KEP üzerinden alınan ihaleye davet mektuplarında elektronik imzanın geçerliliğini anlık olarak doğrulayan bir sistem var mı?

KEP üzerinden tebliğ alınan ihaleye davet mektuplarında ve kamu işlemlerinde, elektronik imzanın iletim ve imza anındaki yasal geçerliliğini anlık ve geriye dönük olarak kesin biçimde doğrulayan hem yerel hem de ulusal düzeyde yasal ve teknik doğrulama sistemleri mevcuttur. 5070 sayılı Elektronik İmza Kanunu ve Kamu İhale Mevzuatı çerçevesinde bu doğrulama araçları kullanılarak imzanın yetki ve geçerlilik durumu saniyeler içinde resmi rapor haline getirilebilir.

Bu doğrulama mekanizmasının teknik altyapısı, idari yargıdaki yeri ve pratik işleyişi şu şekildedir:

• Anlık Çevrimiçi Doğrulama Sistemleri (OCSP ve CRL): 5070 sayılı Elektronik İmza Kanunu m. 10 uyarınca Türkiye'deki Elektronik Sertifika Hizmet Sağlayıcıları (Kamu SM, TÜRKTRUST, E-Tuğra vb.) sertifikaların anlık durumunu gösteren OCSP (Online Certificate Status Protocol) sunucularını ve CRL (Sertifika İptal Listesi) kayıtlarını 7/24 kesintisiz açık tutmak zorundadır. Bir belge açıldığında veya doğrulandığında, sistem anlık olarak sertifika makamına bağlanarak imzanın atıldığı saniyede sertifikanın iptal, askı veya geçerli durumda olup olmadığını sorgular.
• TÜBİTAK KamuSM ve e-Devlet Resmi Doğrulama Portalları: KEP üzerinden gelen .eyp paketi içerisinden çıkarılan e-imzalı PDF veya XML belgesi, doğrudan TÜBİTAK BİLGEM Kamu Sertifikasyon Merkezi (KamuSM) Belge Doğrulama Portalı veya e-Devlet Kapısı 'e-İmzalı Belge Doğrulama' servisi üzerinden anlık olarak sorgulanabilir. Bu sistemler; imza sahibinin T.C. Kimlik Numarası, sertifika seri numarası, imzanın CAdES/PAdES formatı, zaman damgasının TÜBİTAK UME atom saati senkronizasyonu ve sertifikanın güven zincirini (kök sertifikaya kadar) tam olarak denetler ve resmi bir 'İmza Doğrulama Raporu' üretir.
• Uzun Dönemli Doğrulama ve Arşiv İmzası (PAdES-LTV / CAdES-A): İhale süreçleri aylar veya yıllar sürebilir. İhale yetkilisinin e-imza sertifikası 1 yıl sonra sona erse bile, belgede 'Uzun Dönemli Doğrulama' (LTV - Long Term Validation) verileri bulunuyorsa, imzanın atıldığı tarihte geçerli olduğu zaman damgasıyla ispatlanır. ETSI TS 102 778 standardındaki PAdES-LTV formatı, imza anındaki OCSP yanıtını belgenin içine gömer; bu sayede 10 yıl sonra dahi mahkemede belgenin geçerliliği kanıtlanabilir.
• 4734 Sayılı Kamu İhale Kanunu ve İYUK m. 2 Kapsamında İptal Riski: İhaleye davet mektubu idari bir işlemdir (2577 sayılı İYUK m. 2). Geçersiz veya iptal edilmiş bir sertifika ile e-imza atılmışsa, işlem 'yetki' ve 'şekil' unsurları yönünden sakat doğar ve Kamu İhale Kurulu kararıyla iptal edilir. Ancak KEP sistemi (ETSI TS 102 640) gereğince gönderici KEPHS iletiyi kabul ederken temel imza kontrolü yaptığından, tamamen sahte bir imzanın KEP üzerinden iletilmesi teknik olarak engellenmektedir.

Önerilen Eylem: İhaleye teklif vermeden önce KEP iletisindeki orijinal imzalı belgeyi KamuSM doğrulama servisinden geçirip oluşturulan 'Kriptografik Doğrulama Raporu'nu ihale dosyanıza ekleyiniz; raporda 'İmza Geçerlidir' ibaresini teyit ederek teklif sürecine güvenle devam edebilirsiniz.