Türkiye’nin kripto lisanslama rejimi iki yılını doldururken tablo netleşti: KVHS (CASP) lisansı basit bir başvuru değil, şirketin baştan yeniden kurulması demek. Çerçeveyi 7518 sayılı Kanun ve SPK’nın III-35/B.1 Tebliği çiziyor; onaylanan başvuruları tıkananlardan ayıran ise işlerin hangi sırayla yapıldığı. Bu rehberi, her başvurucunun avukatla çalışmaya başlamadan önce okumasını isterdik; kendi müvekkillerimiz de dahil.
Önce gerçekten hangi lisansa ihtiyacınız olduğunu netleştirin
Kapsama alım-satım platformları, aracılık, saklama ve transfer hizmetleri girer (SerPK m. 35/B). Giriş maliyetini iki eşik belirler: 2026 için asgari kuruluş sermayesi platformlarda 250 milyon TL, saklama kuruluşlarında 630 milyon TL (SPK Bülteni 2025/68; III-35/B.2 m.34’te başlangıçta 150 milyon TL ve 500 milyon TL olarak belirlenmişti, her yıl yeniden belirlenir). Sermayenin tamamı nakden ödenmiş olmalıdır. Türkiye’de iş yeri açan, Türkçe internet sitesi kuran ya da Türkiye’de yerleşik kişilere yönelik tanıtım ve pazarlama yapan yabancı operatör kapsama girer (m. 99/A). Türkiye’de yerleşik kişinin tamamen kendi inisiyatifiyle aldığı hizmet ise ancak böyle bir tanıtım yoksa kapsam dışında kalır (III-35/B.2 m.9). İzinsiz faaliyet m. 109/A uyarınca suçtur; kapsam konusunda iyimser bir yoruma yaslanmanın göze alınamayacağı tek soru budur.
Bu çerçevenin dayandığı kanunun tasarı aşamasında neler getirdiğini 7518 sayılı Kripto Varlık Kanunu’nun 2024 tasarısına ilişkin yazımızda ele almıştık.
Kurumsal yapı
Payları nama yazılı bir anonim şirket; iflas ve mali suç geçmişi temiz, fon kaynağını belgeleyebilen kurucular ve %10 ve üzeri pay sahipleri; mali piyasalar, bilgi teknolojileri veya finansal teknolojilerde en az yedi yıllık deneyimi olan ve genel müdürü Türkiye’de yerleşik, tam zamanlı çalışan bir üst yönetim (III-35/B.1 m.14) ve en az üç üyeli bir yönetim kurulu (m.15). Yabancı ortak almak mümkün; ancak onun KYC dosyası da sizin dosyanızın parçası olur, bu yüzden belgeleri erkenden toplamaya başlayın.
Başvuru dosyası, hazırlanma sırasıyla
- Sermaye yatırılmış ve belgelenmiş olmalı; yönetim kurulu düzeyinde hazırlığı en uzun süren kalem budur.
- Yönetişim: üç savunma hattı; bağımsız iç kontrol, iç denetim ve risk fonksiyonları. Uyum görevlisi ile bilgi güvenliği yöneticisinin yalnızca adı belirlenmiş değil, fiilen atanmış olması gerekir.
- MASAK programı (5549): yazılı politikalar, CDD/EDD kademelendirmesi, işlem izleme senaryoları, ŞİB süreçleri, eğitim kayıtları. Düzenleyici kapak sayfasına değil, senaryoların içeriğine bakar.
- Bilgi güvenliği: SPK VII-128.10 Tebliği ve TÜBİTAK altyapı kriterlerine uyum, sızma testi, çoklu imzalı soğuk/sıcak cüzdan ayrımı ve belgelenmiş anahtar oluşturma törenleri.
- Müşteri varlıklarının yapısı: kripto varlıklar şirket varlıklarından ayrı tutulmalı, günlük mutabakat yapılmalı ve rehypothecation olmamalı; nakit, lisanslı bankalardaki ayrı hesaplarda tutulmalı.
- İş sürekliliği: kurtarma hedefleri test edilmiş BCP/DRP.
Başvuruların en sık tıkandığı üç nokta
Eksik sermayeyle şansını denemek; bu, başvurunun zayıflığını hemen ele verir. Önce sermayeyi artırın ya da yapıyı yeniden kurgulayın. Kâğıt üzerinde kalan yönetişim; denetlediği kişiye raporlayan bir uyum görevlisi, bağımsızlık testinden daha organizasyon şemasına bakıldığı anda kalır. Travel Rule’u sona bırakmak. FATF R.16 kapsamında karşı taraf VASP‘larla bilgi paylaşımı, gerçekten çalışan bir araç gerektirir ve SPK bunun çalıştığını görmek ister.
Lisans alındıktan sonra
Rejimin asıl yükü operasyoneldir: üç aylık ve aylık raporlama, SPK’nın tanıdığı bir denetçiye yaptırılan yıllık bağımsız denetim, KAP açıklamaları, sermaye yeterliliğinin sürekli korunması ve %10 ve üzeri pay devirleri, yönetim kurulu değişiklikleri ile faaliyet kapsamının genişletilmesi için önceden SPK onayı. Uyum fonksiyonunu kalıcı bir maliyet kalemi olarak bütçeleyin; lisansı kaybetmek, almaktan daha pahalıya gelir.
İngiliz kullanıcısı olan platformların SPK lisansına ek olarak karşılaşacağı FCA başvuru penceresini İngiltere kripto lisansı yazımızda ele aldık.
SPK lisansının AB müşterisine hizmet için yeterli olup olmadığını ve MiCA yetkilendirmesiyle nasıl etkileştiğini Türk kripto şirketleri için MiCA notunda ele aldık.
KVHS Lisans Yükümlülüğü Kontrol Listesi‘ndeki 30 maddenin üzerinden geçin, ardından eksiklerinizi KVHS / Kripto Uyum çalışma alanımızla karşılaştırın.
Bu yazı yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. Ekim 2026 itibarıyla geçerli çerçeveyi yansıtır.
Bu alandaki çalışmalarımız için: Fintech ve Ödeme Hukuku sayfamız.
Yazar
Daha fazla Vircon İçgörüleri
SPK Nitelikli Yatırımcı Eşiğini 50 Milyon TL'ye Çıkardı: GSYF ve GYF İstisnası Kalktı
26 Ekim 2026Ekim 2026'da Ne Değişti? Startup, Fintech ve Teknoloji Şirketleri İçin Aylık Mevzuat Özeti
4 Kasım 2026Türkiye Yeşil Taksonomisi Yönetmeliği: Startup, Fintech ve Finansman Arayan Şirketler İçin Rehber (2026)
3 Kasım 2026Oltalama (Phishing) Dolandırıcılığında Banka İadesi: AB Adalet Divanı "Önce İade" Dedi (C-70/25), Türk Hukukunda Kural Ne?
29 Ekim 2026Anthropic'in 1,5 Milyar Dolarlık Telif Anlaşması: Mahkeme Ne Dedi, Ne Demedi ve Türk Hukuku İçin Dersler (Bartz v. Anthropic)
28 Ekim 2026Bilgilendirilmiş Rıza Artık e-Nabız ve SMS ile Alınabiliyor: Sağlık Tesisleri ve Dijital Sağlık Girişimleri İçin Yeni Yönetmelik (RG 27.10.2026)
27 Ekim 2026İlgili Hizmet Alanlarımız
ICO'lar & Kripto Para Birimleri Blockchain
Kripto varlık regülasyonu, token arzı, exchange ve custody lisansı.
Hizmet sayfası →Şirketler Hukuku
Hisse devirleri, sermaye artırımları, yönetim kurulu yapılandırması.
Hizmet sayfası →İş Hukuku
İş sözleşmeleri, ESOP, fesih, rekabet yasağı, çalışma izni.
Hizmet sayfası →