SES, AES, QES: Dijital İmza Seviyeleri Arasındaki Farklar (2026 Rehber)
“Dijital imza”nın tek bir türü yoktur. Avrupa Birliği’nin eIDAS düzenlemesi imzaları üç güvence seviyesine ayırır: Basit (SES), Gelişmiş (AES) ve Nitelikli (QES). Türk hukukunda da benzer bir ayrım vardır; özellikle Nitelikli Elektronik İmza (NES), 5070 sayılı Kanun’da “güvenli elektronik imza” olarak tanımlanır. Hangi seviyenin gerektiği; işlemin riskine, mevzuata ve ispat ihtiyacına bağlıdır.
SES: Basit Elektronik İmza
Tanım: İmzalama niyetini gösteren en temel elektronik biçim. Kimlik doğrulama, sertifika veya değişiklik tespiti şartı içermez.
Örnekler: Ekranda parmakla/fareyle çizilen el yazısı imza görseli, yazılan ad, “Kabul ediyorum” kutusu.
Hukuki durum: Geçerlidir ancak ispat gücü olaya göre değerlendirilir. Türk hukukunda HMK m.199 kapsamında belge niteliği taşır; delil değeri somut olaya göre takdir edilir.
Tipik kullanım: Düşük riskli onaylar, kullanım koşulları kabulü, iç süreçler, basit sözleşmeler.
AES: Gelişmiş Elektronik İmza
Tanım: eIDAS Art.26’ya göre dört şartı sağlayan imza:
- İmzayı yalnızca imzalayana bağlar,
- İmzalayanı kimliklendirebilir,
- İmzalayanın kontrolündeki verilerle oluşturulur,
- Sonradan yapılan değişiklik tespit edilebilir.
Teknik: Kimlik doğrulama (örneğin telefon OTP + kimlik doğrulama) imzayı belgeye kriptografik olarak bağlar; belge sonradan değiştirilirse doğrulama başarısız olur.
Tipik kullanım: İş sözleşmeleri, gizlilik sözleşmeleri (NDA), sigorta başvuruları, ticari anlaşmalar.
QES / NES: Nitelikli Elektronik İmza
Tanım: En yüksek güvence seviyesi. İki ek şart gerektirir:
- Nitelikli imza oluşturma aracı (QSCD), akıllı kart, SIM veya USB token gibi, imza anahtarını koruyan donanım,
- Yetkili bir hizmet sağlayıcıdan (Türkiye’de ESHS, AB’de QTSP) alınan nitelikli sertifika.
Hukuki durum: AB’de eIDAS Art.25 uyarınca elle atılmış ıslak imza ile aynı hukuki sonucu doğurur. Türkiye’de 5070 sayılı Kanun m.5, güvenli elektronik imzayı elle atılmış imzayla aynı ispat gücünde sayar (HMK m.205/2, kesin delil).
Tipik kullanım: Mevzuatın nitelikli imza zorunlu kıldığı işlemler, resmi başvurular, yüksek riskli sözleşmeler.
Karşılaştırma
| Ölçüt | SES | AES | QES / NES |
|---|---|---|---|
| Kimlik doğrulama | Yok/asgari | Var (güçlü) | Var (ESHS kimlik tespiti) |
| Değişiklik tespiti | Yok | Var | Var |
| Donanım gereği | Yok | Yok | QSCD (USB token vb.) |
| Hukuki güç (TR) | Takdiri delil | Takdiri delil (güçlü) | Güvenli e-imza, kesin delil |
| Uygulama eforu | En az | Orta | Yüksek |
İmzala.org bu tabloda nerede?
- Varsayılan akış: SES. Kullanıcı imza ekranında imzasını çizer; bu imza, işlem kaydı ve TÜBİTAK zaman damgası ile bütünlük altına alınır (sonradan yapılan değişiklik doğrulamada ortaya çıkar).
- Kimlik doğrulama (telefon OTP + T.C. Kimlik/NVI) etkinleştirildiğinde, akış eIDAS Art.26’daki dört şartı karşılamayı amaçlayan Gelişmiş (AES) seviyesine uygun hâle gelir. Seviyeyi siz manuel seçmezsiniz; yaptığınız doğrulama adımlarına göre sistem belirler.
- Nitelikli (NES/QES) imza gereken işlemler için E-İmzala ile USB token (akıllı kart) üzerinden nitelikli sertifikanızla imzalayabilirsiniz.
Önemli ayrım: SES seviyesindeki imza için “ıslak imza ile aynı/eşdeğer” denmez. Islak imza eşdeğerliği, hukuken güvenli elektronik imzaya (NES) özgüdür.
İmza mı, Mühür (Kaşe) mü?
eIDAS bir ayrım daha yapar: elektronik imza gerçek kişiye, elektronik mühür tüzel kişiye (kuruma) aittir. Belgede kişi adı yerine kurum/kaşe görünmesi gerekiyorsa mühür yolu kullanılır. İmzala.org’da hem kişisel imza hem görsel kurumsal kaşe alanları desteklenir. (Görsel kaşe, belgeye kurum bilgisini ekler; bu, eIDAS anlamındaki nitelikli elektronik mühür sertifikasından farklı bir özelliktir.)
Hangisini seçmeliyim?
İki soruyla karar verebilirsiniz:
- Mevzuat nitelikli imza zorunlu kılıyor mu? Evet → QES/NES.
- Karşı tarafın kimliğini güçlü doğrulamanız gerekiyor mu? Evet → AES; hayır, düşük riskli onay mı → SES yeterli olabilir.
Çoğu ticari ve bireysel sözleşme için kimlik doğrulamalı AES seviyesi pratik ve güçlü bir dengedir.
Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. Belirli bir işlem için hangi imza seviyesinin gerektiği, ilgili mevzuata ve somut duruma göre değişir; tereddüt halinde bir hukuk uzmanına danışmanız önerilir.
Konuyu daha derinlemesine ele aldığımız yazılar: Elektronik İmza Nedir? · HMK m.199-205 ve elektronik belge. Dijital imzaya başlamak için imzala.org.