SPK VII-128.10 Uyum Danışmanlığı — Kripto Varlık Hizmet Sağlayıcılar

Kripto varlık hizmet sağlayıcılar için kapsam neden en ağır?

Sermaye Piyasası Kurulu’nun Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10), 13 Mart 2025 tarihli ve 32840 sayılı Resmî Gazete’de yayımlandı ve 30 Haziran 2025’te yürürlüğe girdi. Aynı gün, aynı sayıda Kripto Varlık Hizmet Sağlayıcıların Kuruluş ve Faaliyet Esasları Hakkında Tebliğ (III-35/B.1) ile Kripto Varlık Hizmet Sağlayıcıların Çalışma Usul ve Esasları ile Sermaye Yeterliliği Hakkında Tebliğ (III-35/B.2) da yayımlandı. Bu üç metin birlikte okunur. VII-128.10’un kapsam maddesi kripto varlık hizmet sağlayıcıları açıkça sayar ve tebliğin muafiyetleri düzenleyen 30 uncu maddesi bu kuruluşlara herhangi bir muafiyet tanımaz. Yani kripto varlık hizmet sağlayıcılar tebliğin tamamına tabidir. Üstelik 31 inci maddenin ikinci fıkrası, bu kuruluşların ayrıca TÜBİTAK tarafından hazırlanan dokümanda belirlenen kriterlere uymasını ister. Sermaye piyasası kurumları arasında bilgi sistemleri yükümlülüğü en ağır olan segment budur.

TÜBİTAK Altyapı Kriterleri nedir?

III-35/B.2 sayılı tebliğin tanımlar maddesi, TÜBİTAK Altyapı Kriterlerini “TÜBİTAK tarafından kripto varlık hizmet sağlayıcıların bilgi sistemleri ve teknolojik altyapılarına ilişkin olarak hazırlanan doküman” şeklinde tanımlar. Tebliğ birden fazla maddede bu kriterlere atıf yapar ve uyulmasını zorunlu kılar. Ayrıca TÜBİTAK’ın, cüzdan mimarisinde kullanılan güvenli donanım modülleri ile bu modülleri kontrol eden yazılımların test ve sertifikasyon koşullarını belirlemeye yetkili olduğu düzenlenmiştir. Anahtar yönetimine ilişkin belirli işlemlerin TÜBİTAK’ın veya bilgi sistemleri bağımsız denetim firmalarının gözetiminde yapılması öngörülür. Bu, sermaye piyasası mevzuatında alışılmadık bir yapıdır: teknik kriter seti tebliğin kendisinde değil, ayrı ve güncellenebilir bir dokümanda tutulur. Uyum çalışmasının bu dokümanın güncel sürümü üzerinden yürütülmesi gerekir.

Cüzdan mimarisi ve saklama oranları neyi zorunlu kılıyor?

6362 sayılı Kanuna 2 Temmuz 2024 tarihli ve 32590 sayılı Resmî Gazete’de yayımlanan 7518 sayılı Kanunla eklenen hükümler uyarınca, müşteri kripto varlıklarının müşterinin kendi cüzdanında bulundurulması esastır. Müşterilerin kendi cüzdanında tutmayı tercih etmediği varlıklar için III-35/B.2 sayısal sınırlar getirir. Bu varlıkların asgari yüzde doksan beşinin saklama kuruluşunda saklanması esastır; platform nezdinde kalan oran gün içinde yüzde onu aşamaz ve aşıldığında derhal saklama kuruluşuna aktarım yapılır. Ayrıca platformun, nezdindeki müşteri varlıklarının yüzde üçü kadar likit rezerv bulundurması zorunludur.

Bu oranlar muhasebe kuralı değil, doğrudan bilgi sistemleri tasarımı gerektiren kurallardır. Oranın gün içinde izlenebilmesi, eşiğin aşıldığı anda otomatik aktarımın tetiklenmesi, aktarımın kaydının tutulması ve bu kaydın denetim izi olarak beş yıl saklanması gerekir. Cüzdan mimarisi, anahtar yönetimi, güvenli donanım modülü kullanımı ve yetkilendirme akışları bu kuralların etrafında kurgulanır.

Bağımsız bilgi sistemleri denetimi ne sıklıkta?

Bilgi Sistemleri Bağımsız Denetim Tebliği (III-62.2), 13 Mart 2025 tarihli III-62.2.b sayılı tebliğle değiştirildi ve kapsamına kripto varlık hizmet sağlayıcılar eklendi. Değişik 30 uncu maddenin birinci fıkrası, kripto varlık hizmet sağlayıcıları yılda bir kez bilgi sistemleri bağımsız denetimine tabi kuruluşlar arasında sayar. Bu, Borsa İstanbul, Takasbank ve Merkezi Kayıt Kuruluşu ile aynı sıklıktır; aracı kurumlarda periyot iki yıl, bazı portföy yönetim şirketlerinde üç yıldır. Denetim raporu sorumlu denetçinin imzasıyla kesinleşir, kesinleşmesini izleyen ilk iş günü yönetim kurulu başkanına teslim edilir ve denetim döneminin bittiği ayı izleyen ay içinde Kurula gönderilir. Denetimi yalnızca Kurulca yetkilendirilmiş bağımsız denetim kuruluşları yapabilir.

Buna ek olarak VII-128.10’un 29 uncu maddesi yılda en az bir kez bilgi sistemleri iç denetimi yapılmasını ister ve bu denetimin dışarıdan hizmet alımıyla icra edilmesini yasaklar; denetimi yürütecek personelin Bilgi Sistemleri Bağımsız Denetim lisansına sahip ve sistemlerin tasarımı ile işletiminden bağımsız olması gerekir. Yıllık sızma testi ise 8 inci maddenin altıncı ve yedinci fıkralarında düzenlenir; test tebliğin ekindeki usule göre, ulusal veya uluslararası sertifikalara sahip bağımsız üçüncü taraflarca yapılır ve rapor tamamlanmasından itibaren bir ay içinde, en geç izleyen yılın 31 Ocak tarihine kadar iletilir.

Süreklilik ve yurt içi sistem yükümlülüğü nedir?

27 nci madde birincil ve ikincil sistemlerin yurt içinde bulundurulmasını zorunlu kılar; ikincil sistemin konumu birincil sistemle aynı afet riskini taşımayacak şekilde seçilir. Kritik iş süreçleri için kabul edilebilir kesinti süresi ve azami veri kaybı değerleri tanımlanır ve birincil sistemlerin tamamen devre dışı kalması hâlinde faaliyete en geç yirmi dört saat içinde devam edilmesi beklenir. Testler her yıl tekrarlanır. Tebliğin 30 uncu maddesi, platformların belirli koşullarla yurt dışı bulut hizmetlerinden yararlanmasına ilişkin ayrı bir hüküm içerir; bu koşulların kapsamı, kullanılacak her hizmet için ayrı ayrı değerlendirilmelidir.

Uyum takvimi nedir?

Tebliğin geçici 1 inci maddesi kripto varlık hizmet sağlayıcılar için ayrı bir takvim kurar. 27 nci maddeye uyum için tanınan süre 31 Aralık 2025, 29 uncu maddenin üçüncü fıkrasına uyum için tanınan süre 31 Aralık 2026’dır. Tebliğin diğer hükümleri kripto varlık hizmet sağlayıcılar bakımından geçiş dönemi tanınmaksızın uygulanır; bu kuruluşlar, diğer sermaye piyasası kurumlarının aksine mülga VII-128.9 sayılı tebliğe uyma seçeneğinden yararlanmamıştır. Süreklilik yatırımının takvimi geçtiği için, ikincil merkez ve yıllık test yapısını tamamlamamış platformlar bu kalemi öncelikli işe almalıdır.

Faaliyet izni ve “SPK lisanslı” ifadesi

Kurul, faaliyette bulunanlar ve tasfiye sürecinde olanlar için listeler yayımlar. Kurul’un bu listelere ilişkin açık uyarısı şudur: faaliyette bulunanlar listesinde yer almak, ilgili mevzuat uyarınca yetkilendirilmiş olmak anlamına gelmez. Bu nedenle pazarlama metinlerinde “SPK lisanslı” ya da “SPK onaylı” gibi ifadelerin kullanılması yanlış beyan riski taşır. Bilgi sistemleri uyumu, faaliyet izni başvurusunun teknik ayağını oluşturur; III-35/B.1, faaliyet izni şartları arasında bilgi sistemlerine ilişkin gereklilikleri ayrıca sayar. Uyum dosyasının başvuru dosyasıyla tutarlı olması, süreci uzatan en yaygın eksiği ortadan kaldırır.

Uyum projesi nasıl ilerliyor?

1. 01

   Üçlü mevzuat haritası

   VII-128.10, III-35/B.1 ve III-35/B.2 hükümleri ile TÜBİTAK Altyapı Kriterleri tek bir gereklilik listesinde birleştirilir; çakışan ve birbirine atıf yapan maddeler işaretlenir.

2. 02

   Boşluk analizi

   Mevcut altyapı, cüzdan mimarisi, anahtar yönetimi ve operasyonel süreçler bu liste karşısında değerlendirilir; her bulguya sorumlu ve termin atanır.

3. 03

   Cüzdan ve saklama tasarımı

   Saklama oranlarının gün içinde izlenmesi, eşik aşımında aktarım, likit rezerv takibi ve bu işlemlerin denetim izine yazılması tasarlanır.

4. 04

   Politika ve prosedür seti

   Bilgi güvenliği politikası, risk yönetimi, erişim ve kimlik yönetimi, anahtar yönetimi, değişiklik yönetimi, log yönetimi ve dış hizmet alımı dokümanları hazırlanır.

5. 05

   Süreklilik çalışması

   Kritik iş süreçleri, kesinti ve veri kaybı hedefleri belirlenir, ikincil merkez tasarımı gözden geçirilir, yıllık test senaryoları yazılır.

6. 06

   Denetim hazırlığı

   Yıllık bağımsız denetim için kanıt dosyaları derlenir, iç denetim programı ve çalışma kâğıtları hazırlanır, sızma testi kapsamı ve takvimi planlanır.

7. 07

   Sürdürme

   TÜBİTAK Altyapı Kriterlerinin ve Kurul düzenlemelerinin güncellenmesi izlenir, gereklilik listesi ve dokümanlar buna göre revize edilir.

Proje çıktıları

• Birleşik gereklilik listesi

  Üç tebliğ ve TÜBİTAK kriterlerinin madde bazında tek tabloda toplanmış hâli.

• Boşluk analizi raporu

  Gereklilik bazında mevcut durum, eksik, sorumlu ve termin.

• Cüzdan ve saklama kontrol tasarımı

  Oran izleme, eşik aşımı ve aktarım akışlarının yazılı tasarımı ve kayıt şeması.

• Politika ve prosedür kütüphanesi

  Yönetim kurulu onayına hazır, birbirine atıf yapan doküman seti.

• Bilgi sistemleri süreklilik planı

  Kesinti ve veri kaybı hedefleri, devreye alma adımları ve yıllık test planı.

• İç denetim el kitabı

  Program, çalışma kâğıdı şablonları, bağımsızlık beyanları ve raporlama akışı.

• Bağımsız denetim kanıt dizini

  Yıllık denetimde istenecek belgelerin önceden hazırlanmış hâli.

Sıkça Sorulan Sorular

Kripto varlık hizmet sağlayıcılar için muafiyet var mı?

Yok. VII-128.10’un 30 uncu maddesindeki muafiyet listesi kripto varlık hizmet sağlayıcıları içermez. Tebliğin tamamı uygulanır ve 31 inci maddenin ikinci fıkrası uyarınca ayrıca TÜBİTAK Altyapı Kriterlerine uyulur.

Bilgi sistemleri bağımsız denetimini yılda kaç kez yaptırmalıyız?

Yılda bir kez. III-62.2’nin değişik 30 uncu maddesinin birinci fıkrası kripto varlık hizmet sağlayıcıları yıllık denetim grubunda sayar. Rapor, denetim döneminin bittiği ayı izleyen ay içinde Kurula gönderilir.

Bu denetimi siz yapabilir misiniz?

Hayır. Bilgi sistemleri bağımsız denetimini yalnızca Sermaye Piyasası Kurulu tarafından yetkilendirilmiş bağımsız denetim kuruluşları yapabilir. Biz danışmanlık ve eğitim veriyoruz; denetime hazırlık, bulgu kapatma ve sürdürme çalışmalarını üstleniyoruz.

Soğuk cüzdanda tutmamız gereken bir yüzde var mı?

Mevzuat “soğuk cüzdan yüzdesi” biçiminde bir oran koymaz. Konulan sınırlar farklıdır: müşterilerin kendi cüzdanında tutmayı tercih etmediği varlıkların asgari yüzde doksan beşi saklama kuruluşunda saklanır, platform nezdinde kalan oran gün içinde yüzde onu aşamaz ve platform müşteri varlıklarının yüzde üçü kadar likit rezerv bulundurur. Bu üç kuralı soğuk cüzdan oranıyla karıştırmamak gerekir.

ISO 27001 belgesi SPK tarafından zorunlu tutuluyor mu?

Hayır. VII-128.10 ve kripto varlık tebliğleri ISO/IEC 27001 belgesi zorunluluğu getirmez. Belgeyi zorunluymuş gibi sunan kaynaklar yanıltıcıdır. Bir bilgi güvenliği yönetim sistemi kurmuş olmak tebliğ ve TÜBİTAK kriterleri karşısında işi kolaylaştırır, ancak yerine geçmez.

Sunucularımızı yurt dışında tutabilir miyiz?

Kural olarak hayır. 27 nci maddenin birinci fıkrası birincil ve ikincil sistemlerin yurt içinde bulundurulmasını zorunlu kılar. 30 uncu madde, platformların belirli koşullarla yurt dışı bulut hizmetlerinden yararlanmasına ilişkin ayrı bir hüküm içerir; bu hükmün kapsamı kullanılacak her hizmet için ayrı değerlendirilmelidir.

Faaliyet izni başvurumuz sürüyor, uyum çalışmasına şimdi mi başlamalıyız?

Evet. Bilgi sistemleri gereklilikleri faaliyet izni şartlarının bir parçasıdır ve süreklilik altyapısı gibi kalemler tedarik süresi gerektirir. Başvuru dosyasıyla uyum dosyasının aynı gerçeği anlatması, süreci uzatan en yaygın eksiği ortadan kaldırır.