Türkiye'de “kripto varlık saklama lisansı” olarak aranan yetki, tek bir başvuru belgesinden ibaret değil. Banka dışı modelde SPK'dan önce kuruluş izni, ardından faaliyet izni ve yetki belgesi alınması; 2026 yılı için en az 630.000.000 TL nakden ödenmiş sermaye; müşteri varlıklarına göre 1.900.000.000 TL'ye kadar çıkabilen özsermaye; nitelikli yönetim kadrosu ve TÜBİTAK kriterleriyle çalışan bir anahtar altyapısı gerekiyor. SPK'nın “Faaliyette Bulunanlar Listesi”nde yer almak ise tek başına lisans anlamına gelmiyor.
Hukuki çerçeve, 7518 sayılı Kanun ile 6362 sayılı Sermaye Piyasası Kanunu'na eklenen hükümlerden; III-35/B.1 ve III-35/B.2 sayılı Tebliğlerden; VII-128.10 sayılı Tebliğden ve TÜBİTAK'ın KVHS teknik kriterlerinden oluşuyor. Bu düzenlemelerin pratik sonucu açık: şirket, sermaye, yönetim, operasyon ve cüzdan mimarisi aynı takvimde hazırlanmadıkça faaliyet izni dosyası tamamlanmış sayılmaz.
Türkiye'de “kripto varlık saklama lisansı” neyi ifade ediyor?
“Lisans” günlük dilde kullanılıyor; mevzuat ise kuruluş izni, faaliyet izni ve yetki belgesi kavramlarını ayırıyor. Yeni bir banka dışı saklama kuruluşu önce anonim ortaklığın kuruluşu için SPK izni alır, ardından gerekli şartları fiilen kurarak faaliyet iznine başvurur. Yetki belgesi verilmeden müşteri varlığı veya özel anahtar yönetilemez.
7518 sayılı Kanun, 2 Temmuz 2024 tarihli ve 32590 sayılı Resmî Gazete'de yayımlandı. Ardından 13 Mart 2025 tarihli ve 32840 sayılı Resmî Gazete'de III-35/B.1 ve III-35/B.2 sayılı Tebliğler yürürlüğe girdi. 6362 sayılı Kanun m.35/B ve m.35/C, saklama faaliyetini SPK'nın izin ve gözetim alanına yerleştiriyor.
Bu nedenle lisans, bir yazılım ürününe verilen teknik uygunluk sertifikası değildir. Tüzel kişiliğin, ortaklık yapısının, sermayesinin, yönetim kadrosunun, iç sistemlerinin ve teknolojik altyapısının birlikte değerlendirilmesi sonunda verilen faaliyet yetkisidir. Banka dışı kuruluşun ticaret unvanında “kripto varlık saklama kuruluşu” ibaresi de bulunmalıdır; III-35/B.1 sayılı Tebliğ m.7/2 bu ifadeyi zorunlu tutar.
Bir şirket ne zaman kripto varlık saklama hizmeti veriyor sayılır?
Kripto varlık saklama hizmeti, müşterinin kripto varlığının veya transfer yetkisi veren özel anahtarın saklanması ve yönetimidir. Kritik test ürünün adı değil, anahtar üzerindeki fiilî kontroldür. Kuruluş transferi mümkün kılan anahtarı üretiyor, tutuyor, işliyor veya kullanımı üzerinde karar veriyorsa faaliyet saklama kapsamına girebilir.
MPC, çoklu imza, HSM, cüzdan altyapısı ya da “wallet-as-a-service” gibi teknik adlar hukuki nitelendirmeyi tek başına değiştirmez. Anahtar parçalarının kimde bulunduğu, transferin hangi onaylarla imzalandığı ve kurtarma yetkisinin kim tarafından kullanılabildiği birlikte incelenir. Özel anahtar üzerindeki bütün kontrolün yatırımcıda kaldığı cüzdan hizmeti ise III-35/B.2 sayılı Tebliğ m.24/5 uyarınca saklama hizmeti sayılmaz.
Saklama kuruluşu yalnızca bir platformun müşterilerine hizmet vermek zorunda değildir. Platformla sözleşme kurarak toplu hesap modeliyle çalışabilir; ayrıca platform müşterisi olmayan gerçek veya tüzel kişilere doğrudan saklama hizmeti sunabilir. İkinci modelde müşteriyle doğrudan sözleşme kurulur ve varlıklar müşteri bazında ayrıştırılır.
Saklama hizmetini kim sunabilir; SPK listesine girmek yeterli mi?
Türkiye'de saklama hizmeti, SPK tarafından yetkilendirilmiş banka dışı saklama kuruluşu veya bankacılık mevzuatı çerçevesinde gerekli izinleri alan banka tarafından sunulabilir. SPK listesindeki “Saklama Başvurusu” ibaresi yalnızca başvuru statüsünü gösterir. SPK'nın 5 Ağustos 2024 tarihli duyurusu da listede yer almanın yetkilendirme sayılmadığını açıkça belirtir.
SPK'nın güncel Faaliyette Bulunanlar Listesi, platformları ve saklama başvurusu yapan kuruluşları gösterir. Listenin işlevi, geçiş rejimindeki başvurular hakkında kamuyu bilgilendirmektir. Yetki belgesi ise III-35/B.1 sayılı Tebliğ m.17/5 kapsamında ayrı bir idari işlemdir; belge alınmadan faaliyete başlanamaz.
Banka modelinde SPK değerlendirmesine BDDK süreci eklenir. III-35/B.1 sayılı Tebliğ m.9/6 uyarınca önce BDDK'nın uygun ön görüşü, ardından SPK değerlendirmesi ve BDDK'dan faaliyet genişleme izni gerekir. Bankalar, III-35/B.2 sayılı Tebliğ'in sermaye yeterliliği bölümünden kural olarak muaftır; m.47/1 saklama limitleri ile limit takibini bu muafiyetin dışında bırakır.
Kuruluş ve faaliyet izni hangi sırayla alınır?
Başvuru iki ayrı izin etrafında ilerler: kuruluş izni şirketin hukuki ve mali yapısını, faaliyet izni ise organizasyonun ve teknolojinin gerçekten çalıştığını sınar. Kuruluş izninden sonra faaliyet izni başvurusu için altı aylık süre başlar. SPK gerekli görürse süreyi toplam bir yılı aşmayacak şekilde uzatabilir.
Faaliyet modelini kesinleştirin. Banka dışı saklama kuruluşu mu, banka modeli mi, platform müşterilerine mi yoksa doğrudan müşterilere mi hizmet verileceği baştan belirlenir.
Kuruluş dosyasını hazırlayın. Anonim ortaklık yapısı, nama yazılı paylar, nakit sermaye, şeffaf ortaklık zinciri, esas sözleşme ve kurucu uygunluk belgeleri SPK'ya sunulur.
Şirketi ve zorunlu birimleri kurun. Sermaye tamamen ödenir; yönetim kurulu, genel müdürlük, münhasır saklama birimi, iç denetim, iç kontrol, risk yönetimi ve bilgi güvenliği fonksiyonları oluşturulur.
Teknik altyapıyı işler hâle getirin. HSM, soğuk ve sıcak cüzdanlar, anahtar seremonisi, yedekleme, MKK ve dağıtık defter entegrasyonları test edilir; denetim izleri üretilir.
Faaliyet izni ve yetki belgesini alın. SPK, şartların fiilen yerine getirildiğini kabul ettikten ve Harçlar Kanunu kapsamındaki işlem tamamlandıktan sonra yetki belgesi düzenler.
Kuruluş izninden sonra altı ay içinde faaliyet iznine başvurulmaması, izin alma hakkını düşürür. SPK'nın standartlarını taşımayan dosya değerlendirmeye alınmadan iade edilebilir; istenen ek belgelerin en az on günlük sürede tamamlanmaması da başvurunun işlemden kaldırılmasına yol açabilir. Buradaki ölçü, politikanın yazılmış olması değil, sistemin ve kontrolün çalışmasıdır.
2026 sermaye ve özsermaye şartları nasıl hesaplanır?
2026 yılında banka dışı saklama kuruluşunun asgari kuruluş sermayesi 630.000.000 TL'dir. Üç aylık ortalama müşteri varlığı 1.250.000.000 TL'yi aşarsa aşan kısım için yüzde 1,5 ilave özsermaye gerekir. Bu hesapla bulunan toplam özsermaye 1.900.000.000 TL'ye ulaştığında artış durur; 1,9 milyar TL müşteri varlığı sınırı değildir.
Finans ve teknoloji hukukunun kesişimindeki bu başvuruları değerlendiren bir avukat olarak altını çizdiğim ayrım şudur: III-35/B.2 sayılı Tebliğ m.34/2 kuruluş sermayesini, m.35/4 ise faaliyet boyunca korunacak müşteri varlığına bağlı özsermayeyi düzenler. SPK'nın 30 Aralık 2025 tarihli ve 68/2461 sayılı kararı bu üç parasal değeri 2026 yılı için sırasıyla 630 milyon, 1,25 milyar ve 1,9 milyar TL olarak belirlemiştir.
| Kalem | 2026 değeri | Ne anlama geliyor? |
|---|---|---|
| Asgari kuruluş sermayesi | 630.000.000 TL | Tamamı nakden ve tamamen ödenir; özsermaye bu tutarın altına düşemez. |
| Müşteri varlığı eşiği | 1.250.000.000 TL | Üç aylık ortalama bu tutara kadar kaldığında müşteri varlığına bağlı ilave özsermaye aranmaz. |
| İlave özsermaye oranı | %1,5 | Eşiği aşan üç aylık ortalama müşteri varlığına uygulanır. |
| Toplam özsermaye tavanı | 1.900.000.000 TL | Müşteri varlığına bağlı hesapta ulaşılacak tavandır; saklanabilecek varlıkların üst sınırı değildir. |
| Sermaye bileşimi | En az %25 | Her yıl haziran itibarıyla özsermayenin en az dörtte biri ödenmiş veya çıkarılmış sermaye olmalıdır. |
| Borçlanma sınırı | En çok 3 kat | Kısa ve uzun vadeli borçlar toplamı sermaye yeterliliği tabanının üç katını aşamaz. |
| Likidite | En az kısa vadeli borç kadar | Dönen varlıkların cari değeri kısa vadeli borçlardan az olamaz. |
Gerekli özsermaye = min [1.900.000.000 TL; 630.000.000 TL + %1,5 × (A - 1.250.000.000 TL)]
A: İlgili çeyrekteki üç ay sonu müşteri varlığı toplamlarının aritmetik ortalaması
Örneğin üç aylık ortalama müşteri varlığı 10 milyar TL ise ilave özsermaye 131,25 milyon TL, gerekli toplam özsermaye 761,25 milyon TL olur. Ortalama 100 milyar TL olduğunda formül 2,11125 milyar TL üretse de 1,9 milyar TL tavan uygulanır. Tavan yaklaşık 85,917 milyar TL ortalama müşteri varlığında devreye girer.
Tutarların kaynağı olan SPK'nın 2025/68 sayılı Bülteni, 2026 yeniden değerleme tablosunda III-35/B.2 sayılı Tebliğ m.34/2 ve m.35/4 için bu değerleri ayrı ayrı gösterir. Sermaye planı yalnız kuruluş gününü değil, müşteri varlığı büyümesini, özsermaye bileşimini, borçlanma sınırını ve likiditeyi aynı modelde izlemelidir.
Kurucular ve ortaklar hangi şartları taşır?
Kurucu ve ortak incelemesi yalnız sermaye taahhüdüne bakmaz. SPK; mali gücü, ortaklık zincirinin şeffaflığını, belirli mahkûmiyetlerin bulunmamasını, işlem yasağı ve son beş yıldaki bazı idari para cezalarını, geçmiş finansal kuruluş ilişkilerini, dürüstlük ve itibarı birlikte değerlendirir. Dolaylı ortaklar da belirli oranlarda incelemeye girer.
İflas ve yeniden yapılandırma geçmişi: Müflis olmama, konkordato ilan etmemiş olma ve Tebliğ'de sayılan yeniden yapılandırma durumlarında bulunmama şartı aranır.
Finansal kuruluş bağlantıları: İradi tasfiye dışında faaliyet izni kaldırılmış belirli finansal kuruluşlarda yüzde 10 veya üzeri pay ya da kontrol sahibi olunmamalıdır.
Mahkûmiyet ve işlem yasağı: III-35/B.1 sayılı Tebliğ m.6/1-c'de sayılan mali, bilişim, kaçakçılık, aklama, terör ve benzeri suçlardan mahkûmiyet bulunmamalı; Sermaye Piyasası Kanunu m.101 kapsamında işlem yasağı olmamalıdır.
Mali güç, dürüstlük ve itibar: Sermayenin kaynağı ile kurucunun işi taşıyabilecek mali kapasitesi açıklanmalı; işin gerektirdiği dürüstlük ve itibar sağlanmalıdır.
Beş yıllık idari yaptırım ölçütü: Sermaye Piyasası Kanunu m.104 uyarınca son beş yılda idari para cezası tesis edilmemiş olmalıdır.
İnceleme doğrudan ortaklarla sınırlı kalmaz. Tüzel kişi kurucunun sermaye veya oy haklarının doğrudan ya da dolaylı yüzde 10'una sahip kişiler ile bu oranın altında olsa bile yönetim kurulunda temsil hakkı veren imtiyazlı pay sahipleri de aynı uygunluk testine tabidir. Yönetim veya kâr üzerinde belirleyici hak sağlayan kişiler ayrıca değerlendirilir.
Yönetim kurulu, genel müdür ve çalışanlarda hangi nitelikler aranır?
Saklama kuruluşu yalnız teknoloji ekibiyle kurulamaz. En az üç üyeli yönetim kurulu, yedi yıllık tecrübeye sahip genel müdür ve yardımcıları, dört yıllık lisans mezunu yöneticiler, münhasır saklama personeli, bağımsız iç sistem birimleri ve beş yıllık tecrübeli tam zamanlı bilgi güvenliği sorumlusu aynı organizasyon içinde yer almalıdır.
| Görev | Asgari nitelik | Özel kural |
|---|---|---|
| Yönetim kurulu | En az 3 üye; üyelerin çoğunluğu en az dört yıllık lisans mezunu. | Üyeler uygunluk şartlarını mali güç hariç taşır. Yönetim murahhas üyelere bırakılırsa en az iki murahhas üye atanır ve yetkileri ayrılır. |
| Genel müdür | Genel eğitim kuralı yanında mali piyasalar, bilgi işlem, bilgi teknolojileri veya finansal teknolojilerde en az 7 yıl tecrübe. | Türkiye'de mukim, tam zamanlı ve münhasıran bu görev için istihdam edilir. Atamada SPK'nın uygun görüşü alınır; son 12 ayda 6 aydan fazla vekâlet edilemez. |
| Genel müdür yardımcısı | Genel eğitim kuralı yanında aynı alanlarda en az 7 yıl tecrübe. | Atamada SPK'nın uygun görüşü gerekir. Ayrılış nedeni 3 iş günü içinde SPK'ya ve Türkiye Sermaye Piyasaları Birliğine bildirilir. |
| Diğer yönetici ve personel | Kural olarak en az dört yıllık lisans mezuniyeti; kurucu uygunluk şartları mali güç hariç. | Unvan değil fiilî görev esas alınır. SPK göreve göre ilave tecrübe, lisans veya sertifika şartı getirebilir. |
| Operasyon personeli | Mutabakat görevi yoksa ön lisans yeterli; mutabakat personeli genel dört yıllık lisans kuralına tabi. | Münhasır saklama biriminde yeterli sayıda personel istihdam edilir. |
| Bilgi teknolojileri operasyon personeli | Sistem yönetimi, yazılım, test/kalite, veri tabanı ve destek görevlerinde ön lisans yeterli. | Kriptoloji ve dağıtık defter entegrasyonu görevleri de bu işlev içinde değerlendirilir. |
| Bilgi güvenliği sorumlusu | İlgili alanlardan birinde yeterli teknik bilgi ve en az 5 yıl tecrübe; tam zamanlı istihdam. | Bilgi sistemleri yönetimi gereklerini yerine getiren icracı görev üstlenemez; üst yönetime raporlar. |
| İç denetim, iç kontrol ve risk yönetimi | Ayrı birimler ve faaliyet ölçeğine uygun yeterli personel. | İç denetçiler münhasıran çalışır ve doğrudan yönetim kuruluna bağlıdır. Kurtarma planı için iki sorumlu atanır; biri en az genel müdür yardımcısı düzeyindedir. |
Platform yöneticileri ve personeli saklama kuruluşunda; saklama kuruluşu yöneticileri ve personeli platformda görev alamaz. III-35/B.1 sayılı Tebliğ m.9/7, saklama hizmeti sunan bankalarda yalnız yöneticiler bakımından istisna tanır. Aynı kişinin iki tüzel kişilikte fiilen aynı operasyonu yürütmesi, görevler ayrılığını ve bağımsız kontrolü zedeler.
Yönetici ve personelin unvanı, görev birimi, uygunluk belgeleri ve ayrıntılı özgeçmişi göreve başlamayı izleyen 10 iş günü içinde Sermaye Piyasası Lisanslama Sicil ve Eğitim Kuruluşuna bildirilir. Genel müdür ile yardımcılarının ayrılış nedenleri için süre 3 iş günüdür. Personel dosyasındaki eksikliği teknik ekip sonradan telafi edemez; bu şartlar faaliyet izninin doğrudan parçasıdır.
TÜBİTAK teknik kriterleri hangi mimariyi zorunlu kılıyor?
TÜBİTAK kriterleri, anahtarların güvenli donanım modülünde üretilip işlenmesini; soğuk ve sıcak cüzdanların ayrılmasını; tek kişi riskinin önlenmesini; anahtar seremonisi, yedekleme ve kurtarmanın kayıt altına alınmasını; kritik sistemlerin Türkiye'de tutulmasını; erişim, yazılım güvenliği, günlükleme ve iş sürekliliği kontrollerinin birlikte işletilmesini zorunlu kılar.
Bilişim hukuku bakımından kritik takvim şudur: TÜBİTAK KVHS Kriterleri m.33 uyarınca soğuk cüzdan erişim denetimi ve HSM'ye ilişkin 4 ilâ 7. maddelere uyum süresi 31 Mart 2026'da sona erdi. Kriterler m.30, üreticiden yenileme taahhüdü alınması şartıyla FIPS 140-2 sertifikalı ürünlere yalnız 31 Aralık 2026'ya kadar geçici kullanım imkânı tanıyor.
| Teknik alan | Temel şart | Dosyada görülmesi gereken kanıt |
|---|---|---|
| Anahtar kontrolü | Saklama kapsamındaki özel anahtar ve parçaları saklama hizmetini sunan KVHS tarafından üretilir, tutulur, işlenir ve kontrol edilir. | Anahtar envanteri, yetki matrisi, yaşam döngüsü ve sahiplik kayıtları. |
| HSM | Soğuk cüzdan HSM'si en az ISO/IEC 19790 Seviye 3'e göre test edilmiş ve geçerli sertifikalı olmalıdır. | Sertifika kapsamı, ürün ve firmware sürümü, güvenli kurulum ve değişiklik kayıtları. |
| Soğuk cüzdan | İnternete doğrudan erişim engellenir; hava boşluğu veya kontrollü ağlar arası geçiş uygulanır. | Ağ şeması, fiziksel erişim listesi, veri geçiş prosedürü ve yetkili onayları. |
| Anahtar seremonisi | HSM ilklendirme, anahtar ve kurtarma bileşenlerinin oluşturulması gözetim ve kontrol listesiyle yürütülür. | Seremoni tutanağı, katılımcı listesi, kamera veya denetim izi ve teslim kayıtları. |
| Tek kişi riskinin önlenmesi | Hiçbir kişi ana anahtarı, tohumu veya kurtarma bileşenlerini tek başına yeniden oluşturamaz ya da kullanamaz. | Eşik yapısı, müşterek onay, görevler ayrılığı ve ayrıcalıklı erişim kayıtları. |
| Türkiye'de yerleşiklik | Anahtar parçaları, yedekler, bunları kullanan HSM ve sunucular ile birincil ve ikincil sistemler Türkiye'de bulunur. | Sistem ve veri envanteri, veri merkezi kayıtları ve lokasyon doğrulamaları. |
| Erişim ve günlükleme | Çok faktörlü kimlik doğrulama, en az yetki, ayrıcalıklı hesap yönetimi ve değiştirilemez denetim izleri uygulanır. | Erişim onayları, dönemsel gözden geçirme, SIEM kayıtları ve alarm senaryoları. |
| Yazılım ve iş sürekliliği | Kritik cüzdan yazılımları güvenli geliştirme ve zafiyet yönetimine tabidir; ikincil sistemle faaliyetin en geç 24 saatte sürdürülmesi esastır. | Kod inceleme, bağımlılık envanteri, test raporları, RTO/RPO ve süreklilik tatbikatı. |
Bir HSM satın almak tek başına uyum sağlamaz. HSM'nin hangi modda çalıştığı, anahtarın cihaz dışına hangi koşulda çıkabildiği, yedeklerin kimlerce birleştirilebildiği, kurtarma testinin nasıl yapıldığı ve üretici desteğinin ne zaman sona ereceği belgelenmelidir. Lisans dosyasının teknik ağırlığı, ürün listesinden çok kontrol zincirinde ortaya çıkar.
Müşteri varlıkları nasıl ayrıştırılır, hangi cüzdan limitleri uygulanır?
Platform müşterisinin kendi cüzdanında tutmadığı kripto varlıkların en az yüzde 95'i saklama kuruluşunda, en çok yüzde 5'i platform cüzdanlarında tutulur. Platform oranı gün içinde hiçbir anda yüzde 10'u aşamaz. Saklama kuruluşunun sıcak cüzdanı kural olarak toplam müşteri varlığının yüzde 5'iyle sınırlıdır.
III-35/B.2 sayılı Tebliğ m.41/2, yüzde 95 ve yüzde 5 oranlarının her bir kripto varlık için ayrı değil, cari değer toplamı üzerinden hesaplanmasını öngörür. Platform cüzdanındaki oran yüzde 10'u aşarsa aşan kısım, mutabakat saati beklenmeden saklama kuruluşuna aktarılır. Saklama kuruluşu platform varlıklarının tamamını tutuyor ve transferleri kendisi yürütüyorsa sıcak cüzdan oranı işlem yoğunluğuna göre yüzde 10'a çıkabilir.
Müşteri varlıkları saklama kuruluşunun kendi malvarlığından ayrıdır. 6362 sayılı Kanun m.35/C uyarınca bu varlıklar saklama kuruluşunun borçları nedeniyle haczedilemez, rehnedilemez, iflas masasına dâhil edilemez ve üzerlerine ihtiyati tedbir konulamaz. Hukuki ayrımın korunabilmesi için kayıtların platform, müşteri ve cüzdan bazında her an uzlaştırılabilir olması gerekir.
Transferler, MKK mutabakatı ve denetim nasıl işler?
Transfer talebi önce yetki ve politika kontrollerinden geçer, ardından imzalanarak dağıtık defter ağına gönderilir. 2026 yılında 1.250.000 TL'nin altındaki talepler tam otomatik onaylanabilir. Platform ve saklama kuruluşu MKK'ya uyumlu kayıt üretir; yıllık bilgi sistemleri denetimi ile üçer aylık rezerv kanıtı denetimi yaptırır.
Otomatik transfer eşiği: SPK'nın 2025/68 sayılı Bülteni, III-35/B.2 sayılı Tebliğ m.30/3'teki 1.000.000 TL tutarı 2026 yılı için 1.250.000 TL'ye yükseltti. Müşteri bakiyesinin on binde üçünü aşmamak üzere daha yüksek eşik belirlenebilir; bunun için yönetim kurulunca en az iki yönetici atanır ve birinin en az genel müdür yardımcısı düzeyinde olması gerekir.
MKK ve gün sonu mutabakatı: Platform ile saklama kuruluşunun MKK'ya ilettiği bakiye raporları aynı sonucu vermelidir. Raporlar ayrışırsa MKK durumu ivedilikle SPK'ya bildirir. Gün sonu aktarımları kural olarak saat 23.59 itibarıyla yapılır; limit aşımı veya müşteri talebinde gün sonu beklenmez.
Bağımsız denetim: Bilgi sistemleri yönetimi ile TÜBİTAK kriterlerine uygunluk yılda en az bir kez denetlenir. Rezerv kanıtı denetimi mart, haziran, eylül ve aralık ay sonları itibarıyla yapılır. Bankalarda TÜBİTAK ve iş süreçleri denetimi saklama hizmetiyle sınırlı uygulanır.
Denetim hazırlığı rapor tarihinden birkaç hafta önce başlayan bir belge toplama işi değildir. Anahtar envanteri, erişim kayıtları, cüzdan bakiyeleri, müşteri borçları, platform mutabakatları, istisnalar ve düzeltici faaliyetler günlük operasyon sırasında denetime hazır üretilmelidir. Aksi hâlde teknik sistem çalışsa bile faaliyet izninin aradığı kanıt zinciri kurulamaz.
26 Mart 2026 tarihli SPK kararı hangi süreleri değiştirdi?
SPK'nın 26 Mart 2026 tarihli ve 18/617 sayılı kararı, platformların saklama sözleşmelerini Kurula sunma süresi ile Faaliyette Bulunanlar Listesi'ndeki kuruluşların yetki belgesi alma süresini yeni bir sabit tarihe bağlamadı. Sürelerin, yetkilendirilmiş saklama kuruluşları platformlara yaygın hizmet vermeye başladıktan sonra belirlenmesini kabul etti.
Karar bir lisans muafiyeti getirmiyor. Kuruluş izni, faaliyet izni, sermaye yeterliliği, yönetim ve teknik altyapı şartları yürürlükte kalmaya devam ediyor. Ertelenen husus, geçiş dönemindeki iki son tarihin belirlenme biçimidir. Bu nedenle başvuru sahibi kuruluşun 18/617 sayılı kararı “hazırlıkların durduğu” şeklinde okuması hukuken isabetli değildir.
Ayrıca TÜBİTAK kriterlerindeki 31 Mart 2026 teknik uyum tarihi ile SPK'nın sözleşme ve yetki belgesi süreleri birbirinden farklıdır. 18/617 sayılı karar, TÜBİTAK Kriterleri m.33'teki 31 Mart 2026 tarihini uzatmadı. FIPS 140-2 için 31 Aralık 2026'ya kadar tanınan geçiş de yalnız Kriterler m.30'daki şartlı ürün istisnasıdır.
Kripto varlık saklama lisansı hakkında en çok ne soruluyor?
En sık sorulan sorular üç noktada toplanıyor: SPK listesinde olmanın lisans sayılıp sayılmadığı, 630 milyon TL sermayenin tek başına yeterli olup olmadığı ve teknik altyapının dışarıdan alınarak sorumluluğun devredilip devredilemeyeceği. Kısa cevaplar aşağıda; ayrıntılı değerlendirme ise kuruluşun gerçek iş modeline göre yapılmalıdır.
SPK'nın Faaliyette Bulunanlar Listesi lisans anlamına gelir mi?
Hayır. Liste, geçiş dönemindeki başvuru ve faaliyet durumunu gösterir. Yetki belgesi III-35/B.1 sayılı Tebliğ m.17 kapsamında ayrıca verilir; belge alınmadan faaliyete başlanamaz.
630 milyon TL sermaye yatırmak faaliyet izni için yeterli mi?
Hayır. 630 milyon TL, 2026 yılı kuruluş sermayesi alt sınırıdır. Müşteri varlığına bağlı ilave özsermaye, sermaye yeterliliği tabanı, borçlanma ve likidite şartları ile yönetim ve teknik altyapı yükümlülükleri ayrıca sağlanır.
1,9 milyar TL saklanabilecek müşteri varlığının üst sınırı mı?
Hayır. 1,9 milyar TL, III-35/B.2 sayılı Tebliğ m.35/4 kapsamında müşteri varlığına göre hesaplanan toplam özsermaye yükümlülüğünün 2026 yılı tavanıdır. Saklanabilecek varlık büyüklüğünü sınırlamaz.
Banka doğrudan kripto varlık saklama hizmeti sunabilir mi?
Banka, BDDK'nın uygun ön görüşü, SPK değerlendirmesi ve BDDK faaliyet genişleme izniyle bu hizmeti sunabilir. Banka modelinde sermaye yeterliliği hükümlerinin büyük bölümü uygulanmaz; saklama limitleri ve limit takibi devam eder.
Müşterinin anahtarı tamamen kendisindeyse hizmet saklama sayılır mı?
Özel anahtar üzerindeki bütün kontrol yatırımcıda kalıyorsa III-35/B.2 sayılı Tebliğ m.24/5 bu cüzdan hizmetini saklama saymaz. Ancak kurtarma, imzalama veya anahtar parçası üzerinde sağlayıcının fiilî kontrolü varsa ayrıca değerlendirme gerekir.
Anahtar yönetimi dışarıdan hizmet alımıyla tamamen devredilebilir mi?
Saklama sorumluluğu üçüncü tarafa bırakılamaz. Ürün ve destek hizmeti alınabilir; ancak saklama kapsamındaki özel anahtarların üretimi, tutulması, işlenmesi ve kontrolü yetkili saklama kuruluşunda kalmalıdır. Dış hizmet, SPK denetimini veya kayıtların kuruluş bünyesinde tutulmasını engelleyemez.
FIPS 140-2 sertifikalı HSM 2026 sonrasında kullanılabilir mi?
TÜBİTAK Kriterleri m.30'daki geçici imkân 31 Aralık 2026 tarihinde sona erer ve üreticiden geçerli sertifikayla yenileme taahhüdü alınmasına bağlıdır. Ürün ve sertifika yol haritası bu tarihten önce tamamlanmalıdır.
Genel müdür aynı zamanda yönetim kurulu üyesi olabilir mi?
Evet. III-35/B.1 sayılı Tebliğ m.14/2 buna izin verir. Genel müdür yine Türkiye'de mukim, tam zamanlı ve münhasıran bu görev için istihdam edilmiş olmalı; atama için SPK'nın uygun görüşü alınmalıdır.
Başvuruya nereden başlanmalı?
Başlangıç noktası hazır bir esas sözleşme şablonu değil, iş modelini hukuki yetki ve anahtar kontrolü bakımından haritalamaktır. Ardından ortaklık dosyası, 12 aylık sermaye projeksiyonu, yönetici-personel matrisi, teknik boşluk analizi ve denetim kanıt planı tek çalışma takviminde birleştirilmelidir. SPK başvuru formu ancak bu hazırlıktan sonra anlam kazanır.
Hizmet ve anahtar kontrolü haritasını çıkarın; hangi tüzel kişiliğin hangi cüzdanı ve transfer adımını kontrol ettiğini yazılı hâle getirin.
630 milyon TL kuruluş sermayesinin ötesine geçen, müşteri varlığı büyümesini ve 1,9 milyar TL özsermaye tavanını içeren 12 aylık mali model hazırlayın.
Yönetim kurulu, genel müdür, yardımcılar, bilgi güvenliği ve iç sistem görevleri için diploma, tecrübe ve uygunluk dosyalarını başvuru takviminden önce tamamlayın.
HSM, soğuk cüzdan, anahtar seremonisi, yedek, Türkiye'de yerleşiklik ve 24 saatlik süreklilik hedefi için mevcut durum ile mevzuat arasındaki farkları ölçün.
SPK'nın güncel başvuru formları dosyanın biçimini gösterir; dosyanın ikna edici kısmı ise şartların fiilen kurulduğunu kanıtlayan şirket kararları, personel belgeleri, mimari kayıtlar, testler ve denetim izleridir. Kuruluş izninden sonra başlayan altı aylık faaliyet izni başvuru süresini korumanın yolu, bu dört çalışma paketini kuruluş başvurusundan önce aynı takvime bağlamaktır.
Yazar: Av. Ahmet Karaca
Av. Ahmet Karaca, İstanbul Barosuna kayıtlı avukat olup çalışmalarını bilişim hukuku, yapay zekâ hukuku, kripto varlık hukuku, siber suçlar ve dijital dolandırıcılık dosyaları üzerinde yoğunlaştırmaktadır.
