Türkiye’de faaliyet gösteren kripto varlık hizmet sağlayıcılar (KVHS) için düzenleyici takvimde kritik bir eşik aşılıyor. Platformların faaliyetlerine kesintisiz devam edebilmesi için en az bir saklama kuruluşu ile sözleşme imzalaması ve TÜBİTAK tarafından yayımlanan bilgi sistemleri ve teknolojik altyapı kriterlerine uyum sağlaması gerekiyor. Bu yükümlülükler için son tarih 31 Mart 2026 olarak belirlendi.
Süreç, kamuoyunda “kripto yasası” olarak bilinen yasal çerçevenin ardından, Sermaye Piyasası Kurulu (SPK) tarafından Mart 2025’te yayımlanan ikincil düzenlemelerle şekillendi. Yeni yılın ilk çeyreğiyle birlikte, platformlar için geri sayım fiilen başlamış oldu.
Saklama kuruluşu zorunluluğu 31 Mart’a kadar tamamlanacak
SPK’nın 13 Mart’ta yayımladığı III-35/B.1 sayılı Kripto Varlık Hizmet Sağlayıcıların Kuruluş ve Faaliyet Esasları Tebliği kapsamında, 30 Haziran 2025’e kadar faaliyet izni başvurusunu tamamlayan platformların, en az bir saklama kuruluşu ile sözleşme imzalaması ve teknik entegrasyonları sağlaması zorunlu tutulmuştu.
İlk etapta Aralık 2025 olarak belirlenen bu süre, 4 Aralık’ta yayımlanan ilke kararıyla 31 Mart 2026’ya uzatıldı. Buna göre, kripto varlık alım-satım platformlarının imzaladıkları saklama sözleşmelerini 31 Mart 2026’ya kadar SPK’ya sunmaları gerekiyor.
TÜBİTAK altyapı kriterleri de aynı tarihte devreye giriyor
Saklama sözleşmesine ek olarak, TÜBİTAK tarafından yayımlanan KVHS Bilgi Sistemleri ve Teknolojik Altyapı Kriterleri için de son uyum tarihi yine 31 Mart 2026.
Bu kriterlerde;
Birincil ve ikincil (yedek) sistemlerin,
Güvenli donanımların,
Anahtarları yöneten yazılım ve sunucuların
Türkiye sınırları içinde bulunması zorunlu tutuluyor. Düzenleme, kripto varlık saklama faaliyetlerinde yerel ve denetlenebilir bir altyapı oluşturmayı hedefliyor.
Paribu Custody: “Mevcut iş modelleri uyumsuz sayılacak”
Konuya ilişkin değerlendirmede bulunan Paribu Kripto Varlık Saklama Kuruluşu A.Ş. Genel Müdürü Abdulkadir Kahraman, düzenlemelerin yaklaşımını net ifadelerle özetledi:
“Türkiye’de kripto regülasyonu, saklamayı doğrudan özel anahtarlar üzerindeki kontrolle eş tutuyor. Anahtarların ve bunları yöneten sistemlerin yurt dışına çıkarılması mümkün değil. 31 Mart’tan sonra yalnızca saklama teknolojisi hizmeti almak yeterli sayılmayacak. Mevcut iş yapış modelleri, TÜBİTAK düzenlemeleri açısından uyumsuz kabul edilecek.”
“Paribu Custody kendi teknolojisiyle hazır”
Kahraman, 31 Mart sonrası dönemde anahtarların kimde olduğu ve nerede tutulduğunun belirleyici olacağını vurguladı. Paribu’nun 2024’te duyurduğu Paribu Custody hizmetinin, Türkiye’de kendi teknolojisini geliştiren ilk dijital varlık saklama altyapısı olduğunu belirten Kahraman, ColdShield® mimarisinin HSM, SGX ve MPC teknolojilerini bir araya getirdiğini ifade etti.
TÜBİTAK kriterleri neyi zorunlu kılıyor?
TÜBİTAK tarafından yayımlanan kriterler;
Soğuk cüzdanların tamamen internete kapalı tutulmasını,
Sıcak cüzdan anahtarlarının güvenli donanımlarda saklanmasını,
Çoklu onay ve eşik kriptografisi kullanımını,
Çok faktörlü kimlik doğrulamayı,
Tüm işlemlerin denetlenebilir şekilde kayıt altına alınmasını
zorunlu hale getiriyor. Ayrıca bilgi güvenliği politikalarının üst yönetim sorumluluğunda tanımlanması ve transfer limitleri gibi operasyonel detayların açık şekilde düzenlenmesi şart koşuluyor.
