Elektronik imza ile ilgili Süreçlere ve Teknik Kriterlere İlişkin Tebliğ

Elektronik İmza ile İlgili Süreçlere ve Teknik Kriterlere İlişkin Tebliğ Enerji Piyasası Düzenleme Kurumundan: 06.01.2005 tarihli, 25692 sayılı R.G. Tasarruflu Yazılar 1 BİRİNCİ BÖLÜM Genel Hükümler Amaç Madde 1 - Bu Tebliğin amacı, elektronik imzaya ilişkin süreçleri ve teknik kriterleri detaylı olarak belirlemektir. Kapsam Madde 2 - Bu Tebliğ; nitelikli elektronik sertifika başvurusu, sertifikanın oluşturulması, yayımlanması, yenilenmesi, iptali ve arşivleme süreçleri dahil olmak üzere ESHS'nin işleyişine, imza oluşturma ve doğrulama verilerine, sertifika ilkelerine ve sertifika uygulama esaslarına, imza oluşturma ve doğrulama araçlarına, ESHS'nin faaliyetleri için kullandığı sistem, cihaz ile fiziki güvenliğine, personeline, zaman damgasına ve hizmetlerine ilişkin teknik hususları kapsar. Dayanak Madde 3 - Bu Tebliğ, Elektronik İmza Kanununun Uygulanmasına İlişkin Usul ve Esaslar Hakkında Yönetmeliğin 34 üncü maddesine dayanılarak hazırlanmıştır. Tanımlar Madde 4 - Bu Tebliğde geçen; a) Yönetmelik: Elektronik İmza Kanununun Uygulanmasına İlişkin Usul ve Esaslar Hakkında Yönetmeliği, b) BS (British Standards): İngiliz Standartlarını, c) CEN (Comité Européen de Normalisation): Avrupa Standardizasyon Komitesini, ç) CWA (CEN Workshop Agreement): CEN Çalıştay Kararını, d) DSA (Digital Signature Algorithm): Sayısal İmza Algoritmasını, e) DSA Eliptik Eğrisi (DSA Elliptical Curve): Sayısal İmza Algoritması Eliptik Eğrisini, f) EAL (Evaluation Assurance Level): Değerlendirme Garanti Düzeyini, g) ETSI (European Telecommunications Standards Institute): Avrupa Telekomünikasyon Standartları Enstitüsünü, ğ) ETSI SR (ETSI Special Report): ETSI Özel Raporunu, h) ETSI TS (ETSI Technical Specification): ETSI Teknik Özelliklerini, ı) FIPS PUB (Federal Information Processing Standards Publications): Federal Bilgi İşleme Standartları Yayınlarını, i) IETF RFC (Internet Engineering Task Force Request for Comments): İnternet Mühendisliği Görev Grubu Yorum Talebini, j) ISO/IEC (International Organisation for Standardisation/International Electrotechnical Commitee): Uluslararası Standardizasyon Teşkilatı/Uluslararası Elektroteknik Komitesini, k) ITU (International Telecommunication Union): Uluslararası Telekomünikasyon Birliğini, l) RIPEMD (RACE Integrity Primitives Evaluation Message Digest): RACE Bütünlük Asli Mesaj Değerlendirme Özetini, m) RSA: Rivest-Shamir-Adleman'ı, n) SHA (Secure Hash Algorithm): Güvenli Özet Algoritmasını, o) PSS (Probabilistic Signature Scheme): Olasılıklı İmza Şemasını, ifade eder. (24.03.2020 tarih ve 31078 sayılı R.G. ile değişik) Bu Tebliğde yer almayan tanımlar için Kanun ve Yönetmelikte yer alan tanımlar geçerlidir. İKİNCİ BÖLÜM Teknik Hususlar ESHS'nin İşleyişi Madde 5 - ESHS işleyişinin bütün aşamalarında; a) ETSITS 101 456 ve b) CWA 14167-1 standartlarına uyar. Nitelikli elektronik sertifikalar; a) ETSITS 101 862 ve b) ITU-TRec. X.509V.3'e uygun olarak oluşturulur. Algoritmalar ve Parametreler (21.01.2006 tarih ve 26056 sayılı R.G. ile değişik) MADDE 6 - (30.01.2013 tarih ve 28544 sayılı R.G.ile değişik) İmza oluşturma ve doğrulama verileri ile özetleme algoritmalarının, ETSI TS 102 176-1 standardına ve aşağıda yer alan şartlara uygun olması gerekir. a) İmza sahibinin imza oluşturma ve doğrulama verileri: i. RSA için en az 2048 bit veya ii. DSA için en az 3072 bit veya iii. DSA Eliptik Eğrisi için en az 256 bit b) ESHS'nin imza oluşturma ve doğrulama verileri: i. İmzalamalarda RSA-PSS kullanılmak şartıyla RSA için en az 4096 bit veya(24.03.2020 tarih ve 31078 sayılı R.G. ile değişik) ii. DSA için en az 3072 bit veya iii. DSA Eliptik Eğrisi için en az 256 bit c) (24.03.2020 tarih ve 31078 sayılı R.G. ile değişik) Özetleme algoritması: i. SHA2-256 veya ii. SHA2-384 veya iii. SHA2-512 veya iv. SHA3-256 veya v. SHA3-384 veya vi. SHA3-512 Birinci fıkrada belirtilen algoritmalar ve parametreler 31/12/2027[1] tarihine kadar geçerlidir. (28.12.2022 tarih ve 32057 sayılı R.G. ile değişik)[2] (04.10.2025 / 33037 R.G.) Sertifika İlkeleri ve Sertifika Uygulama Esasları Madde 7 - ESHS; sertifika ilkelerini ve sertifika uygulama esaslarını IETF RFC 3647'ye uygun olarak hazırlar. Güvenli Elektronik İmza Oluşturma ve Doğrulama Araçları Madde 8 - Güvenli elektronik imza oluşturma araçları CWA 14169 standardına uygun ve TS ISO/IEC 15408 (-l,-2,-3)'e veya ISO/IEC 15408 (-1,-2,-3)'e göre en az EAL4+ seviyesinde olmalıdır. ESHS, sağlamış olduğu güvenli elektronik imza doğrulama araçları için CWA 14171 standardına uyar ve bunu yazılı olarak taahhüt eder. Güvenlik Kriterleri Madde 9 - ESHS, güvenlik kriterlerine ilişkin olarak; a) CWA 14167-1, b) ETSITS 101 456 ve c) TS ISO/IEC 27001 veya ISO/IEC 27001(30.01.2013 tarih ve 28544 sayılı R.G.ile değişik) standartlarına uyar. Zaman Damgası ve Hizmetleri Madde 10 - ESHS, zaman damgası ve hizmetlerine ilişkin olarak; a) CWA 14167-1 ve b) ETSI TS 101 861 standartlarına uyar. Zaman damgası ilkeleri ve zaman damgası uygulama esasları ETSI TS 102 023'e uygun olarak hazırlanır. Mobil elektronik imza (26.06.2008 tarihli ve 26918 sayılı R.G. ile eklenmiştir) MADDE 10/A - (1) ESHS'ler, mobil elektronik imza hizmetlerinde dolaşım ile ilgili ETSI TS 102 207 standardına ve nitelikli elektronik sertifika başvurusu, oluşturulması, yayınlanması, yenilenmesi süreçleri ile ilgili olarak ETSI TS 102 204 standardına uyar. Belgeler Madde 11 - ESHS; a) TS ISO/IEC 27001 veya ISO/IEC 27001 standardına uygunluğunu, (20.06.2006 tarihli, 26204 sayılı R.G. Tebliğ ile değişik) b) Güvenli elektronik imza oluşturma araçlarının; i. FIPS PUB 140-2'ye göre seviye 3 veya üzerinde olduğunu veya(26.06.2008 tarihli ve 26918 sayılı R.G. ile değişik) ii. CWA 14167-2, CWA 14167-3 veya CWA 14167-4'te belirtilen kriterlere uygunluğunu veya(30.01.2013 tarih ve 28544 sayılı R.G.ile değişik) iii. CWA 14169 standardına uygun ve TS ISO/IEC 15408 (-l,-2,-3)'e veya ISO/IEC 15408 (-1,-2,-3)'e göre en az EAL4+ seviyesinde olduğunu yetkili kurum veya kuruluşlardan alman belgelerle belgelendirir. Geçici hükümler (20.06.2006 tarihli, 26204 sayılı R.G. Tebliğ ile EKLENMİŞTİR) GEÇİCİ MADDE 1- Bu Tebliğ'in yayımlandığı tarih itibariyle faaliyette bulunan ESHS'ler TS ISO/IEC 27001 veya ISO/IEC 27001 standardına uygunluğunu gösteren belgeleri en geç bir (1) yıl içinde Kuruma sunar. GEÇİCİ MADDE 2 -(26.06.2008 tarihli ve 26918 sayılı R.G. ile eklenmiştir) (1) Bu Tebliğ'in yayımlandığı tarihten itibaren faaliyette bulunan ESHS'ler; a) Güvenli elektronik imza oluşturma araçlarının bu Tebliğin "Belgeler" başlıklı 11 nci maddesinin (b) bendinde belirtilen standartlara uygun olduğunu gösteren belgeleri 31/12/2009 tarihine kadar, b) Mobil elektronik imza uygulamalarının ETSI TS 102 207 ve ETSI TS 102 204 standartlarına uygunluğunu gösteren taahhütnamelerini 6 (altı) ay içerisinde Kurum'a sunar. GEÇİCİ MADDE 3 - Bu maddenin yürürlüğe girdiği tarihte faaliyette bulunan ESHS'ler 15/9/2014 tarihine kadar 6 ncı maddeye uyum sağlar. (19.09.2013 tarih ve 28770 sayılı R.G. ile değişik)[3] GEÇİCİ MADDE 4 - 15/9/2014 tarihinden önce üretilmiş, 6 ncı maddede yer alan kriterleri karşılamayan ve geçerlilik süresi sona ermemiş olan nitelikli elektronik sertifikalar 31/12/2014 tarihine kadar kullanılabilir. (03.10.2014 tarih ve 29138 sayılı R.G. ile eklenmiştir) GEÇİCİ MADDE 5 - ESHS'ler kendi imza oluşturma ve doğrulama verilerine ilişkin olarak bu maddeyi ihdas eden Tebliğin 2 nci maddesiyle değiştirilen bu Tebliğin 6 ncı maddesinin birinci fıkrasının (b) bendinin (i) alt bendinde belirlenen şarta, bu maddenin yürürlüğe girdiği tarihten itibaren bir yıl içerisinde uyum sağlar. Bu maddenin yürürlüğe girdiği tarihten önce ve bu tarihten itibaren bir yıl içerisinde oluşturulan nitelikli elektronik sertifikalar geçerlilik süresi sona erene kadar kullanılabilir. (24.03.2020 tarih ve 31078 sayılı R.G. ile eklenmiştir) ÜÇÜNCÜ BÖLÜM Diğer Hükümler Yürürlük Madde 12 - Bu Tebliğ yayımı tarihinde yürürlüğe girer. Yürütme Madde 13 - Bu Tebliğ hükümlerini Telekomünikasyon Kurulu Başkanı yürütür. [1] "31/12/2025" ibaresi "31/12/2027" olarak 04.10.2025 / 33037 R.G. ile değişik. [2] Mülga: Birinci fıkrada belirtilen algoritmalar ve parametreler 31/12/2022 tarihine kadar geçerlidir. (24.03.2020 tarih ve 31078 sayılı R.G. ile değişik) [3] Mülga; GEÇİCİ MADDE 3 - Bu maddenin yürürlüğe girdiği tarihte faaliyette bulunan ESHS'ler altı ay içinde 6 ncı maddeye uyum sağlar. (30.01.2013 tarih ve 28544 sayılı R.G.ile eklenmiştir)