ömür İçin İmza Formatları

XAdES-LT ve XAdES-LTA profilleri (Long Term Archival), ETSI EN 319 132 standardı tarafından tanımlanan, imzalı dosyaya sonradan doğrulama için gerekli tüm bilgileri yerleştirirler: tam sertifika zinciri, OCSP veya CRL yanıtları, arşiv zaman damgası. Bu dokümanter öz yeterlilik kritiktir çünkü sertifika yetkililerinin sertifikaları sınırlı bir ömürlüdür (1 ila 3 yıl) ve PKI altyapıları gelişir. Bu mekanizm olmadan, bugün geçerli olan bir imza beş yıl içinde teknik olarak doğrulanamaz hale gelebilir ve baştan sona kanıtlama değerini tehlikeye atabilir.

İzlenebilirlik Olgunluk Göstergeleri: Duruşunuzu Değerlendirme

Beş Düzeyden Oluşan Olgunluk Modeli

Denetim müdürlerine ve uyumluluğu sorumlu kişilere kuruluşlarını konumlandırmalarına yardımcı olmak için, dereceli bir olgunluk modeli kullanılması faydalıdır:

• Düzey 1 — Yok: E-posta yoluyla imzalar, resmi denetim izi yok.

• Düzey 2 — Temel: Temel zaman damgası, sertifika yok, yapılandırılmamış günlükler.

• Düzey 3 — Tanımlanmış: eIDAS uyumlu SaaS çözümü, dışa aktarılabilir günlükler, 5 yıl saklama.

• Düzey 4 — Yönetilen: GRC entegrasyonu, anormalliklerde otomatik uyarılar, NF Z 42-013 uyumlu AEVP.

• Düzey 5 — Optimize: Gerçek zamanlı denetim izi, anormallik algılamada yapay zeka, otomatik GDPR raporlaması, yıllık referans kaynağı gözden geçirmesi.

Fransız KOBİ'lerin çoğunluğu Adobe'nin 2025 yılı State of Digital Trust raporuna göre düzey 2 ile 3 arasında bulunmaktadır. CAC 40'taki büyük şirketler, muhasebeci ve sektör düzenleyicilerinin gerekliliklerine göre 4. düzeye doğru eğilim göstermektedir.

İzlenebilir ve Denetlenebilir Bir Çözümü Seçme Kriterleri

Yeni bir imza platformasını seçerken veya geçirirken, izlenebilirlik kriterleri ergonomi veya fiyat kadar önemli olmalıdır. Sağlayıcıya sorulacak temel sorular:

• Denetim günlüğü değiştirilmezlik ile korunuyor mu (editör tarafından bile değiştirilme koruması)?

• Zaman damgası bir nitelikli TSA tarafından mı sağlanıyor (Trust List) eIDAS listesinde kayıtlı?

• İzlenebilirlik verileri Avrupa'da barındırılıyor mu (egemenlik, GDPR)?

• Günlükler açık formatlar cinsinden dışa aktarılabilir mi (JSON, XML, CSV) tescilli bağımlılık olmaksızın?

• Audit API mevcut GRC araçlarıyla entegrasyon sağlayan var mı?

• Sağlayıcı kendisi bir SOC 2 Type II audit veya ISO 27001 sertifikalı mı?

Çözümü değiştirmeyi düşünüyorsanız, DocuSign veya YouSign'dan Certyneo'ya geçiş rehberi mevcut denetim izlerinin devamlılığını belge kırılması olmadan koruma adımlarını detaylandırmaktadır.

Elektronik İmza İzlenebilirliğine Uygulanabilir Yasal Çerçeve

Medeni Kanun ve Kanıtlama Değeri

Madde 1366 Code civil kurucu ilkeyi ortaya koymaktadır: « Elektronik yazı kağıt ortamındaki yazıya eşit kanıtlama gücüne sahiptir; bununla birlikte, çıkmasından emin olan kişinin düzgün bir şekilde tanımlanması ve yazının bütünlüğünü garantileme niteliğinde koşullarda kurulması ve saklanması gerekir. » Madde 1367 elektronik imzanın « onun bağlı olduğu işlemle bağlantısını garantileyen güvenilir bir kimlik tanıma prosedürünün kullanılması » olduğunu açıklar. Bu iki madde, izlenebilirlik ve bütünlük elektronik kanıtın kabulü için sine qua non koşulları yapmaktadır.

eIDAS n° 910/2014 Yönetmeliği ve eIDAS 2.0

eIDAS n° 910/2014 Avrupa yönetmeliği, Avrupa Birliği'nde elektronik imzalar için yasal çerçeveyi belirlemektedir. Madde 25 nitelikli elektronik imzanın (QES) tüm üye devletlerde el yazısı imzaya eşdeğer yasal etkisini sağlamaktadır. Maddeler 26 (ileri imza) ve 27 (sınır ötesi tanıma) kimlik doğrulama ve bütünlük üzerinde doğrudan izlenebilirlik yükümlülüklerine çevrilebilecek kesin teknik gereklilikler dayatmaktadır. eIDAS 2.0 yönetmeliği (Avrupa Yönetmeliği 2024/1183, 20 Mayıs 2024'te yürürlüğe girdi) bu gereklilikler güçlendirerek Avrupa dijital kimlik cüzdan (EUDIW) entegre ederek ve Nitelikli Güven Hizmetleri Sağlayıcılarına yükümlülükleri genişleterek.

GDPR n° 2016/679 ve İzlenebilirlik Verileri

Denetim günlükleri kişisel veriler içerir (IP adresleri, imzalayanların kimlikleri, davranışsal meta veriler). Böylece GDPR'ye tabi bir kişisel veri işleme oluştururlar. Ana yükümlülükler:

• Yasal Temel: Meşru menfaat (art. 6.1.f) veya yasal yükümlülük (art. 6.1.c), veri işleme kaydında belgelenmelidir.

• Minimizasyon: Yalnızca kanıtlama amacı için kesinlikle gerekli verileri toplayın.

• Saklama Süresi: Geçerli zaman aşımı sürelerine sınırlı, süresinin sonunda otomatik silinmelidir.

• Güvenlik: Dinlenirken ve geçişte günlüklerin şifrelenmesi, kesin erişim kontrolü (art. 32).

• AB Dışı Transferler: Yeterli garantiler olmaksızın (standart sözleşme hükümleri, adekvalık kararı) yasaklanmış.

ETSI Normları ve Kanıt Değeri Arşivleme

ETSI EN 319 132 (XAdES), ETSI EN 319 122 (CAdES) ve ETSI EN 319 102 (oluşturma ve doğrulama prosedürleri) normları, uzun ömür imza formatlarının teknik gerekliliklerini tanımlar. Fransız normu NF Z 42-013 kanıt değeri elektronik arşivleme sistemlerini (SAEVP) yönetir. Denetim günlüklerinin uzun vadede tartışılmaz kanıtlar oluşturmasını isteyen kuruluşlar, sağlayıcısı veya iç SAE'sinin bu referanslara uyumlu olmasını sağlamalıdır.

NIS 2 ve Güven Altyapısının Esnekliği

NIS 2 yönergesi (Fransız yasası n° 2024-659 ile 9 Temmuz 2024'te yürürlüğe girdi) gerekli hizmetler ve önemli kuruluşlar için operatörler elektronik imza için kullanılan güven altyapısını açıkça içeren risk yönetimi ve olay bildirimi yükümlülükleri dayatmaktadır. GHS'nin izlenebilirlik sisteminin başarısızlığı 24 saat içinde ANSSI'ye bildirilebilecek bir olayı oluşturabilir.

Kullanım Senaryoları: İzlenebilirlik Eylemde

Senaryo 1 — Orta Ölçekli Endüstriyel Grup ve Yıllık 1.200 Tedarikçi Sözleşmesi

Yaklaşık 3.500 çalışan ve Fransa'daki altı ayet ile Orta Avrupa'daki iki yerde dağılmış orta ölçekli bir endüstriyel grup, her yıl 1.200'den fazla tedarikçi sözleşmesi yönetir (çerçeve siparişler, gizlilik anlaşmaları, fiyat değişiklikleri). Elektronik imza çözümü ve entegre denetim izi uygulanmasından önce, satın alma servisi imzalı sözleşmeleri sürüm kontrolü veya olay günlüğü olmayan paylaşılan ağ dizininde saklıyordu. Kurumsal bir hissedarın talep ettiği dış denetim tarafından yürütülen denetim sırasında, denetçi incelenen sözleşmelerin % 23'ünün doğrulama tarihçesini yeniden yapılandıramadı: imzalayanın imza anında gerekli yetki devri yetkisine sahip olduğunu kanıtlamak imkansızdı.

Nitelikli bir TSA tarafından horodatlı değiştirilmez denetim izi günlükleri ile bir ileri imza platformunun dağıtılmasından sonra, grup artık her sözleşme için bir tıkla indirilebilir denetim izi PDF raporu sağlamaktadır. Sonraki denetim (18 ay sonra), doğrulama zincirlerinin yeniden yapılandırma oranı % 100'e çıkmış ve denetim ekibinin belge kanıtı toplaması için harcadığı zaman % 65 azalmıştır.

Senaryo 2 — 40 Danışmandan Oluşan Yönetim Danışmanlık Firmı GDPR Müşteri Gerekliliklerine Tabi

Büyük işletmelerin finansal direktörlüğünü destekleyen bir danışmanlık firması, müşterilerinin yasal direktörlüğü tarafından düzenli olarak denetlenir ve görev mektupları ile gizlilik anlaşmalarının yetkili kişiler tarafından imzalandığının kanıtını talep eder. Firma önceden e-posta yoluyla basit imza kullanıyordu (ekran görüntüsü + PDF), sağlam kanıtlama değeri olmadan.

Belgelerin en hassasları için nitelikli elektronik imza (QES) ve operasyonel taahhütler için ileri imza (AdES) çözümüne geçerek, firma artık müşterilerine standartlaştırılmış bir kanıt paketi sağlayabilir: imza sertifikası, denetim izi raporu, nitelikli zaman damgası ve kimlik doğrulama meta verileri. Bu paket, belge izlenebilirliğinin açık seçim kriteri olduğu iki RFP kazanılmasını sağlayarak, ilk yılda tahmini 180.000 € ek ciro temsil etmiştir.

Senaryo 3 — Sayı Mahkemesi'nin Kontrolü Karşısında Yaklaşık 1.100 Yatak Hastane Kompleksi

Birden fazla kurum yönetimi yapan kamu hastanesi kompleksi, bölgesel sayı mahkemesi tarafından düzenli kontrollere tabi tutulur. Elektronik olarak imzalanan sözleşme belgeleri, denetim izi bütün şekliyle çok kısa sürelerde (çağrı durumunda 48-72 saat) sunulabilmelidir.

Kuruluş, NF Z 42-013 standardına uygun bir kanıt değeri arşivleme mimarisi (AEVP) kurmuş ve bu öğeyi imza platformuyla API'ler aracılığıyla bağlamıştır. İmzalanan her belge, ilişkili olay günlüğü ile otomatik olarak SAE'ye yüklenmiştir. Üç yılı kapsayan 340 kamu marketi imzasını içeren bir denetim sırasında, tüm destekleyici belgeler 4 saatten az içinde sunulabilmiş ve önceki denetimde iki hafta gerekmiştir. Rapor hakim açıkça izlenebilirlik cihazının kalitesini özet raporunda belirtmiştir.

Sonuç

Elektronik imzanın tam izlenebilirliği artık büyük yapılar için ayrılmış bir seçenek değildir: bu yasal bir zorunluluk, kendi başına tam bir iç denetim aracı ve ihraç talepleri ve due diligence sırasında farklılaştırma faktörüdür. ETSI normlarına uyumlu imza formatlarını, nitelikli zaman damgasını, kanıt değeri arşivlemesini ve GRC araçlarınız ile API entegrasyonunu birleştirerek, her imzayı herhangi bir denetim veya anlaşmazlık sırasında tartışılmaz ve hemen kullanılabilir kanıta dönüştürürsünüz.

Certyneo başından itibaren bu gereksinimler karşılamak için tasarlanmıştır: değiştirilmez denetim günlükleri, Avrupa nitelikli TSA, egemen barındırma ve belgelenmiş entegrasyon API. Demateryalizasyon yaklaşımınızı başlatıyor olsanız veya mevcut cihazınızın olgunluğunu güçlendirmeyi arıyorsanız, ekiplerimiz size eşlik etmeye hazırdır. certyneo.com/contact adresinde kişiselleştirilmiş bir demo talep edin ve belge izlenebilirliğinizi bugünden nasıl yapılandıracağınızı keşfedin.