Kripto Varlık Platformu (KVHS) Kurulumu ve SPK Lisanslama Süreci 2026

Türkiye’de kripto varlık hizmet sağlayıcısı kurmak, 7518 sayılı Kanun ile SPK denetimine giren bu alanda bankacılık standartlarına yakın bir uyum yükümlülüğü anlamına gelmektedir. Kuruluş izninden faaliyet iznine, sermaye yeterliliğinden TÜBİTAK teknik altyapı kriterlerine kadar her adımda kritik detaylar mevcut; bu detayların herhangi birindeki eksiklik başvurunun doğrudan reddedilmesine yol açabilmektedir. Piyasadaki pek çok kaynakta hâlâ eski sermaye tutarları yer alırken, bu rehber 2026 yılında geçerli güncel rakamları ve takvimi içermektedir.

— Av. Ahmet Karaca, DeFi Hukuk Bürosu

KVHS Nedir? Kripto Varlık Hizmet Sağlayıcısının Hukuki Tanımı

Kripto varlık hizmet sağlayıcısı (KVHS), 6362 sayılı Sermaye Piyasası Kanunu’nun 35/B maddesi uyarınca kripto varlıkların alım satımı, takas, transfer ve saklama hizmetlerinin bir veya birkaçını düzenli uğraşı olarak icra eden tüzel kişidir. KVHS’ler SPK’nın düzenleme ve denetimine tabidir; lisanssız faaliyet göstermek 3 ila 5 yıl hapis cezası gerektiren bir suç oluşturmaktadır (SPKn m.109/A).

Kanun metninde kripto varlıklar, “dağıtık defter teknolojisi veya benzer bir teknoloji kullanılarak elektronik olarak oluşturulup saklanabilen, dijital ağlar üzerinden dağıtımı yapılan ve değer veya hak ifade edebilen gayri maddi varlıklar” olarak tanımlanmaktadır. Bu tanımın kapsamı oldukça geniştir: Bitcoin ve Ethereum’dan stablecoins’e, utility token’lardan güvenlik tokenlarına kadar pek çok varlık bu kategori altında değerlendirilebilir. Ancak her kripto varlığın alım-satımını sunmak, SPK’nın ayrıca düzenleme alanı saklı tuttuğu varlık kategorileri açısından ek uyum yükümlülükleri doğurabilir.

Bizzat yürüttüğümüz KVHS danışmanlık dosyalarında sıklıkla karşılaştığımız bir konu şudur: girişimciler, sunacakları hizmet kapsamını doğru belirlemeden başvuru sürecine girmektedir. Yalnızca spot alım-satım platformu kurmayı hedefleyen bir girişim için sermaye ve teknik altyapı yükümlülükleri; saklama hizmeti de ekleyen bir yapıya kıyasla belirgin biçimde farklılaşmaktadır. Bu nedenle başvuru öncesinde hizmet kapsamının eksiksiz belirlenmesi, kritik bir stratejik karar niteliğindedir.

Platform ve Saklama Kuruluşu Arasındaki Fark

SPK mevzuatında iki temel KVHS türü tanımlanmıştır: kripto varlık alım satım platformu ve kripto varlık saklama kuruluşu. Bu iki yapı hem faaliyet kapsamı hem de sermaye yükümlülükleri bakımından birbirinden önemli ölçüde ayrışmaktadır.

Dikkat edilmesi gereken kritik bir husus şudur: bir platform, müşteri varlıklarını kendi bünyesinde saklıyorsa bu faaliyet aynı zamanda saklama hizmeti kapsamında değerlendirilebilir. Bu durumda hem platform hem de saklama kuruluşu lisansı alınması ya da lisanslı bir saklama kuruluşuyla sözleşme kurulması gerekir. Pratikte pek çok başvuru, bu ayrımın gözden kaçırılması nedeniyle eksik dosya gerekçesiyle bekletilmektedir.

Yasal Dayanak: 7518 Sayılı Kanun ve SPK Tebliğleri

Türkiye’de KVHS çerçevesinin hukuki altyapısı birden fazla düzenleyici katmandan oluşmaktadır. Bu katmanları doğru anlamak; başvuru dosyasının hazırlanmasında, uyum programının tasarlanmasında ve olası itiraz süreçlerinde belirleyici bir rol oynamaktadır.

• 6362 sayılı Sermaye Piyasası Kanunu (SPKn) m.35/B, m.35/C, m.99/A: Kripto varlık hizmet sağlayıcılarını düzenleyen temel kanun hükümleridir. Lisans zorunluluğu, denetim yetkisi ve yaptırım çerçevesi bu maddelerle belirlenmiştir.
• 7518 sayılı Kanun (Yürürlük: 2 Temmuz 2024): SPKn’ya kripto varlıklara ilişkin hükümleri ekleyen, sektörü resmi düzenleyici çerçeveye dahil eden ve geçiş sürecini başlatan kanundur.
• III-35/B.1 sayılı Tebliğ (13 Mart 2025, R.G. 32840): Kripto varlık hizmet sağlayıcılarının kuruluş, faaliyet, organizasyon ve denetim esaslarını belirleyen temel ikincil düzenlemedir.
• III-35/B.2 sayılı Tebliğ (13 Mart 2025, R.G. 32840): Sermaye yeterliliği, müşteri varlıklarının korunması, saklama ve teknik altyapı gerekliliklerini düzenler.
• SPK 2025/68 sayılı Bülten: %25,49 yeniden değerleme oranıyla sermaye tutarlarını güncelleyen resmi SPK bültenidir. Bu bülten yayımlandıktan sonra sektörde kullanılan pek çok eski kaynak güncelliğini yitirmiştir.
• 5549 sayılı Kanun (MASAK): Suç gelirlerinin aklanmasının önlenmesine ilişkin temel kanundur; KVHS’lerin uyum programları bu kanun kapsamında Mali Suçları Araştırma Kurulu (MASAK) denetimine tabi olarak hazırlanır.

Şirket Kuruluş Şartları: Yapı, Unvan ve Esas Sözleşme

KVHS başvurusuna geçmeden önce şirketin mevzuata uygun biçimde kurulmuş olması zorunludur. Yanlış yapılandırılmış bir şirket yapısı, başvurunun henüz inceleme aşamasına gelmeden iade edilmesine neden olabilir.

• Şirket türü: Anonim Şirket (A.Ş.) olması zorunludur. Limited şirket veya diğer yapılar kabul edilmemektedir.
• Pay yapısı: Tüm paylar nama yazılı olmalıdır. Hamiline yazılı pay çıkarılamaz.
• Sermaye ödemesi: Tüm sermaye nakit olarak ödenmiş ve bankada bloke edilmiş olmalıdır. Ayni sermaye koyma kabul edilmez.
• Ticaret unvanı: “Kripto Varlık Alım Satım Platformu” veya “Kripto Varlık Saklama Kuruluşu” ibaresi unvanda açıkça yer almalıdır.
• Esas sözleşme konusu: Faaliyet konusu münhasıran kripto varlık hizmetleri olarak belirlenmelidir. Farklı iş kollarına yer verilmesi kabul edilmez.
• Yönetim kurulu: En az üç üyeden oluşmalıdır; tüm üyeler SPK’nın belirlediği nitelik şartlarını taşımalıdır.
• Ortaklık şeffaflığı: Ortaklık yapısı açık ve izlenebilir olmalı; nihai hâkim ortak tespit edilebilir nitelikte olmalıdır.
• Merkez adresi: Türkiye’de yerleşik bir merkez adresi zorunludur.

2026 Sermaye Şartları: Güncel Tutarlar ve Hesaplama

Sermaye yeterliliği, yalnızca başvuru anında değil; faaliyetin sürdüğü tüm süre boyunca korunması gereken bir yükümlülüktür. SPK, aktif KVHS’lerin sermayesini periyodik olarak denetler; eşiğin altına düşülmesi faaliyet izninin askıya alınmasına neden olabilir. Bu nedenle başvuru sürecinde planlanan operasyonel maliyetler, yazılım ve altyapı harcamaları ile personel giderleri hesaplandıktan sonra gerçek “çalışan sermaye” ihtiyacı asgari eşiğin önemli ölçüde üzerinde tutulmalıdır.

Danışmanlık verdiğimiz dosyalarda sıklıkla karşılaştığımız bir hata şudur: girişimciler asgari sermaye tutarını tam olarak karşılayan bir yapıyla başvurmaktadır. Oysa başvuru sürecindeki hukuki, teknik ve operasyonel harcamalar göz önüne alındığında, fiili çalışma sermayesinin asgari tutarın en az %20-30 üzerinde planlanması önerilir.

Kurucu, Ortak ve Yönetici Şartları

SPK, KVHS bünyesindeki kurucu ortaklar, pay sahipleri ve yönetim kurulu üyeleri için kapsamlı bir dürüstlük, yeterlilik ve itibar çerçevesi oluşturmuştur. Bu şartların herhangi birinin karşılanmaması başvurunun reddedilmesi sonucunu doğurmaktadır.

Yönetim kurulunun en az üç üyeden oluşması ve üyelerden en az birinin icracı olmayan bağımsız üye niteliğini taşıması beklenmektedir. Ayrıca yönetim kurulunun dağıtılabilir kârın yarısından fazlasını tek başına alma hakkını haiz ortakla ilgili yapılar, SPK’nın özel inceleme odağında yer almaktadır.

SPK Başvuru Dosyası: Adım Adım Hazırlık Rehberi

SPK KVHS başvuru dosyası, Türkiye’nin düzenleyici çerçevesindeki en kapsamlı başvuru dosyalarından biridir. Dosyanın eksiksiz ve tutarlı olması, inceleme süresini doğrudan etkiler; eksik veya çelişkili bir dosya tekrar tamamlanmak üzere iade edilebilir.

Teknik Altyapı ve TÜBİTAK Kriterleri

Bilgi sistemleri altyapısı, SPK başvuru dosyasının teknik açıdan en kritik bileşenidir. SPK, başvuruların değerlendirilmesinde TÜBİTAK veya SPK’nın onayladığı bağımsız denetim kuruluşlarının hazırladığı teknik raporlara büyük ağırlık vermektedir.

Pratikte en çok gecikmeye neden olan teknik eksiklikler şunlardır: DR mimarisinin yeterince belgelenmemiş olması, işlem günlüklerinin değiştirilemezliğinin kanıtlanamaması ve sistem sürekliliği garantisinin üçüncü taraf SLA sözleşmeleriyle desteklenmemesi. Bu eksiklikler, bilgi sistemleri raporunun iade edilmesine ve başvurunun bekleme sürecine girmesine neden olmaktadır.

Siber Güvenlik Denetim Belgesi

SPK, 30 Eylül 2025 tarihinden itibaren yapılan başvurularda bağımsız bir siber güvenlik denetim belgesinin dosyaya eklenmesini zorunlu kılmaktadır. Bu belge yalnızca bir güvenlik değerlendirmesi değil; platformun canlı ortama alınmadan önce belirlenmiş güvenlik eşiklerini karşıladığını kanıtlayan resmi bir denetim çıktısıdır.

• Sızma testi (ağ, uygulama ve sosyal mühendislik testleri dahil)
• Güvenlik açığı taraması ve CVSS skorlama raporu
• Güvenli yazılım geliştirme yaşam döngüsü (SDLC) değerlendirmesi
• Ağ segmentasyonu ve güvenlik duvarı konfigürasyon denetimi
• Şifreleme ve anahtar yönetimi politikası incelemesi
• Olay müdahale planı ve iş sürekliliği testi

Denetim, SPK’nın kabul ettiği akredite bir bilgi güvenliği kuruluşu tarafından gerçekleştirilmelidir. Denetim firmalarının SPK nezdinde tanınırlığı, raporun kabul edilebilirliğini doğrudan etkiler. Bu nedenle denetim firmasi seçimi aşamasında SPK’nın güncel kabul listesinin kontrol edilmesi önerilir.

MASAK Uyum Programı: AML/KYC/KYB Gereklilikleri

MASAK uyum programı, teorik bir belge koleksiyonu olmanın ötesinde; gerçekten işler, test edilebilir ve denetlenebilir bir süreç bütünü olarak hazırlanmalıdır. Yüzlerce sayfalık politika belgeleri içeren ancak pratikte uygulanabilirliği kanıtlanamayan uyum programları, denetim sürecinde en sık eleştiri alan konular arasında yer almaktadır.

Uyum programının içermesi gereken temel bileşenler:

• KYC (Know Your Customer) Prosedürleri: Bireysel müşterilerin kimlik tespiti, belge doğrulama, canlılık testi ve PEP (Siyasi Nüfuz Sahibi Kişi) taraması prosedürleri
• KYB (Know Your Business) Prosedürleri: Kurumsal müşterilerin teyidi, nihai hak sahibinin (UBO) tespiti, şirket belge doğrulaması
• Müşteri Risk Sınıflandırması: Düşük/orta/yüksek risk kategorileri, risk skorlama metodolojisi ve yüksek riskli müşteri için artırılmış durum tespiti (EDD) prosedürleri
• Şüpheli İşlem Bildirimi (ŞİB): MASAK’a bildirim tetikleyicileri, bildirim süreçleri ve belgeleme gereklilikleri
• İşlem İzleme: Kural tabanlı ve davranışsal analiz içeren işlem izleme sistemi; uyarı yönetim prosedürleri
• Yaptırım Listesi Taraması: OFAC, BM, AB ve Türkiye yaptırım listelerine karşı gerçek zamanlı tarama mekanizması
• Eğitim Planı: Tüm personel için AML/CFT eğitim müfredatı ve periyodik yenileme planı
• Uyum Sorumlusu: Tam zamanlı, bağımsız ve ilgili niteliklere sahip uyum sorumlusunun atanması ve görev tanımı

Danışmanlık verdiğimiz dosyalarda, uyum programının en zayıf bileşeninin genellikle işlem izleme sistemi olduğunu gözlemliyoruz. Sektörde kullanılan ticari AML yazılımlarından (Chainalysis KYT, Elliptic, Crystal Blockchain gibi araçlar) yararlanılması hem teknik yeterliliği hem de denetim güvenilirliğini artırmaktadır.

Saklama Kuruluşu Sözleşmesi ve Entegrasyonu

Kripto varlık platformlarının müşteri varlıklarını kendi bünyelerinde tutmaları yasaklanmıştır. Müşteri kripto varlıkları, SPK lisanslı bir saklama kuruluşu nezdinde muhafaza edilmek zorundadır. Saklama entegrasyonu, hem teknik hem de hukuki boyutları olan kritik bir gereklilik olup başvurunun en zorlu bileşenlerinden birini oluşturmaktadır.

Saklama entegrasyonunda teknik gereklilikler şunlardır: müşteri varlıklarının platforma ait varlıklardan ayrı tutulması (segregasyon), varlık sahipliğini kanıtlayan kriptografik rezerv kanıtı mekanizması, gerçek zamanlı bakiye mutabakat sistemi ve hot/cold wallet oranlarının SPK’nın belirlediği sınırlar dahilinde yönetilmesi.

Saklama kuruluşuyla imzalanacak hizmet sözleşmesinin; hizmet düzeyi anlaşması (SLA), operasyonel süreçler, ücret yapısı, acil durum prosedürleri ve varlık iadesi süreçlerini kapsamlı biçimde düzenlemesi, hem regülatuvar hem de müşteri koruma perspektifinden büyük önem taşımaktadır.

Müşteri Sözleşmeleri, Aydınlatma ve KVKK

SPK mevzuatı, KVHS’lerin müşterileriyle imzalayacağı sözleşmeler ve yapacağı açıklamalar konusunda kapsamlı standartlar belirlemiştir. Müşteri sözleşmesinin SPK standartlarına uygun hazırlanmaması lisans askıya alımına neden olabilecek bir uyum eksikliği olarak değerlendirilmektedir.

• Kullanıcı sözleşmesi: Platform kuralları, ücret yapısı, çekim prosedürleri, hesap dondurma koşulları ve uyuşmazlık çözüm mekanizmalarını içermelidir.
• Risk açıklama formu: Kripto varlık yatırımlarına özgü riskler, fiyat oynaklığı, platform riskleri ve mevzuat değişiklikleri açıkça belirtilmelidir.
• Aydınlatma metni: Müşterinin anlaşılır, sade bir dille platform işleyişi hakkında bilgilendirilmesini sağlamalıdır.
• KVKK uyum belgeleri: Kişisel verilerin işlenmesine ilişkin açık rıza metni, veri işleme politikası ve veri ihlali prosedürleri hazırlanmalıdır.
• Reklam ve pazarlama kurallarına uyum: SPK, KVHS’lerin reklam içeriklerini kısıtlamaktadır; sözleşme ve tanıtım materyallerinde garanti getiri, risk uyarısı eksikliği veya yanıltıcı karşılaştırmalar yer alamaz.

Başvurudan Faaliyet İznine: Süreç Haritası

KVHS lisanslama süreci birbirini izleyen iki ana aşamadan oluşmaktadır: kuruluş izni ve faaliyet izni. Bu iki aşamanın toplam süresi eksiksiz bir başvuru dosyasıyla ortalama 6 ila 12 ay arasında değişmektedir.

2026 Kritik Takvim ve Önemli Tarihler

Lisanssız Faaliyet: Hukuki Sonuçlar ve Cezalar

SPK lisansı olmadan kripto varlık hizmeti sunmak Türkiye’de son derece ağır hukuki sonuçlar doğurmaktadır. 7518 sayılı Kanun ve SPKn’daki değişiklikler, bu alandaki yaptırım çerçevesini önemli ölçüde sertleştirmiştir.

Önemle vurgulanması gereken husus şudur: yaptırım yalnızca platformu işletenlerle sınırlı değildir. Yönetim kurulu üyeleri, uyum sorumluları ve fiili işletimde görev üstlenen kişiler de bireysel olarak yaptırımla karşılaşabilir. Bu nedenle KVHS bünyesinde görev alan herkesin kişisel hukuki sorumluluğunun bilincinde olması gerekmektedir.

Başvurularda En Sık Yapılan 7 Hata

Yürüttüğümüz KVHS danışmanlık dosyalarında başvuruların iade edilmesine ya da reddedilmesine en sık neden olan hatalar şunlardır:

1. Eski sermaye tutarlarıyla başvuru yapmak: 2025/68 sayılı bülten öncesindeki tutarlara (50.000.000 TL gibi) dayanan projeksiyonlarla hazırlanan dosyalar derhal iade edilmektedir.
2. Hizmet kapsamını belirsiz bırakmak: Sunulacak hizmetlerin net olarak tanımlanmaması, hem sermaye hesaplamasını hem de teknik altyapı gerekliliklerini hatalı belirler.
3. Bilgi sistemleri raporunu eksik hazırlamak: Yalnızca teknik mimari diyagramı içeren, ancak operasyon sürekliliği, yedekleme ve güvenlik protokollerini kapsamayan raporlar inceleme aşamasında iade edilmektedir.
4. MASAK uyum programını teorik düzeyde bırakmak: Pratikte uygulanamayan, işlem izleme sistemleriyle entegre olmayan uyum programları denetimde yetersiz bulunmaktadır.
5. Saklama sözleşmesini atlamak: Müşteri varlıklarının nasıl korunacağına ilişkin somut bir saklama entegrasyon planı ve sözleşme olmadan yapılan başvurular tamamlanmadan bekletilmektedir.
6. Yönetici belgelerini eksik sunmak: Tüm yönetim kurulu üyelerine ait özgeçmiş, adli sicil ve beyan formlarının eksiksiz sunulmaması sıkça karşılaşılan bir eksikliktir.
7. Müşteri sözleşmesini standart bir şablonla hazırlamak: SPK’nın belirlediği zorunlu unsurları içermeyen, kripto varlık hizmetlerine özgü olmayan kullanıcı sözleşmeleri red gerekçesi oluşturmaktadır.

Sıkça Sorulan Sorular (SSS)

Sonuç ve Danışmanlık

Türkiye’de kripto varlık hizmet sağlayıcısı lisansı almak, 2026 itibarıyla ciddi bir sermaye taahhüdünü (250-630 milyon TL), kapsamlı bir teknik altyapıyı, eksiksiz bir MASAK uyum programını ve tüm bileşenlerin birbiriyle tutarlı biçimde bir araya getirildiği bir başvuru dosyasını gerektirmektedir. Süreç zorlu olmakla birlikte, Türkiye’nin kripto ekosisteminde lisanslı bir aktör olarak yer almak; yatırımcı güveni, kurumsal iş birlikleri ve uzun vadeli sürdürülebilirlik açısından tartışmasız bir rekabet avantajı sağlamaktadır.

DeFi Hukuk Bürosu olarak KVHS danışmanlık süreçlerinde; iş modeli ve hizmet kapsamı belirleme, başvuru dosyasının tüm bileşenleriyle hazırlanması, bilgi sistemleri ve siber güvenlik denetim koordinasyonu, MASAK uyum programının tasarlanması ve SPK sürecinin yönetilmesi konularında bütünsel destek sunmaktayız.

KVHS kurulumu ve SPK lisanslama sürecine ilişkin danışmanlık almak için Av. Ahmet Karaca ve ekibine 0531 336 09 81 numaralı hattan ulaşabilirsiniz.