Sahte elektronik imzalarla ilgili sertifika sağlayıcı firmaların sorumluluğuna ilişkin

Başkanlığınıza 28/3 dönem 7/32792 ve 28/4 dönem 7/35670 esas numaraları ile sunulan, ancak Anayasa ve Meclis içtüzüğüne aykırı biçimde bugüne kadar yanıtlanmayan ve cevaplanmadığı gelen kağıtlarda ilan edilen aşağıdaki sorularımın, Ulaştırma ve Altyapı Bakanı Sayın Abdulkadir Uraloğlu tarafından Anayasa'nın 98. ve TBMM İçtüzüğü'nün 96. ve 99. maddeleri uyarınca yazılı olarak yanıtlanmasını arz ederim. 02/12/2025

Kamuoyuna ve basına yansıyan bilgiler doğrultusunda, bazı şahısların üst düzey kamu yöneticilerine ait elektronik imzaları yasa dışı yollarla elde ederek, bu imzalarla sahte diplomalar düzenlediği ve bu belgelerle yaklaşık 400 kişinin akademik unvan alarak kamu kadrolarına atandığı iddia edilmektedir.

Bu süreçte adı geçen TÜRKTRUST ve E-İMZATR gibi firmalar, Bilgi Teknolojileri ve İletişim Kurumu (BTK) tarafından yetkilendirilmiş Elektronik Sertifika Hizmet Sağlayıcıları (ESHS) olup, kamuda kullanılan nitelikli elektronik imzaların üretimi, dağıtımı ve yönetiminden sorumludur.

Ortaya çıkan bu skandal, elektronik sertifika hizmet sağlayıcılarının denetimi, kimlik doğrulama süreçlerinin güvenliği ve BTK'nın bu firmalar üzerindeki gözetim sorumluluğu açısından ciddi soru işaretlerine neden olmuştur.

Bu kapsamda:

SORULAR

1. TÜRKTRUST ve E-İMZATR firmaları, BTK tarafından hangi tarihlerde Elektronik Sertifika Hizmet Sağlayıcısı (ESHS) olarak yetkilendirilmiştir?

2. BTK'nın bu firmalara yönelik en son gerçekleştirdiği denetim ne zaman yapılmıştır? Denetimler sırasında herhangi bir usulsüzlük veya güvenlik ihlali tespit edilmiş midir?

3. Soruşturma kapsamında adı geçen sahte e-imzalar, BTK tarafından onaylanan sistemler aracılığıyla mı üretilmiştir? Bu durum BTK denetim sistemleri tarafından neden tespit edilememiştir?

4. ESHSlerin e-imza üretim sürecinde uygulamaları gereken kimlik doğrulama ve belge denetimi prosedürleri nelerdir? Bu firmaların bu prosedürleri ihlal ettiği yönünde BTK'"ya ulaşan herhangi bir şikâyet olmuş mudur?

5. Sahtecilikte kullanılan e-imzaların askıya alınması, iptali veya yetkisiz kullanımının önlenmesi amacıyla sertifika iptal listeleri (CRL) veya anlık sertifika doğrulama sistemleri (OCSP) etkin bir biçimde işletilmiş midir?

6. BTK'nın sertifika sağlayıcılarının sorumluluklarını denetleme ve sertifikasyon yetkilerini askıya alma ya da iptal etme yetkisi çerçevesinde bu firmalar hakkında herhangi bir idari işlem başlatılmış mıdır?

7. Yaşanan bu olay sonrasında BTK'nın ESHS sistemlerinde güvenlik açıklarını kapatmak, kimlik doğrulama süreçlerini güçlendirmek ve sahteciliği önlemek için bir acil eylem planı veya teknik düzenleme hazırlığı var mıdır?