1. Giriş: Türkiye'nin Kripto Regülasyon Ortamı
Türkiye, dünyanın en dinamik kripto para piyasalarından biri haline gelmiştir. Nüfusun yaklaşık %52'sinin kripto varlıklardan haberdar olduğu ülkemizde milyonlarca aktif kullanıcı bulunmaktadır. Kripto benimseme endekslerinde Türkiye, küresel sıralamada tutarlı biçimde üst sıralarda yer almaktadır.
Bu dinamik pazarda faaliyet göstermenin yasal çerçevesi, Temmuz 2024'te kabul edilen 7518 sayılı Kripto Varlık Kanunu ile netlik kazanmıştır. Bu kanun, kripto varlık hizmet sağlayıcılarını Sermaye Piyasası Kurulu'nun (SPK) denetimine tabi kılmış; Türkiye'yi FATF (Mali Eylem Görev Gücü) tavsiyeleriyle uyumlu hale getirmiştir.
Türkiye'de kripto borsa, saklama, transfer veya benzeri hizmet sunmak isteyen her şirket için SPK CASP (Kripto Varlık Hizmet Sağlayıcı) kaydı — yaygın adıyla VASP lisansı — artık zorunludur. Bu kapsamlı rehber, sürece ilişkin bilmeniz gereken her şeyi açıklamaktadır.
Önemli Uyarı
2025 itibarıyla Türkiye'de kripto varlık hizmeti sunan tüm şirketlerin — kripto borsaları, saklama hizmet sağlayıcıları, transfer hizmetleri ve portföy yönetim platformları dahil — SPK'ya kayıt yaptırması zorunludur. Kayıtsız faaliyet, Türk hukuku kapsamında cezai yaptırımlara tabidir.
2. VASP/CASP Nedir? Tanımlar ve FATF Bağlamı
VASP (Virtual Asset Service Provider — Sanal Varlık Hizmet Sağlayıcı) terimi, FATF tarafından 2019 yılında yayımlanan 15. Tavsiye Kılavuzu'nda tanımlanmıştır. FATF'a göre VASP; iş olarak aşağıdaki faaliyetlerden bir veya birkaçını yürüten gerçek veya tüzel kişidir:
- Sanal varlıklar ile fiat para birimleri arasında döviz işlemi
- Bir veya daha fazla sanal varlık türü arasında takas
- Sanal varlık transferi
- Sanal varlıklar veya bunlar üzerinde kontrol sağlayan araçların saklanması/yönetimi (saklama hizmeti)
- Token arzı/satışıyla ilgili finansal hizmetlere katılım (ICO/token ihraç danışmanlığı)
Türkiye'deki karşılığı ise 7518 sayılı Kanun ve SPK'nın uygulama mevzuatında yer alan CASP (Kripto Varlık Hizmet Sağlayıcı)'dır. Kullanılan terminoloji farklı olsa da öz aynıdır: CASP, SPK tarafından kripto varlık hizmeti sunmak üzere lisanslanan, Türkiye'de kurulu tüzel kişidir.
3. SPK Kayıt Gereksinimleri
SPK CASP kaydı, beş temel alanda kapsamlı gereksinimler içermektedir.
3.1 Sermaye Gereksinimleri
50 milyon TL asgari sermaye, tamamı ödenmiş (taahhüt değil) ve her zaman serbest özsermaye olarak korunmuş olmalıdır. SPK, özellikle yüksek hacimli perakende işlem akışı olan spot borsa platformları için daha yüksek sermaye talep edebilir.
3.2 AML/KYC Sistemleri
Başvuru sahipleri, hem SPK düzenlemelerine hem de MASAK (Mali Suçları Araştırma Kurulu) standartlarına uygun, tam işlevsel bir AML/KYC altyapısı kurduklarını belgelemek zorundadır:
- Müşteri Durum Tespiti (KYC): Yüksek riskli profiller için Gelişmiş Durum Tespiti (EDD) dahil tüm müşteriler için kimlik doğrulama
- İşlem İzleme: Yapılandırılabilir risk kuralları ve uyarı eşikleriyle otomatik gerçek zamanlı izleme
- Şüpheli İşlem Bildirimi (STR): Belirlenen süreler içinde MASAK'a bildirim mekanizması
- Seyahat Kuralı (Travel Rule): 1.000 USD karşılığını aşan transferlerde VASP'lar arası bilgi paylaşımı
- PEP/Yaptırım Taraması: Türk ve uluslararası yaptırım listelerine karşı gerçek zamanlı tarama
Teknik uygulama detayları için KYC/AML otomasyon çözümleri sayfamızı inceleyebilirsiniz.
3.3 Bilgi Teknolojileri Altyapısı
Teknik altyapı, SPK'nın güvenlik ve güvenilirlik standartlarını karşılamalıdır:
- Eşleştirme motoru ve gerçek zamanlı emir defteri içeren sertifikalı işlem platformu
- Çok imzalı güvenlik içeren hot/cold cüzdan saklama mimarisi
- ISO 27001 uyumlu siber güvenlik çerçevesi
- Felaket Kurtarma ve İş Sürekliliği Planı (DRP/BCP)
- Düzenli üçüncü taraf sızma testi ve güvenlik denetimleri
- Temel veri altyapısı Türkiye'de veya SPK'nın onayladığı yargı bölgelerinde barındırılmalıdır
3.4 Yönetim Kurulu ve Üst Yönetim
SPK, kontrol pozisyonlarındaki tüm kişilere "uygun ve dürüst" (fit and proper) kriterleri uygular:
- Yönetim kurulu üyelerinin mali suçlarla ilgili mahkûmiyeti bulunmamalı
- Üst yönetim; finans, hukuk veya teknoloji alanında ilgili niteliklere sahip olmalı
- Yönetim kurulunda en az bir Türkiye'de mukim üye bulunmalı
- %10'un üzerinde pay sahibi olanlar SPK geçmiş kontrolünden geçirilmelidir
3.5 Uyum Görevlisi
Tam zamanlı, özel bir Uyum Görevlisi (UG) zorunludur. UG; SPK'ya kayıtlı olmalı, CAMS veya eşdeğer AML/uyum sertifikasına sahip olmalı ve doğrudan yönetim kuruluna rapor vermelidir. MASAK bildirim yükümlülüklerinden UG kişisel olarak sorumludur.
4. Adım Adım Başvuru Süreci
SPK CASP başvuru süreci beş ayrı aşamadan oluşmaktadır.
Ön Hazırlık
Türkiye'de anonim şirket (A.Ş.) kurun, 50 milyon TL sermaye şartını karşılayın, Uyum Görevlinizi işe alın ve teknik altyapınızı oluşturun. Tam belge paketini hazırlayın: şirket ana sözleşmesi, pay sahibi beyanları, AML politika kılavuzu, BT sistem belgeleri ve iş planı.
Resmi Başvuru
Tam başvuru dosyasını e-BDDK sistemi üzerinden SPK'ya sunun. Paket; noter onaylı şirket belgeleri, bankadan sermaye yeterlilik belgesi, AML/KYC sistem teknik açıklaması, BT altyapı denetim raporu, tüm yönetim kurulu üyelerinin özgeçmişleri ve sabıka kayıt belgeleri ile imzalanmış Uyum Görevlisi sözleşmesini içermelidir.
SPK Ön İncelemesi
SPK, eksiksizlik kontrolü yaparak ek belge veya açıklama talep eden Bilgi Talep Formu (BTF) yayımlayabilir. Bu aşamada tipik olarak 1-3 tur belge talebi yaşanır. Hızlı ve nitelikli yanıtlar, sürecin uzamasını önler. SPK ayrıca BT sistemlerini ve yönetim tesislerini yerinde denetleyebilir.
Şartlı Onay ve Tamamlama
Ön inceleme olumlu sonuçlanırsa SPK, bekleyen gereksinimleri belirten şartlı onay verebilir: geçilmesi gereken sistem testleri, ek sermaye yatırımı veya tamamlanması gereken politikalar. Başvurucu, bu koşulları yerine getirmek için belirli bir süreye (tipik olarak 6 ay) sahiptir.
Nihai Lisans Verilmesi
Tüm koşulların karşılanmasının ardından SPK, CASP kaydını Resmi Gazete'de yayımlar ve kamuya açık sicilini günceller. Şirket artık lisanslı Kripto Varlık Hizmet Sağlayıcısıdır. Lisans, yıllık yenileme ve sürekli uyum denetimine tabidir.
5. Süre ve Maliyet
| Aşama | Süre | Temel Faaliyetler |
|---|---|---|
| Ön Hazırlık | 1–2 ay | Şirket kurulumu, sermaye, UG istihdamı, BT altyapısı |
| Belge Hazırlığı | 1–2 ay | Politika hazırlama, sistem belgelendirme, noter işlemleri |
| SPK Ön İncelemesi | 2–3 ay | BTF yanıtları, yerinde denetimler, açıklamalar |
| Şartlı Onay | 2–4 ay | Bekleyen koşulların tamamlanması, sistem testleri |
| Nihai Lisans | 1–2 ay | SPK kurul kararı, Resmi Gazete yayımı |
| Toplam | 6–12 ay | Tam CASP kaydı tamamlandı |
Tek Seferlik Kurulum Maliyetleri
- Asgari sermaye50 Milyon TL
- Şirket kuruluşu15.000–30.000 TL
- BT altyapısı€150.000–500.000
- AML/KYC sistemi€30.000–100.000
- Hukuk ve uyum danışmanlığı€50.000–150.000
- Güvenlik denetimi€20.000–60.000
Yıllık İşletme Maliyetleri
- Uyum Görevlisi maaşı€60.000–120.000
- AML yazılım lisansı€20.000–50.000
- Altyapı ve barındırma€30.000–80.000
- Yıllık güvenlik denetimi€15.000–40.000
- SPK yıllık denetim ücretiDeğişken
- Hukuk danışmanlığı€24.000–60.000
6. Temel Uyum Gereksinimleri
CASP lisansı almak sadece başlangıçtır. Lisanslı şirketler, özel iç kaynaklar ve sağlam sistemler gerektiren sürekli uyum yükümlülükleriyle karşı karşıyadır.
6.1 Seyahat Kuralı (Travel Rule)
Türkiye'nin FATF Seyahat Kuralı uygulaması, CASP'lardan 1.000 USD karşılığını aşan sanal varlık transferlerinde gönderici ve alıcı bilgilerini toplamasını ve iletmesini zorunlu kılmaktadır. Bu zorunluluk hem giden hem gelen transferleri kapsamakta; teknik açıdan bir Seyahat Kuralı çözüm sağlayıcısıyla entegrasyon gerektirmektedir.
6.2 İşlem İzleme
Lisanslı CASP'lar; kara para aklamanın, terörün finansmanının veya piyasa manipülasyonunun belirtisi olan kalıpları tespit edebilen, belirli eşiklerin üzerindeki işlemler için otomatik uyarı üreten, cüzdan adreslerini bilinen suistimal veritabanlarıyla karşılaştıran ve düzenleyici inceleme için denetim izleri oluşturan bir işlem izleme sistemi işletmek zorundadır.
6.3 Raporlama Yükümlülükleri
- Aylık: SPK'ya işlem hacmi ve değer raporları
- Üç Aylık: Mali tablolar, sermaye yeterlilik raporları
- Acil: Şüphe oluştuğu andan itibaren genellikle 10 iş günü içinde MASAK'a şüpheli işlem bildirimleri (STR)
- Yıllık: Uyum denetim raporu, yönetim etkinliği değerlendirmesi
- Gerektiğinde: Önemli değişikliklerin 10 iş günü içinde SPK'ya bildirilmesi
7. Neden Türkiye'de VASP Lisansı Almalısınız?
Avantajlar
- ✓Büyük iç pazar: 85 milyon nüfus, ~%52 kripto farkındalığı
- ✓Net düzenleyici çerçeve: 2024'ten itibaren açık SPK mevzuatı
- ✓Stratejik coğrafya: Avrupa, MENA ve Orta Asya'ya köprü
- ✓Batı Avrupa'ya kıyasla daha düşük maliyetle rekabetçi teknoloji yeteneği havuzu
- ✓AB üye devletlerin çoğundan daha düşük sermaye eşiği
- ✓MiCA iznine kıyasla daha hızlı süreç (6-12 ay vs. 18+ ay)
Dikkat Edilecekler
- !AB pasaportlaması yok — Türkiye lisansı AB pazar erişimi sağlamaz
- !Kur riski: TL bazlı sermaye şartı döviz dalgalanmalarına açık
- !Gelişen düzenleyici ortam: SPK gereksinimleri güncellenebilir
- !Yerel varlık gereksinimleri yabancı şirketler için operasyonel karmaşıklık ekler
8. io40 Nasıl Yardımcı Olur?
io40, fintech ve kripto sektörü şirketleri için Türkiye'nin önde gelen teknoloji ve uyum ortağıdır. VASP lisans yolculuğu boyunca ve sonrasında uçtan uca destek sunarak düzenleyici uzmanlığı derin teknik kapasite ile birleştiriyoruz.
SPK Başvuru Yönetimi
Başvurudan lisans alımına kadar tam belge hazırlama, SPK ile iletişim ve BTF yanıt yönetimi.
AML/KYC Sistem Kurulumu
İşlem izleme, KYC iş akışları, yaptırım taraması ve Seyahat Kuralı uyum altyapısının tam kurulumu.
İşlem Platformu Geliştirme
SPK uyumlu borsa motoru, emir defteri, cüzdan yönetimi ve saklama mimarisinin geliştirilmesi ve entegrasyonu.
Uyum Çerçevesi Kurulumu
Politika ve prosedür kütüphanesi oluşturma, Uyum Görevlisi eğitimi, MASAK bildirim iş akışları ve iç denetim hazırlığı.
Yönetim Danışmanlığı
Uygunluk değerlendirme hazırlığı, yönetim kurulu kompozisyon danışmanlığı ve üst yönetim nitelik desteği.
Süregelen Uyum Desteği
Lisans sonrası düzenleyici izleme, SPK yazışma yönetimi, yıllık denetim desteği ve mevzuat değişiklik yönetimi.
Özel VASP lisansı danışmanlık hizmetlerimiz ve kripto varlık teknoloji çözümleri sayfamızı inceleyin.
9. Sık Sorulan Sorular
Türkiye'de VASP lisansı nedir?
SPK CASP başvurusu için asgari sermaye ne kadardır?
SPK CASP başvuru süreci ne kadar sürer?
VASP lisansı için hangi AML/KYC sistemleri gereklidir?
Yabancı şirket Türkiye'de VASP lisansı alabilir mi?
VASP ile CASP arasındaki fark nedir?
Türkiye mi yoksa AB/MiCA mı tercih edilmeli?
10. Sonuç
Türkiye'de SPK'nın CASP kayıt çerçevesi aracılığıyla VASP lisansı almak, önemli ancak ulaşılabilir bir süreçtir. Doğru hazırlık, doğru teknoloji yığını ve doğru uyum ortağıyla 6-12 aylık süreç, verimli ve güvenle yönetilebilir.
Türkiye'nin düzenleyici netliği, büyük pazar büyüklüğü, stratejik konumu ve rekabetçi maliyet yapısının birleşimi; ülkeyi MENA-Avrupa koridorundaki kripto işletmeleri için en cazip yargı bölgelerinden biri haline getirmektedir. SPK CASP kaydını hızla tamamlayan şirketler, pazar olgunlaştıkça önemli bir ilk hamle avantajı elde edecektir.
io40, işinizi kavramdan lisanslı operasyona taşımak için gereken düzenleyici bilgiye, teknik uzmanlığa ve kanıtlanmış geçmişe sahiptir. Birden fazla CASP başvurusunu SPK sürecinde destekledik ve müşterilerimize lisans sonrasında süregelen uyum ortağı olarak hizmet vermeye devam ediyoruz.
VASP Lisansı Yolculuğunuza Başlamaya Hazır mısınız?
Bugün io40 ile iletişime geçin. Özel durumunuzu değerlendirip SPK CASP kaydına giden kişiselleştirilmiş yol haritanızı sunalım.