İspanya`da Kripto Lisansı 2026: MiCA, CASP ve Kripto Varlık Sıfırlaması

"İspanya'da kripto lisansı" eskiden tek bir anlama geliyordu: 7/2021 sayılı Kraliyet Kararnamesi uyarınca İspanya Merkez Bankası'na yapılan bir kayıt. Bu kayıt, bir firmanın sanal para birimlerini itibari paraya çevirmesine veya müşterileri için kripto para tutmasına olanak tanıyordu. Kullanışlı, sınırlı, kara para aklama karşıtı (AML) özellikliydi. Şimdi ise tarih oldu. Kayıt, 30 Aralık 2024'te yeni girişleri durdurdu. Bu tarih, Kripto Varlık Piyasaları (MiCA) düzenlemesinin kripto varlık hizmet sağlayıcı kurallarının Avrupa Birliği (AB) genelinde uygulanmaya başladığı gündü. Aynı sabahtan itibaren, kapıları gerçekten açan tek kripto lisansı, Ulusal Değerler Piyasası Komisyonu (Comisión Nacional del Mercado de Valores) tarafından verilen bir CASP yetkilendirmesidir. İspanya bu konuda alışılmadık derecede cömert davrandı. Eski firmaların geçiş için 30 Haziran 2026'ya kadar süreleri var. Bu tarihten sonra, yalnızca CNMV tarafından yetkilendirilmiş firmalar veya başka bir AB ülkesinden pasaport almış firmalar yasal olarak İspanyol müşterilerine hizmet verebilir. Aşağıda, yeniden yapılanma süreci, yeni düzenleyici kurumun kim olduğu, yeni lisansın gereklilikleri, maliyeti, süresi ve İspanya'nın AB komşularına kıyasla nasıl bir konumda olduğu ele alınmaktadır.

İspanya Merkez Bankası VASP kaydından İspanya'daki MiCA CASP lisansına

İspanya'daki eski "kripto lisansı" bir kayıt işlemiydi, ihtiyatlılık anlamında hiçbir zaman bir lisans değildi. 7/2021 sayılı Kraliyet Kararnamesi, AB'nin Beşinci Kara Para Aklama Direktifi'ni uygulamaya koydu. Bu kararname, İspanya Merkez Bankası'na dar kapsamlı bir görev verdi: Kripto parayı itibari paraya çeviren veya müşterileri adına kripto cüzdanları tutan sanal varlık hizmet sağlayıcılarının kamuya açık bir listesini tutmak. 2021 yılının başlarında liste yaklaşık 130 ila 140 isme ulaşmıştı. Bazıları büyük uluslararası borsalardı; bazıları ise tek kişilik bürolardı. Yani bir kara para aklama önlemi. Ve Avrupa'ya girmenin daha ucuz yollarından biri.

MiCA kategoriyi değiştirdi. Kripto varlık hizmet sağlayıcılarına ilişkin V. Başlık kuralları 30 Aralık 2024'te yürürlüğe girdi. İspanya aynı sabah yetkiyi İspanya Merkez Bankası'ndan Ulusal Menkul Kıymetler Piyasası Komisyonu'na (kısaca CNMV) devretti. Eski kayıt aynı tarihte kapatıldı ve artık sadece bilgilendirme amaçlı. Dolayısıyla İspanya'nın borsalarını ve halka açık şirketlerini denetleyen kurum artık kripto varlık firmalarını da denetliyor ve her meşru CASP'yi onaylıyor.

Bu bir isim değişikliği değil. Eski kayıt, kara para aklama karşıtı bir önlemdi; yeni yetkilendirme ise tam bir ihtiyatlılık ve davranış lisansı olup, AB pasaportuna uygun, sermaye, yönetişim ve operasyonel dayanıklılık gereksinimlerini de içermektedir. 2024 yılında İspanya Merkez Bankası rejimine tamamen uyumlu olan bir firma, CASP kurallarına göre artık yetersiz sermayeli ve operasyonel olarak kırılgan görünebilir, çünkü bu kurallar yatırım firmaları için yazılmıştır, kara para aklama karşıtı kayıt yaptıranlar için değil.

Olayda hâlâ üç İspanyol yetkili rol oynuyor ve telefon çaldığında hangisinin arayacağını bilmekte fayda var.

İspanya'da kimlerin kripto para lisansına ihtiyacı var, kimlerin yok?

MiCA, on adet düzenlenmiş kripto para hizmetini sıralıyor. Bunlardan herhangi birini İspanya'dan İspanyol veya AB sakinlerine sunuyorsanız, CASP yetkilendirmesine ihtiyacınız var. En bilinenler şunlardır: kripto para borsaları veya işlem platformları işletmek, saklama hizmeti sağlamak, müşteri emirlerini yerine getirmek ve ilk coin arzları da dahil olmak üzere emirlerin alınması ve iletilmesi. Daha az bilinenler de aynı derecede önemlidir: kripto varlık portföyü yönetmek, bunlara yatırım tavsiyesi vermek, bunları yerleştirmek ve hatta bir müşterinin adına kripto para transferi yapmak bile. Bunlardan herhangi birini iş olarak yapıyorsanız, lisans artık isteğe bağlı değildir.

Avrupa ihtiyatlılık kuralları kapsamında zaten denetlenen firmalar daha sakin bir yol izliyor. Bankalar, MiFID yatırım firmaları, elektronik para ve ödeme kuruluşları ve UCITS yöneticileri, yeni bir yetkilendirme başvurusu yapmak yerine, CASP faaliyetine başlamadan 40 iş günü önce CNMV'ye bildirimde bulunabilirler. Yolun kısa olmasının nedeni, denetleyici kurumun ihtiyaç duyduğu şeylerin çoğunu zaten görmüş olmasıdır; bu nedenle ilk on bir yetkilendirilmiş İspanyol CASP'sinden altısı bankadır.

Saf NFT pazarları ve merkeziyetsiz protokoller, en azından şimdilik, token'ları MiCA'nın geniş kripto varlık tanımına girmediği sürece CASP kapsamı dışında kalıyor. Madenciler, doğrulayıcılar ve saf blok zinciri altyapı operatörleri de benzer şekilde CASP değildir, ancak bunların etrafındaki lisanslı kripto şirketleri genellikle ayrı kurallar altında dijital varlık saklama ve dijital cüzdan hizmetleri yürütür. AB'de ikamet eden müşteri tabanına sahip herkes, bu makalenin ilerleyen bölümlerinde açıklanan vergi raporlama katmanı olan DAC8'i izlemelidir. DAC8'in bir lisansa ihtiyacı yoktur.

CNMV'nin CASP lisansı almak için gereken şartları: dosyada neler var?

CNMV'nin masasında görmek istediği şey, bir operasyon programıdır: firmanın satmayı planladığı her hizmet, her birinin ardındaki iş modeli ve bunları fiilen sunmak için gereken kaynak planı. İspanyolca başvurular genellikle 100 sayfayı aşar ve destekleyici dosyalar daha da uzun olur. Dosya doldurulacak bir form değildir. Her sayfada "neden" diye soracak bir okuyucu için yazılmış, olmayı hedeflediğiniz şirket için işleyen bir iş planı ve iş modeli olarak okunmalıdır.

Dört temel unsur ağırlığın büyük kısmını taşır. Birincisi yönetişimdir, çünkü CNMV, liderliğini sağlayamadığı bir firmaya yetki vermez. Bu nedenle dosya, %10'un üzerindeki her hissedar, her yönetici, her kilit pozisyon sahibi için kimlik ve uygunluk kontrollerini, yönetim kurulu tutanaklarını, çıkar çatışması politikalarını, şikayet işleme prosedürünü ve yazılı bir iş sürekliliği planını içermelidir. İkinci unsur sermayedir, bunu aşağıda ayrı bir bölümde ele alacağız. Üçüncüsü ise kara para aklama ile mücadeledir: bir iç kontrol organı, atanmış bir kara para aklama görevlisi, atanmış bir SEPBLAC irtibat görevlisi ve İspanya'nın 10/2010 sayılı Kanununa tam olarak uyan bir kılavuz, ayrıca düzenleyicinin o gün stres testinden geçirebileceği müşteri tanıma ve müşteri durum tespiti prosedürleri.

Dördüncü sütun, çoğu dosyanın işaretlenmiş olarak geri döndüğü operasyonel dayanıklılıktır. AB'nin Dijital Operasyonel Dayanıklılık Yasası (DORA), çıtayı belirliyor. Başvuru sahipleri, bilgi ve iletişim teknolojilerinin nasıl yönetildiğini, test edildiğini ve üçüncü taraf yoğunlaşma riskine karşı nasıl korunduğunu göstermelidir. ESMA'nın Temmuz 2025 tarihli akran değerlendirmesi, ulusal denetim kurumlarına özellikle bu bölümü incelemelerini ve geç başvuru yapan şirketleri (geç başvuru süresinin bitiminden hemen önce başvurmaya çalışan şirketleri) düzenleyici kurumun kibarca "oldukça dikkatli" olarak adlandırdığı şekilde ele almalarını söyledi.

Bir dosyanın ilerlemesini engelleyen şey nadiren evrak işleridir. Asıl önemli olan içeriktir. Danışmanların müstakbel kurucularla birlikte incelediği başvurularda, kırmızı mürekkeple işaretlenmiş bölümlerin neredeyse her zaman operasyonel dayanıklılık planı ve MLRO'nun bağımsızlığını açıklayan bölüm olduğunu gördüm. MiCA gerekliliklerine uyum, diğer bölümlerden daha çok bu iki bölüme göre belirlenir ve CNMV, bu iki konuda da geçiştirmelere kesinlikle yanaşmamıştır.

İspanya'da bir kripto para işletmesi için sermaye ve maliyet gereksinimleri

MiCA, üç farklı sermaye kademesi belirler. Bunlar her AB ülkesinde aynıdır ve aldatıcı bir şekilde yumuşak görünürler.

Tablo tek başına okunduğunda, bir kripto para borsasının bile 150.000 Euro sermaye ile faaliyete başlayabileceği izlenimini veriyor. Ancak bu yorum yanlış. MiCA ayrıca, önceki yılın sabit giderlerinin en az dörtte birine eşit öz sermaye gerektiriyor. Dolayısıyla, yıllık 5 milyon Euro maliyeti olan bir borsanın asgari sermaye miktarı 1,25 milyon Euro; 20 milyon Euro maliyeti olan bir borsanın ise 5 milyon Euro'dur. Hangi rakam daha büyükse, firmanın elinde bulundurması gereken ihtiyatlı sermaye odur. Tablodaki minimumlar tam olarak minimumlardır ve çoğu platform ilk takvim yılında bu minimumları aşmaktadır.

İspanyol tarafı daha sonra kaçınılmaz bir dizi harcama ekliyor. Bir Sociedad Limitada (İspanyol özel limited şirket/sınırlı sorumluluk şirketi biçimi) veya Sociedad Anónima kurmak ve Registro Mercantil'e kaydolmak genellikle 3.000 ila 10.000 Euro'ya mal oluyor. Noter ücretleri, yeminli tercümeler ve apostiller de 2.000 ila 5.000 Euro arasında değişiyor. Başvurunun kendisiyle ilgili yasal ve danışmanlık ücretleri 30.000 ila 80.000 Euro arasında değişiyor. Birinci sınıf danışmanlık hizmeti alt sınırda yer alırken, tam bir işlem platformu paketi üst sınırı oluşturuyor. İspanya'da CASP faaliyetleri yürütmek üzere kayıtlı herhangi bir şirket için İspanya'da fiziksel bir ofis gereklidir. Sanal ofisler esas incelemeden geçemez. Buna bir MLRO maaşı, DORA testi, ilk yıl denetim ücreti ve mesleki sorumluluk sigortasını da eklediğinizde, küçük bir İspanyol CASP'si için gerçekçi ilk yıl toplam bütçesi, sermayenin kendisi hariç, 100.000 ila 250.000 Euro aralığında yer almaktadır.

Rakip firmaların sayfaları genellikle minimum sermaye rakamını belirtir ve orada bırakır. Dürüst cevap, genel gider tabanı artı yıllık gelir oranıdır; aksi yönde beklentiyle yola çıkan kurucular, ilk altı aylarını bütçe dosyasını yazmak yerine bütçe konusunda tartışarak geçirirler.

İspanya'da kripto para lisanslama süreci için zaman çizelgesi: üç ila beş ay

İspanya'daki lisanslama prosedürü, MiCA'nın yasal olarak belirlediği iki aşamalı süreci takip eder ve CASP lisansı için başvuru yapıp dosyayı gönderdiğiniz anda başlar. CNMV'nin başvurunun eksiksiz olduğunu onaylaması için 25 iş günü vardır; eğer eksiksiz değilse, başvuru sahibi eksiklikleri tamamlayana kadar süre durdurulur. Eksiksizlik onaylandıktan sonra, karmaşık vakalar için 20 iş günü uzatma imkanıyla birlikte, esas değerlendirme 40 iş günü daha sürer. Kağıt üzerinde bu yaklaşık üç ay demektir.

Uygulamada, Nisan 2026 Legasset kayıt takipçisine göre, CNMV aracılığıyla kripto para lisansı alan firmalar, başlangıçtan itibaren üç ila beş ay içinde yetkilendirme alıyor. Bu da CNMV'yi AB'deki en hızlı ulusal denetleyiciler arasına yerleştiriyor. 2025 ESMA dipnotu hala geçerli: Geç başvuru yapan ve muafiyet süresi dolmadan önce onay almayı uman firmalar, sürecin çok daha yavaş ilerlediğini görecekler ve düzenleyici kurumun onları bekletme hakkı var.

İspanya'daki eski VASP'ler için 30 Haziran 2026 kritik tarihi.

İspanya'nın geçiş rejimi AB'deki en uzun rejimdir, ancak neredeyse böyle olmayacaktı. Orijinal plan, 30 Aralık 2025'te eski VASP'lerin (Varlıklı Sanal Ödeme Hizmet Sağlayıcıları) faaliyetlerinin sona ermesiyle birlikte on iki aylık bir geçiş süreciydi. 2025'in sonlarında ESMA (Avrupa Para Otoritesi İdaresi) bir uçurum riski olduğunu belirtti: çok fazla firma, çok az yetkilendirme, ışıkların bir anda sönmesi an meselesi. Madrid bu süreyi altı ay uzattı. 1 Temmuz 2026'dan itibaren yalnızca CNMV (Kuzey İrlanda Teknoloji Piyasası Müteahhitleri) tarafından yetkilendirilmiş firmalar veya AB pasaportlu CASP'ler (Varlıklı Sanal Ödeme Hizmet Sağlayıcıları) İspanyol müşterilerine hizmet verebilecek ve konu burada kapanıyor.

Duvara karşı duran sayılar oldukça yetersiz görünüyor. 12 Nisan 2026 itibarıyla yalnızca on bir firma tam İspanyol CASP yetkilendirmesine sahipti: altı banka (BBVA, Cecabank, Openbank, Renta 4, CaixaBank, Kutxabank) ve Bit2Me liderliğindeki beş fintech şirketi. Eski kayıt defteri en yüksek seviyesindeyken bunun on katından fazla firmaya sahipti. Darboğaz yasal değil, operasyonel. Bazı eski firmalar sessizce ayrılıyor. Diğerleri ise başka bir üye devlette zaten yetkilendirilmiş bir CASP'ye entegre oluyor ve tekrar giriş yapıyor. Birkaç firma başvuru yapmak için yarışıyor, ancak CNMV son tarihe yakın gelenlerin onaylanmayacağını belirtti.

İspanya ve diğer AB ülkeleri: yasal çerçeve karşılaştırması

MiCA, sermayeyi ve yönetmelikleri uyumlu hale getirdi; bu nedenle AB yargı bölgeleri arasındaki farklılıklar artık yasal metinde bulunmuyor. Bunlar, ulusal denetim merciinin çalışma temposunda, dosyanın iş dilinde ve ilgili vergi rejiminde yer alıyor.

İspanya, girişimcilere iki şey sunuyor: hız ve erişim. CNMV'nin inceleme hızı Litvanya ile aynı seviyede, ülke 500 milyondan fazla İspanyolca konuşan nüfusa sahip bir pazara açılıyor ve Madrid'den Latin Amerika bankacılık akışlarına erişim, bloktaki diğer yerlere göre daha kısa. Ancak, zorluklar da gerçek. CNMV yazışmaları genellikle İspanyolca, kurumlar vergisi oranı Litvanya ve Malta'nın üzerinde ve kripto para odaklı bir şirket için İspanyol banka hesabı açmak, kimsenin yeterince zaman ayırmadığı bir proje aşaması.

Lisans alma hızı konusunda İspanya, AB'nin daha pragmatik seçeneklerinden biri haline geldi ve Litvanya ile birlikte en hızlı CASP rejimlerinden biri olarak kabul ediliyor. Daha geniş sıralama ise kendi hikayesini anlatıyor. Nisan 2026 ortası itibarıyla 53 onaylı CASP ile Almanya Avrupa'da lider konumda, ardından 25 ile Hollanda, 13 ile Fransa ve Norveç, 12 ile Malta, 11 ile İspanya, 10 ile Litvanya ve 9 ile Avusturya geliyor. 23 ülke genelinde AB-AEA toplamı 199'dur.

AML, kara para aklama ve DAC8 raporlaması

Mevzuat uyumluluğu, CASP lisansı alındığı anda sona ermez. İspanya'nın 10/2010 sayılı Kanunu, kripto şirketleri için kara para aklama ve terörist finansmanıyla mücadele yükümlülüklerini düzenler ve SEPBLAC bu yükümlülüklerin denetimini yapar. Yetkilendirilmiş CASP'ler, 30.000 Euro'nun üzerindeki bireysel işlemler hakkında aylık raporlar sunar, kendi cüzdanlarına yapılan ve bu cüzdanlardan gelen transferler de dahil olmak üzere transferlerde Seyahat Kuralı'na uyumu sağlar ve talep üzerine şüpheli faaliyet raporları sunar. Bunların hiçbiri isteğe bağlı değildir ve SEPBLAC denetim yaptığını göstermiştir.

1 Ocak 2026'da yeni bir katman devreye girdi. AB'nin İdari İşbirliği Direktifi'nin sekizinci değişikliği olan DAC8, CASP'lerden bu tarihten itibaren AB'de ikamet eden kullanıcılar hakkında raporlanabilir işlem verilerini toplamalarını istiyor ve ilk raporların Ocak ile 30 Eylül 2027 arasında verilmesi gerekiyor. İspanya, DAC8'i mevcut 172, 173 numaralı vergi formlarının ve 50.000 Euro'nun üzerindeki varlıklar için 721 numaralı yabancı kripto beyanname formunun üzerine ekliyor. İki raporlama evreni, bir müşteri grubu, altyapıyı kurmak için çok az zaman.

Kurucuların hafife aldığı kısım, yaptırımlardır. Kasım 2025'te CNMV, "Quantum AI" adlı şirketin yetkisiz kripto para tanıtımlarına ev sahipliği yaptığı için X'e (eski adıyla Twitter) 5 milyon Euro para cezası verdi; bu, İspanya'da bugüne kadarki en büyük kripto para platformu yaptırımıydı. Bir ay sonra BOE, kara para aklama eksiklikleri nedeniyle CaixaBank'a 30 milyon Euro'luk SEPBLAC cezası verdi. CNMV'ye uygun açıklamalar olmadan kripto para tanıtımı yapmanın bireysel cezaları, suç başına 300.000 Euro'ya kadar çıkabiliyor. Dersin gözden kaçması zor: CNMV, sadece reklamı yazan firmayı değil, reklamı barındıran platformu da hedef almaya hazır.

İspanyol kripto para CASP lisansı, lisanslı kripto şirketlerine neler kazandırıyor?

Tek bir İspanyol yetkilendirmesi, MiCA Madde 65 uyarınca AB'nin geri kalanına pasaport görevi görerek 27 AB üye devletine ve üç AEA ekonomisine erişim sağlıyor. Pasaport, MiCA'nın tanımladığı geniş yelpazedeki kripto hizmetlerini kapsıyor; bu da normal bir borsa veya aracı kurumun yaptığı işlerin çoğunu içeriyor. Nisan 2026 itibarıyla yetkilendirilmiş 199 CASP'den 171'i (%86) pasaportu zaten aktif hale getirmişti. İspanyolca konuşulan dünyaya odaklanan bir firma için bu lisans, Latin Amerika operasyonları için de düzenleyici bir merkez görevi görüyor ve nihayetinde akışları Avrupa'ya yönlendiriyor.

Bu uyarılar önemlidir. Ev sahibi ülke düzenleyicileri tüketiciyi koruma yetkilerini korur ve kendi sınırları içindeki pazarlama veya dağıtım ihlallerine karşı harekete geçebilirler. Stablecoin ihracı, CASP lisansının bir parçası değildir; MiCA III ve IV Başlıkları uyarınca İspanya Merkez Bankası'ndan ayrı bir yetkilendirme gerektirir. Ayrıca, CNMV 1/2024 sayılı Genelgesi, yetkili firmaların bile uyması gereken reklam kurallarını belirler.

Çözüm

Kurucuların bir yıl önce peşinden koştuğu İspanya'daki kripto para lisansı artık o haliyle mevcut değil. Şimdi mevcut olan daha büyük bir şey sunuyor: İspanya'daki lisans, zorlu ancak öngörülebilir şartlarla AB genelinde faaliyet göstermek için tek bir yetkilendirme sağlıyor. Bunun karşılığında gerçek sermaye ve gerçek içerik, hızlı bir NCA (Ulusal Kredi Otoritesi) ve 30 Haziran 2026'da sona erecek uzun bir geçiş süreci söz konusu. İspanya, Avrupa'daki en ucuz yer değil, İngilizce konuşanlar için de en uygun yer değil. Hız, İspanyolca konuşanlara erişim ve AB pasaportunu tek bir pakette isteyen kurucular için CNMV'nin kapısı, bloktaki en pragmatik kapılardan biri.

Marco Lucchetti

Marco Lucchetti is a senior content strategist and blockchain analyst at Plisio. With over 7 years of experience in cryptocurrency research, DeFi protocols, and payment technologies, Marco specializes in creating clear, data-driven content for a global crypto audience. His work focuses on transaction tracing, crypto compliance, and the future of blockchain infrastructure.