Kripto Varlık Hizmet Sağlayıcısı (KVHS) Kurulumu ve SPK Lisanslama Süreci

”Kripto Varlık Hizmet Sağlayıcısı (KVHS) Kurulumu ve SPK Lisanslama Süreci”

Türkiye’de finansal piyasaların dijitalleşmesi ve kripto varlık ekosisteminin devasa bir işlem hacmine ulaşması, bu alanın yasal bir zemine oturtulması ihtiyacını doğurmuştur. 2 Temmuz 2024 tarihli ve 32590 sayılı Resmi Gazete’de yayımlanarak yürürlüğe giren 7518 sayılı Kanun ile 6362 sayılı Sermaye Piyasası Kanunu’nda (SPKn) köklü değişiklikler yapılmış ve Kripto Varlık Hizmet Sağlayıcılar (KVHS) ilk kez resmi, yasal ve denetlenebilir bir statüye kavuşturulmuştur.

Bu yasal reformla birlikte Türkiye’de artık dileyen her girişimcinin veya şirketin denetimsiz bir şekilde kripto para borsası, saklama kuruluşu veya alım-satım platformu açması dönemi tamamen kapanmıştır. Kripto varlık hizmet sağlayıcılığı yapabilmek için Sermaye Piyasası Kurulu’ndan (SPK) kuruluş ve faaliyet izni (lisans) alınması, BDDK, MASAK ve TÜBİTAK tarafından belirlenen teknik ve finansal standartlara eksiksiz uyum sağlanması zorunlu kılınmıştır.

Bu kapsamlı ve rehber niteliğindeki akademik incelemede; bir KVHS’nin (kripto para borsası, saklama kuruluşu veya alım-satım platformu) kuruluş aşamasından nihai faaliyet izninin alınmasına kadar geçen tüm hukuki, idari, teknik ve finansal süreçler adım adım ele alınmıştır.

1. Yasal Dayanak ve Temel Kavramlar

Lisanslama sürecine geçmeden önce, mevzuatın getirdiği temel kavramları ve kuruluşların tabi olduğu yasal rejimi tanımlamak gerekir.

                           KVHS Düzenleme ve Denetim Aşaması
                                           │
       ┌───────────────────────────────────┼───────────────────────────────────┐
       ▼                                   ▼                                   ▼
SPK (Sermaye Piyasası Kurulu)     MASAK (Müşterini Tanı / AML)         TÜBİTAK / BDDK (Teknik)
 ├── Kuruluş ve Faaliyet İzni      ├── Şüpheli İşlem Bildirimi (5549)   ├── Siber Güvenlik Altyapısı
 ├── Sermaye ve Kurucular Denetimi ├── Kimlik Doğrulama (KYC)           ├── İki Yedekli Sistemler
 └── Faaliyet İlke ve Esasları     └── Aklamanın Önlenmesi Yükümlülüğü  └── Saklama Güvenlik Standartları

A. Mevzuat Altyapısı

• 6362 Sayılı Sermaye Piyasası Kanunu (Özellikle m. 35/B, 35/C ve geçici m. 11): Düzenlemenin omurgasını oluşturur.

• SPK İlke Kararları ve İkincil Düzenlemeler: Kurul’un yayımladığı ilke kararları, başvuru rehberleri ve standart şartlar.

• 5549 Sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun: MASAK uyum yükümlülüklerini düzenler.

B. Kripto Varlık Hizmet Sağlayıcı (KVHS) Kimdir?

SPKn m. 3/1-(vv) bendi uyarınca KVHS; kripto varlıkların ilk satış veya dağıtımı dahil olmak üzere alım-satımı, takası, transferi, bunların idaresi veya saklanması hizmetlerini ya da bu hizmetlere yönelik danışmanlık ve aracılık hizmetlerini düzenli uğraşı veya meslek edinerek sunan tüzel kişileri ifade eder.

KVHS’ler temel olarak şu gruplara ayrılır:

1. Kripto Varlık Alım Satım Platformları (Borsalar): Kullanıcıların emirlerini eşleştiren veya kendi portföyünden alım-satım yaptıran kuruluşlar.

2. Kripto Varlık Saklama Hizmeti Sunan Kuruluşlar: Kullanıcıların kripto varlıklarını veya bunlara erişim sağlayan özel anahtarları (Private Key) saklayan yetkili saklama kurumları.

3. Diğer Hizmet Sağlayıcılar: İkincil düzenlemelerle kapsama alınacak olan cüzdan ve transfer sağlayıcıları.

2. KVHS Kurulumu İçin Aranacak Genel ve Özel Şartlar

SPK’dan izin alabilmek için hem kurulacak şirketin (tüzel kişinin) hem de şirket kurucularının ve yöneticilerinin kanunda belirtilen sıkı kriterleri taşıması şarttır.

                         KVHS Kuruluş Şartları
                                   │
       ┌───────────────────────────┴───────────────────────────┐
       ▼                                                       ▼
Kurumsal ve Finansal Şartlar (Şirket)                  Kurucu ve Yöneticilerde Aranacak Şartlar
 ├── Anonim Şirket (A.Ş.) Yapısı                        ├── Müflis veya İflas Konkordato Olmamak
 ├── Nakden Ödenmiş Asgari Sermaye                      ├── Malvarlığına Karşı Suçlardan Hüküm Giymemek
 ├── Nama Yazılı Paylar                                 ├── Finansal Sektör Tebcrübesi ve Müktesebat
 └── Esas Sözleşmede Özel Faaliyet Konusu               └── Basiretli ve Güvenilir Sicil Kaydı

A. Şirkete (Tüzel Kişiliğe) İlişkin Kurumsal Şartlar

1. Şirket Türü: Şirketin Anonim Şirket (A.Ş.) olarak kurulması zorunludur. Limited şirket veya diğer şirket türleri kabul edilmez.

2. Sermaye Şartı: Şirketin, SPK tarafından belirlenen asgari nakden ödenmiş sermayeye (mevzuat uyarınca Kurulca belirlenecek tutar; başlangıç aşamaları için 50 Milyon TL ve üzeri asgari sermaye şartı öngörülmektedir) sahip olması ve özkaynaklarının bu tutarın altına düşmemesi gerekir.

3. Payların Niteliği: Şirket paylarının tamamının nama yazılı olması şarttır. Hamiline yazılı pay çıkarılamaz.

4. Esas Sözleşme ve Unvan: Şirketin ticaret unvanında ve esas sözleşmesindeki işletme konusunda, münhasıran “Kripto Varlık Hizmet Sağlayıcılığı” veya “Kripto Varlık Platformu” faaliyetini yürüteceğinin açıkça yazılması gerekir. Şirket, bu faaliyet dışında SPK tarafından izin verilmeyen başka bir ticari faaliyette (örneğin gayrimenkul alım-satımı, gıda ticareti vb.) bulunamaz.

5. Şeffaf Ortaklık Yapısı: Ortaklık yapısının şeffaf, açık ve kontrol edilebilir olması şarttır.

B. Kurucular, Ortaklar ve Yöneticilerde Aranacak Şartlar

Şirketin doğrudan veya dolaylı pay sahipleri, yönetim kurulu üyeleri ve imza yetkisine sahip üst düzey yöneticileri (Genel Müdür, Genel Müdür Yardımcıları) şu şartları taşımalıdır:

• Mali Sicil Temizliği: Müflis olmamak, konkordato ilan etmemiş olmak veya iflası istenmemiş olmak.

• Adli Sicil Temizliği: Türk Ceza Kanunu veya ilgili mevzuat uyarınca; zimmet, irtikap, rüşvet, hırsızlık, dolandırıcılık, sahtecilik, güveni kötüye kullanma, hileli iflas, kaçakçılık, kara para aklama, terörün finansmanı, şahsa ve malvarlığına karşı suçlar ile bilişim suçlarından mahkûm olmamış olmak.

• Finansal Sektör Yasaklısı Olmamak: Bankacılık, sermaye piyasası veya finansal mevzuat uyarınca faaliyet izni iptal edilen veya tasfiye edilen kurumlarda imza yetkilisi veya kurucu olmamak.

• Mali Güç ve Basiret: Kurucuların gerekli mali güce ve finansal piyasaların gerektirdiği dürüstlük ve itibara sahip olması.

3. SPK Başvuru ve Lisanslama Sürecinin Aşamaları

SPK lisanslama süreci tek bir başvurudan ibaret olmayıp, birbirini takip eden 4 temel aşamadan oluşur:

                            SPK Lisanslama Akış Şeması
                                        │
┌───────────────────────────────────────┼───────────────────────────────────────┐
▼                                       ▼                                       ▼
1. Geçiş / Ön Başvuru Dönemi      2. Kuruluş İzni Başvurusu              3. Altyapı ve Denetim Aşaması
 ├── Şirket Kurulumu               ├── Kurucu İncelemesi                  ├── TÜBİTAK/BDDK Teknik Uyum
 ├── Niyet Beyanı                  ├── Esas Sözleşme Onayı                ├── Bilişim Sistemleri Testi
 └── Faaliyet Beyanı               └── Asgari Sermaye Blokajı             └── İç Kontrol/Uyum Kadrosu
                                                                                │
                                                                                ▼
                                                                  4. Nihai Faaliyet İzni (Lisans)
                                                                   ├── SPK Kurul Kararı
                                                                   ├── Sicile Tescil ve İlan
                                                                   └── Lisanslı Faaliyete Başlama

Aşama 1: Geçiş Süreci ve Niyet Beyanı (Ön Başvuru)

7518 sayılı Kanun’un yürürlüğe girdiği tarihte halihazırda faaliyet gösteren veya yeni kurulacak olan şirketler için ilk adım SPK’ya niyet beyanında bulunmaktır.

• Şirket, Kurul tarafından yayımlanan form ve belgeleri (Kurucuların adli sicil belgeleri, mali durum beyanları, ticaret sicil gazeteleri) eksiksiz hazırlayarak SPK’ya sunar.

• SPK, bu başvuruyu inceleyerek şirketi “Faal Olanlar Listesi” veya “Faaliyette Bulunacağını Beyan Edenler Listesi”ne dahil eder. Bu liste nihai lisans anlamına gelmez; yalnızca tasfiye sürecine girmeden başvuru hakkı kazandığını gösterir.

Aşama 2: Kuruluş İzni Başvurusu

Kuruluş izni, şirketin hukuken kurulması ve esas sözleşmesinin onaylanması aşamasıdır.

• Dosya Hazırlığı: Kurucular, ortaklık yapısını, sermayenin nakden ödendiğini gösteren banka blokaj mektuplarını ve esas sözleşme taslağını SPK’ya sunar.

• Kurul Değerlendirmesi: SPK; kurucuların ve ortakların mali/adli durumlarını inceleyerek şirketin anonim şirket olarak kurulmasına onay verir.

Aşama 3: Teknik Altyapı, Bilişim ve Sistem Denetimi Aşaması (En Kritik Aşama)

Kuruluş izni alan şirket derhal faaliyete geçemez. Faaliyet izni alabilmek için bilişim sistemlerinin ve teknik altyapının eksiksiz kurulması gerekir.

1. TÜBİTAK ve BDDK Standartlarına Uyum: Şirket, bilişim sistemlerinin güvenliği için TÜBİTAK tarafından belirlenen kriterlere ve BDDK’nın bankacılık için aradığı siber güvenlik standartlarına uygun bir mimari kurmalıdır.

2. Yedeklilik ve Felaket Kurtarma Merkezi (FKM): Bilişim sistemlerinin birincil ve ikincil (yedek) sistemlerinin Türkiye sınırları içerisinde (yerli veri merkezlerinde) bulunması zorunludur. Yurtdışındaki bulut sunucularda müşteri verisi veya sistem çalıştırmak yasaktır.

3. Cüzdan Güvenliği: Sıcak (Hot) ve Soğuk (Cold) cüzdan yönetimi prosedürleri oluşturulmalı, müşteri varlıklarının en az %80-%90’lık kısmının internetle bağlantısı olmayan soğuk cüzdanlarda saklanacağı altyapı kanıtlanmalıdır.

4. Bağımsız Bilişim Denetimi: SPK tarafından yetkilendirilmiş bağımsız denetim kuruluşlarınca sızma (penetrasyon) testleri yapılması ve “Bilişim Sistemleri Uygunluk Raporu” alınması zorunludur.

Aşama 4: Nihai Faaliyet İzni (Lisans) Alınması

Tüm teknik altyapı, personel kadrosu ve kurumsal yapı tamamlandıktan sonra SPK’ya nihai “Faaliyet İzni” başvurusu yapılır.

• SPK Onayı: SPK Uzmanlarının şirket merkezinde yaptığı yerinde denetimler ve raporlar sonucunda şartları sağlayan şirkete SPK Kurul Kararı ile “Faaliyet İzni (Lisans)” verilir.

• Tescil ve İlan: Karar Resmi Gazete’de ve SPK Haftalık Bülteni’nde ilan edilir. Şirket bu tarihten itibaren resmi olarak lisanslı bir KVHS sıfatıyla müşteri kabul etmeye başlayabilir.

4. Faaliyet İlke ve Esasları ile Operasyonel Yükümlülükler

Lisans almak sürecin sonu değil, başlangıcıdır. Bir KVHS faaliyete geçtikten sonra sürekli olarak aşağıdaki operasyonel ilkelere uymak zorundadır:

                         Faaliyet İlke ve Esasları
                                     │
       ┌─────────────────────────────┼─────────────────────────────┐
       ▼                             ▼                             ▼
Müşteri Varlıklarının İdaresi    MASAK ve KYC Yükümlülüğü       Kaldıraç ve Kredi Yasakları
 ├── Nakitler Bankada Tutulur    ├── Sıkı Kimlik Doğrulama       ├── Müşteriye Kredi Verilemez
 ├── Kriptolar Soğuk Cüzdanda    ├── Şüpheli İşlem Bildirimi    ├── Kaldıraçlı İşlem Yapılamaz
 └── Şirket Malından Ayrıdır     └── Seyahat Kuralı (Travel R.) └── Açığa Satış Yaptırılamaz

A. Müşteri Varlıklarının İdaresi ve Ayrıştırılması (Ayrılık İlkesi)

SPKn m. 35/B maddesinin en sert düzenlemelerinden biri müşteri varlıklarının korunmasıdır:

• Müşteri Nakitleri: Müşterilere ait Türk Lirası veya yabancı para nakitler, yalnızca bankalarda nezdinde açılan müşteri hesaplarında tutulmalıdır. KVHS, müşterinin nakdini kendi şahsi ticari işlerinde veya şirket harcamalarında kesinlikle kullanamaz.

• Müşteri Kripto Varlıkları: Müşterilere ait kripto varlıklar, KVHS’nin kendi kripto varlıklarından tamamen ayrı cüzdanlarda tutulmak zorundadır.

• Haczedilemezlik İlkesi: Müşterilerin nakit ve kripto varlıkları, KVHS’nin borçları nedeniyle haczedilemez, üzerlerine ihtiyati tedbir konulamaz ve iflas masasına dahil edilemez.

B. Müşterini Tanı (KYC) ve MASAK Mevzuatına Uyum

5549 sayılı Kanun gereğince KVHS’ler “Yükümlü” sıfatına haizdir.

• Sıkı Kimlik Doğrulama: Uzaktan kimlik tespiti (NFC, Canlılık Testi, Biyometrik Doğrulama) yapılmadan hiçbir müşteri hesabı açılamaz. Anonim veya takma isimli hesaplar tamamen yasaktır.

• Şüpheli İşlem Bildirimi (ŞİB): Müşterinin gelir durumuyla uyuşmayan, dolandırıcılık veya kara para aklama şüphesi barındıran tüm işlemler derhal MASAK’a bildirilmelidir.

• Seyahat Kuralı (Travel Rule): Belirli bir tutarın üzerindeki kripto transferlerinde, gönderici ve alıcının ad-soyad, kimlik numarası ve cüzdan adresi bilgilerinin karşı borsa ile güvenli kanaldan paylaşılması zorunludur.

C. Yasaklanan İşlem ve Faaliyetler

SPK düzenlemeleri çerçevesinde KVHS’lerin yapması kesinlikle yasak olan faaliyetler şunlardır:

1. Kaldıraçlı ve Türev İşlemler: Müşterilere kaldıraçlı (Margin/Futures) alım-satım yaptırmak veya bu tür platformlara aracılık etmek yasaktır.

2. Kredi Verilmesi ve Açığa Satış: Müşteriye kripto varlık veya nakit kredi vermek, müşterinin olmayan varlıkla açığa satış yapmasına izin vermek yasaktır.

3. Faiz/Getiri Vaadi (Lending): Müşteri varlıklarına mevduat benzeri faiz veya garanti getiri vaat etmek yasaktır.

5. İdari ve Ceza Sorumluluğu: İzinsiz Faaliyetin Cezası

7518 sayılı Kanun ile Sermaye Piyasası Kanunu’na eklenen ceza hükümleri uyarınca, SPK’dan izin almaksızın kripto varlık hizmet sağlayıcılığı yapmak ağır bir suç olarak tanımlanmıştır.

                         İzinsiz Faaliyet Hukuki Sonuçları
                                         │
       ┌─────────────────────────────────┴─────────────────────────────────┐
       ▼                                                                   ▼
Cezai Sorumluluk (SPKn m. 109/A)                                İdari ve Erişim Engeli Tedbirleri
 ├── 3 Yıldan 5 Yıla Kadar Hapis Cezası                        ├── İnternet Sitesi Erişim Engellemesi (ESB)
 ├── 5 Bin Günden 10 Bin Güne Kadar Adli Para Cezası           ├── Banka Hesaplarına El Koyma/Blokaj
 └── Zimmet Suçu (m. 110/A) - 8 Yıldan 20 Yıla Kadar Hapis      └── Şirket Organlarının Yönetiminin Kayyuma Devri

A. İzinsiz Faaliyet Suçu (SPKn m. 109/A)

SPK’dan izin almadan KVHS olarak faaliyet gösterdiği tespit edilen gerçek kişiler ile tüzel kişilerin yetkilileri hakkında:

• 3 yıldan 5 yıla kadar hapis cezası ve

• 5.000 günden 10.000 güne kadar adli para cezası uygulanır.

B. KVHS Zimmet Suçu (SPKn m. 110/A)

KVHS yönetim kurulu başkan ve üyeleri ile diğer mensupları; kendilerine zilyetliği verilmiş olan veya koruma, saklama ve gözetimiyle yükümlü oldukları müşterilere ait para, kripto varlık veya diğer malvarlığı değerlerini kendilerinin veya başkalarının menfaatine geçirmeleri halinde:

• 8 yıldan 14 yıla kadar hapis ve 5.000 güne kadar adli para cezasına mahkûm edilirler.

• Suçun, hileli davranışlarla açığa çıkmamasını sağlayacak şekilde işlenmesi (Nitelikli Zimmet) halinde verilecek hapis cezası 12 yıldan az olamaz.

C. İnternet Sitelerine Erişim Engeli

İzinsiz olarak Türkiye’deki yerleşik kişilere yönelik kripto varlık hizmeti sunan (Türkçe web sitesi açan, Türk kullanıcılara pazarlama yapan veya Türkiye’de ofis açan) yabancı veya yerel platformların internet sitelerine SPK’nın talebi üzerine Erişim Sağlayıcıları Birliği (ESB) tarafından derhal erişimin engellenmesi kararı verilir.

6. KVHS Kurulum ve Lisanslama Süreç Karşılaştırma Tablosu

7. Şirket Kurucuları ve Yatırımcılar İçin Stratejik Tavsiyeler

1. Hukuki ve Teknik Danışmanlık Grubu Kurulmalı: KVHS kurulum süreci sadece bir şirket kurma işlemi değildir. İçinde finans hukuku, bilişim hukuku, siber güvenlik uzmanlığı ve blokzincir mühendisliği barındıran multidisipliner bir süreçtir. Başvurudan önce bu alanlarda uzmanlaşmış kadrolar oluşturulmalıdır.

2. Yurtdışı Bulut Hizmetlerinden Bağlantı Kesilmeli: Birçok girişimci Amazon (AWS), Google Cloud veya Microsoft Azure gibi yurtdışı merkezli bulut sunucularda borsa çalıştırmayı hedeflemektedir. Ancak SPK ve BDDK düzenlemeleri gereğince verilerin ve birincil/ikincil sistemlerin Türkiye sınırları içerisinde kalması zorunludur. Altyapı mimarisi ilk günden buna göre tasarlanmalıdır.

3. Sermaye ve Likidite Planlaması: Şirketin kuruluş sermayesinin yanı sıra, yazılım geliştirmeleri, bağımsız denetim raporları, TÜBİTAK entegrasyon maliyetleri ve yüksek nitelikli personel masrafları göz önüne alınarak geniş bir bütçe marjı ayrılmalıdır.

4. MASAK Uyum Görevlisi Atanmalı: Şirket faaliyete geçmeden önce, doğrudan yönetim kuruluna bağlı çalışacak, finansal suçlar ve kara para aklama mevzuatına hakim bir Uyum Görevlisi (Compliance Officer) atanmalı ve idari kadro tamamlanmalıdır.

Sonuç ve Genel Değerlendirme

Türkiye’de 7518 sayılı Kanun ile başlayan yeni dönem, kripto varlık piyasalarını “vahşi batı” görüntüsünden çıkararak, Sermaye Piyasası Kurulu’nun sıkı denetimi altında kurumsallaşan bir finansal sektöre dönüştürmüştür.

Bir Kripto Varlık Hizmet Sağlayıcısı (KVHS) kurmak ve SPK’dan lisans almak; yüksek finansal yeterlilik, lekesiz bir kurucu ve yönetici sicili, sarsılmaz bir siber güvenlik altyapısı ve eksiksiz bir mevzuat uyumu gerektirmektedir.

Lisanslama sürecindeki şartları başarıyla tamamlayan kurumlar, yalnızca Türkiye’de değil, küresel finansal ekosistemde de güvenilir, şeffaf ve saygın birer finansal aktör olarak faaliyet gösterme imkanına kavuşacaklardır. Buna karşılık, izinsiz faaliyet göstermeye çalışan yapılar ise ağır hapis cezaları, erişim engelleri ve finansal yaptırımlarla karşı karşıya kalacaklardır.