Türkiye’de kripto varlık saklama hizmeti sunmak için kural olarak SPK’dan kuruluş ve faaliyet izni alınması gerekir; bankalar bakımından ise SPK sürecine BDDK’nın uygun ön görüşü ve faaliyet genişleme onayı da eklenir. Başvuru, yalnızca sermaye yatırıp şirket kurmaktan ibaret değildir. Özel anahtar mimarisi, cüzdan güvenliği, MKK entegrasyonu, yönetim ve personel yapısı, iç sistemler, bağımsız denetim ve TÜBİTAK altyapı kriterleri birlikte ve işler durumda kurulmalıdır.
2026 için güncellenmiş asgari kuruluş sermayesi saklama kuruluşlarında 630 milyon TL, platformlarda ise 250 milyon TL olarak ilan edilmiştir. Ancak bu tutarı sağlamak tek başına lisans verileceği anlamına gelmez; özsermaye ve müşteri varlığına bağlı ilave özsermaye yükümlülükleri faaliyet boyunca korunur.
Yayım ve güncelleme tarihi: 3 Eylül 2026. Parasal tutarlar SPK’nın 2026 yılı için yayımladığı güncelleme esas alınarak belirtilmiştir; başvurudan önce en güncel bülten ve formlar yeniden kontrol edilmelidir.
Kripto varlık saklama hizmeti hukuken nedir?
Saklama hizmeti, kripto varlıkların veya bunlara ilişkin özel anahtarların saklanması ve yönetilmesi ile Kurulca belirlenecek diğer saklama hizmetlerini ifade eder. III-35/B.2 sayılı Tebliğ, platform müşterilerinin kendi cüzdanlarında tutmayı tercih etmedikleri varlıkların bu rejimde saklanacağını düzenler. Saklama kuruluşları ayrıca platform müşterisi olmayan kişilere doğrudan saklama hizmeti de verebilir; bu durumda müşteriyle ayrı sözleşme kurulması gerekir.
Özel anahtarın bütün kontrolünün yatırımcıda kaldığı, hizmet sağlayıcının tek başına veya birlikte transfer yetkisi bulunmadığı gerçek anlamda “non-custodial” cüzdan hizmeti ise Tebliğ uyarınca saklama hizmeti sayılmaz. Bu istisna etiketle değil teknik gerçeklikle belirlenir. Kurtarma anahtarı, imza payı, kullanıcı işlemini bloke etme veya tek taraflı güncelleme yetkisi sağlayıcıda bulunuyorsa kontrol mimarisi ayrıca incelenmelidir.
Kuruluş izni ile faaliyet izni aynı şey midir?
Hayır. Kuruluş izni şirketin düzenlemeye uygun biçimde kurulmasına; faaliyet izni ise gerekli organizasyon ve teknik altyapıyı tamamladıktan sonra belirli hizmetleri fiilen sunabilmesine ilişkindir. Yetki belgesi alınmadan müşteri kabulüne ve hizmet sunumuna başlanamaz.
| Aşama | Temel soru | Başlıca çıktı |
|---|---|---|
| Faaliyet sınıflandırması | Sunulacak model saklama mı, platform faaliyeti mi, non-custodial teknoloji mi? | Hukuki ve teknik faaliyet haritası |
| Kuruluş izni | Şirket, kurucular, ortaklık yapısı ve esas sözleşme uygun mu? | SPK’nın kuruluş izni |
| Operasyonel kurulum | Sermaye, ekip, iç sistemler, cüzdan ve entegrasyonlar işler mi? | Başvuruya hazır kurum |
| Faaliyet izni | Genel ve faaliyete özgü şartlar fiilen sağlanıyor mu? | Yetki belgesi |
| Süreklilik | Şartlar raporlama dönemlerinde korunuyor mu? | Devam eden uyum ve denetim |
Saklama kuruluşunun şirket yapısı nasıl olmalıdır?
Bankalar için öngörülen ayrık hükümler saklı kalmak üzere, yeni kurulacak saklama kuruluşunun anonim ortaklık şeklinde olması; paylarının tamamının nama yazılı ve nakit karşılığı çıkarılması; sermayesinin tamamen nakden ödenmesi; işletme konusunun münhasıran yetkili faaliyetlerden oluşması ve ortaklık yapısının şeffaf olması gerekir. Ticaret unvanında “kripto varlık saklama kuruluşu” ibaresi bulunmalıdır.
Kurucu ve nitelikli ortaklar bakımından mali güç, dürüstlük ve itibar, iflas/konkordato geçmişi, belirli mahkûmiyetlerin ve işlem yasaklarının bulunmaması gibi şartlar aranır. Tüzel kişi ortaklıklarında inceleme, nihai gerçek kişi ortaklara kadar ilerleyebilir. Bu nedenle başvuru dosyası yalnızca güncel pay defterini değil, doğrudan ve dolaylı kontrol zincirini anlaşılır biçimde göstermelidir.
2026 sermaye ve özsermaye şartları nelerdir?
SPK’nın 2025/68 sayılı bülteninde 2026 için saklama kuruluşu asgari kuruluş sermayesi 630 milyon TL, platform asgari kuruluş sermayesi 250 milyon TL olarak belirlenmiştir. Tebliğdeki ilk tutarlar sırasıyla 500 milyon TL ve 150 milyon TL idi; başvuru hesabında güncel tutarlar esas alınmalıdır.
Saklama kuruluşunun özsermayesi asgari kuruluş sermayesinin altına düşemez. Ayrıca saklanan toplam müşteri varlıkları için ilave özsermaye kuralı uygulanır. 2026 değerlerine göre:
- Toplam müşteri varlıklarının 1,25 milyar TL’ye kadar olan kısmı için ilave özsermaye aranmaz.
- Bu eşiği aşan bölüm için kuruluş sermayesine ek olarak aşan tutarın %1,5’i kadar özsermaye gerekir.
- Özsermaye 1,9 milyar TL’ye ulaştığında müşteri varlığına bağlı ilave özsermaye aranmaz.
Yükümlülük üçüncü, altıncı, dokuzuncu ve on ikinci ay sonlarında; toplam müşteri varlıklarının üç aylık aritmetik ortalaması üzerinden takip edilir. Dolayısıyla lisans dosyasındaki tek günlük sermaye fotoğrafı yeterli değildir; büyüme senaryosuna göre özsermaye planı kurulmalıdır.
Yönetim kurulu, genel müdür ve personel şartları nelerdir?
Yönetişim, teknik güvenliğin hukukî karşılığıdır. Yönetim kurulu en az üç üyeden oluşmalı ve üyelerin çoğunluğu dört yıllık lisans mezunu olmalıdır. Genel müdür ve yardımcılarının mali piyasalar, bilgi işlem, bilgi teknolojileri veya finansal teknolojiler alanında en az yedi yıllık mesleki tecrübesi bulunmalıdır. Genel müdür Türkiye’de mukim, tam zamanlı ve münhasıran bu görev için istihdam edilmelidir; atamalar SPK’nın uygun görüşüne tabidir.
Saklama hizmetinden münhasıran sorumlu birim veya birimler ile yeterli personel kurulmalıdır. Organizasyon yalnızca isimlerden oluşamaz. Yetki matrisi; özel anahtarlara erişim, işlem önerme ve onaylama, güvenlik olayı yönetimi, mutabakat, değişiklik yönetimi, iç kontrol ve denetim görevlerini birbirinden ayırmalıdır.
- İç denetim, iç kontrol ve risk yönetimi fonksiyonları;
- tam zamanlı bilgi güvenliği sorumlusu;
- bilgi teknolojileri operasyon, yazılım, test ve veri tabanı yetkinliği;
- kripto varlık saklama operasyonu ve mutabakat personeli;
- MASAK yükümlülükleri, müşteri tanıma ve olay müdahale süreçleri
faaliyete geçmeden önce uygulanabilir prosedürler ve kanıt üretir kontrollerle çalışır durumda olmalıdır.
TÜBİTAK teknik altyapı şartları hangi alanları kapsar?
TÜBİTAK kriterleri yalnızca bir sızma testi kontrol listesi değildir; cüzdan güvenliği, bilgi sistemleri yönetişimi, bilgi güvenliği ve iş sürekliliğini uçtan uca ele alır. TÜBİTAK BİLGEM, “Kripto Varlık Hizmet Sağlayıcıların Bilgi Sistemleri ve Teknolojik Altyapılarına İlişkin Kriterler” dokümanını 8 Mayıs 2025’te yayımladı. Faaliyet izni için VII-128.10 sayılı Tebliğ ile bu kriterlere uygun güvenlik altyapısının kurulmuş ve işlerliğinin sağlanmış olması gerekir.
Saklama mimarisinde özellikle şu kontrol aileleri kritik hâle gelir:
- Anahtar yaşam döngüsü: üretim, parçalama, dağıtım, kullanım, rotasyon, yedekleme, kurtarma ve güvenli imha;
- HSM ve kritik bileşenler: anahtarların güvenli donanım modülü dışına çıkarılmaması, fiziksel/elektronik sabotaj önlemleri ve yetkisiz erişimin engellenmesi;
- Çoklu onay ve görevler ayrılığı: tek kişinin para hareketi yaratıp onaylayamaması; imza politikalarının tutar, varlık, ağ ve risk seviyesine göre uygulanması;
- Ağ ve uygulama güvenliği: ayrıcalıklı erişim, kod değişikliği, API, düğüm, cüzdan orkestrasyonu, log ve izleme kontrolleri;
- İş sürekliliği: anahtar kaybı, HSM arızası, zincir çatallanması, ağ kesintisi ve siber olay senaryolarının test edilmesi;
- Tedarikçi riski: bulut, HSM, MPC, node ve güvenlik hizmetlerinin sorumluluk ve erişim sınırlarının belgelenmesi.
Tebliğ ayrıca müşteri varlıklarının kontrolünde kullanılan anahtar ve parçalarının HSM’lerde tutulmasını; anahtarların çok taraflı eşik kriptografisi gibi yöntemlerle bölünmesi hâlinde parçaların ve bunların kullanıldığı mekanizmaların, yedekler dâhil, Türkiye’de bulunmasını ve kontrolün hizmet sağlayıcıda olmasını ister.
Sıcak cüzdan, soğuk cüzdan ve saklama oranları nasıl düzenlenir?
Saklama kuruluşlarında sıcak cüzdan büyüklüğünün toplam müşteri varlığının %5’ine kadar olması esastır. Platform müşterilerinin varlıklarının tamamını saklayan ve transfer emirlerini de mevzuata uygun biçimde gerçekleştiren kuruluşlarda bu oran, gün içi transfer yoğunluğu dikkate alınarak azami %10’a çıkabilir.
Bu oranlar operasyonel bir tercih değil, günlük mutabakat, likidite, anahtar güvenliği ve sermaye planını birlikte etkileyen tasarım parametreleridir. Sıcak cüzdan fazlası yalnızca teknik risk yaratmaz; düzenleyici uyumsuzluk ve müşteri varlıklarının korunması sorunu doğurur.
MKK entegrasyonu ve mutabakat neden lisans dosyasının merkezindedir?
Platform ve saklama kuruluşu, kurum kayıt sistemindeki müşteri kripto varlık bakiyelerini MKK’ya raporlamak ve teknik entegrasyonu sağlamak zorundadır. Platform ile saklama kuruluşunun raporları aynı sonucu vermeli; fark oluştuğunda MKK bunu Kurula bildirir. Bu mekanizma, “zincirde görünen toplu bakiye” ile “hangi müşteriye ne kadar borç var” sorularını ayrı ayrı ve uzlaştırılmış biçimde cevaplamayı amaçlar.
Başvuru hazırlığında yalnızca API’nin çalışması değil; hata yönetimi, yeniden deneme, zaman damgası, günlük kapanış, zincir yeniden yapılanması, token decimal değişikliği ve kurumsal kayıt–zincir üstü kayıt farkının kim tarafından nasıl çözüleceği test edilmelidir.
Bankaların saklama lisansı süreci nasıl farklılaşır?
Bankalar için SPK izni tek otoriteli bir süreç değildir. Başvurunun SPK tarafından değerlendirilebilmesi için BDDK’nın uygun ön görüşü aranır. SPK değerlendirme sonucundan sonra bankanın BDDK’ya faaliyet genişleme izni için başvurması ve bu onayı da alması gerekir. Bankalar kuruluş şekli ve ortaklara ilişkin bazı hükümlerden istisna olsa da sermaye yeterliliği, organizasyon, personel, bilgi sistemleri, MKK ve saklama altyapısı şartlarını faaliyetle ilgili ölçüde sağlamalıdır.
Başvuru dosyası nasıl hazırlanmalıdır?
En verimli yöntem, hukuk dosyası ile teknik uygulamayı iki ayrı çalışma gibi değil, tek bir kontrol matrisi olarak yönetmektir. Her mevzuat maddesi için sorumlu birim, politika/prosedür, çalışan kontrol, üretilen kanıt, test sonucu ve açık aksiyon gösterilmelidir.
- Hizmet sınırını çizin: Hangi varlıklar, ağlar, müşteri tipleri ve kontrol modelleri desteklenecek?
- Şirket ve ortaklık incelemesini tamamlayın: Nihai faydalanıcı, mali güç ve uygunluk belgelerini başvuru formuyla tutarlı hâle getirin.
- Sermaye modelini kurun: Yalnız asgari tutarı değil, müşteri varlığı büyümesine bağlı özsermaye senaryolarını hesaplayın.
- Yönetişimi işletin: Yönetim kurulu kararları, yetki matrisi, çıkar çatışması, iç kontrol, risk ve denetim takvimini uygulamaya alın.
- Teknik kanıt üretin: Mimari, veri akışı, HSM/MPC konfigürasyonu, erişim kayıtları, felaket kurtarma ve güvenlik testlerini belgelendirin.
- Entegrasyonları bitirin: MKK, bankalar, platformlar ve blokzincir ağlarıyla mutabakat senaryolarını uçtan uca test edin.
- Formların güncel sürümünü kullanın: SPK, eksik veya güncel formata uymayan başvuruların işleme alınmayacağını açıkça belirtir.
SPK’nın “Faaliyette Bulunanlar Listesi” lisans anlamına gelir mi?
Hayır. SPK’nın güncel sayfasındaki liste “geçici liste”dir ve Kurul, burada bulunmanın yetkilendirme anlamına gelmediğini açıkça bildirir. “Saklama başvurusu” ibaresi de sonuçlanmış faaliyet izniyle aynı değildir. Karşı taraf incelemesinde yetki belgesi ve kapsamı ayrıca doğrulanmalıdır.
Sık sorulan sorular
Kripto saklama lisansı için 2026 asgari sermaye ne kadar?
SPK’nın 2025/68 sayılı bülteniyle 2026 için güncellenen asgari kuruluş sermayesi saklama kuruluşlarında 630 milyon TL’dir. Faaliyet ölçeğine göre ilave özsermaye gerekebilir.
Non-custodial cüzdan lisansa tabi mi?
Özel anahtarın bütün kontrolünün gerçekten yatırımcıda kaldığı yöntemle cüzdan sunulması Tebliğde saklama hizmeti sayılmaz. Ancak teknik mimari sağlayıcıya ortak kontrol, kurtarma veya transfer yetkisi veriyorsa somut model ayrıca incelenmelidir.
TÜBİTAK lisans verir mi?
Hayır. Yetkilendirme kararı SPK’ya aittir. TÜBİTAK teknik kriterleri belirler; gerekli görülürse SPK talebiyle bilgi sistemleri denetimine katılır ve teknik değerlendirmeye katkı sunar.
Kuruluş izni alınınca müşteri kabul edilebilir mi?
Hayır. Yetki belgesiyle faaliyet izni alınmadan faaliyete başlanamaz.
Resmî kaynaklar
- SPK: III-35/B.1 ve III-35/B.2 sayılı tebliğlere ilişkin duyuru
- SPK 2025/68 sayılı bülteni: 2026 parasal tutarları
- SPK: güncel başvuru süreçleri ve formlar
- TÜBİTAK BİLGEM: KVHS teknik altyapı kriterleri duyurusu
Sonuç
Kripto varlık saklama lisansı, “güvenli cüzdan yazılımı” ile “finansal kurum” arasındaki farkı görünür kılan bir süreçtir. Başarılı başvuru; sermaye, uygun ortaklık yapısı, yetkin yönetim, bağımsız iç sistemler, anahtarların yaşam döngüsü, MKK mutabakatı ve teknik denetlenebilirliğin aynı anda kurulmasına bağlıdır. Başvurunun en pahalı hatası çoğu zaman eksik belge değil, hukukî hizmet tanımı ile fiilî teknik mimarinin birbirini tutmamasıdır.
Bu içerik genel hukuki bilgilendirme amacı taşır. Faaliyet modeli ve başvuru belgeleri somut olarak incelenmeden yatırım veya hukuk görüşü yerine kullanılmamalıdır.
İlgili çalışma alanı: Kripto Varlık Hizmet Sağlayıcı (KVHS) Lisansı ve MASAK Uyumu — Kripto varlık hizmet sağlayıcıları, kripto borsaları, saklama kuruluşları ve fintech girişimleri.
