Bir soru sorun!
Ağustos 2026’da Gürcistan Merkez Bankası, Gürcistan kripto piyasasının işleyiş kurallarını önemli ölçüde değiştiren birkaç düzenleyici mevzuatı birden kabul etti.
Her bir belgeye ayrı ayrı bakıldığında, değişiklikler bir dizi yeni gereklilik gibi görünebilir: sermaye, raporlama, siber güvenlik, müşteri şikayetleri, para cezaları. Ancak bunları bir araya getirdiğimizde, çok daha önemli bir eğilim göze çarpmaktadır.
Gürcistan, nispeten basit bir VASP kayıt modelinden, mantığı itibarıyla diğer finansal kurumların düzenlemelerine giderek daha fazla benzeyen tam anlamıyla bir “prudential supervision” (ihtiyati denetim) modeline geçiş sürecini fiilen tamamlıyor.
Mevcut VASP’ler için bu, iç süreçleri yeniden yapılandırma ve uyum (compliance) ile BT’ye yatırım yapma gerekliliği anlamına geliyor. Yeni şirketler için ise giriş eşiği önemli ölçüde yükseliyor.
Ancak aynı zamanda bu, devletin kripto sektörünü ülkeden dışlamaya yönelik bir girişim gibi görünmüyor. Aksine, devlet bu sektörü nispeten serbest ve genç bir piyasadan kurumsal bir finans sektörüne dönüştürmeye çalışıyor.
Tam olarak nelerin değiştiğini ve piyasa katılımcılarının neye hazırlıklı olmaları gerektiğini inceleyeceğiz.
Bu duruma nasıl geldik
Gürcistan’da VASP’lerin Merkez Bankası’na zorunlu tescili 2023 yılında yürürlüğe girdi. NBG’nin 94/04 sayılı temel emri, tescil, yöneticiler, ofis, yazılım ve AML/CFT prosedürlerine ilişkin gereklilikleri belirledi.
Bu nedenle, eskiden sadece şirketi kaydettirip herhangi bir kısıtlama olmaksızın faaliyete geçmenin yeterli olduğunu söylemek yanlış olur.
Ancak Gürcistan’ın ilk düzenleme modeli, büyük ölçüde AML/CFT, sahiplerin şeffaflığı ve şirketin piyasaya giriş izni etrafında şekillenmişti.
Şimdi ise denetim felsefesi değişiyor.
Gürcistan Merkez Bankası Organik Kanunu’ndaki değişiklikler, NBG’nin yetkilerini önemli ölçüde genişletmiştir. 52. madde⁵, Merkez Bankası’na sadece VASP’leri tescil etmek ve denetlemekle kalmayıp, sermaye, sahipler ve yöneticilere ilişkin şartlar belirleme, belirli hizmet kategorilerini düzenleme, risk yönetimi standartları getirme, faaliyetleri kısıtlama ve yaptırım uygulama yetkisini açıkça vermektedir.
Ulusal Banka, yeni modeli açıkça “prudential supervision” (ihtiyatlı denetim) olarak adlandırmakta ve ayrı ayrı “tüketici koruması”, “siber güvenlik” ve “operasyonel risk yönetimi”nden bahsetmektedir. Düzenlemeleri hazırlarken NBG, Avrupa’daki MiCA’yı, Dubai’deki VARA rejimini, ABD, Birleşik Krallık ve Singapur’daki yaklaşımları, ayrıca IMF ve IOSCO’nun tavsiyelerini incelemiştir.
Ağustos ayında yayınlanan düzenleme paketini tam da bu bağlamda değerlendirmek gerekir.
Denetim sermayesi: piyasaya giriş i̇çin en önemli yeni engellerden biri
En önemli değişikliklerden biri, Ulusal Banka’nın 207/04 sayılı emriyle 94/04 sayılı VASP Kayıt ve Düzenleme Yönetmeliği’ne getirilmiştir.
Asgari denetim sermayesi şu şekilde belirlenmiştir:
- 150.000 GEL — VASP, kripto ATM’leri/kiosklar dahil olmak üzere sanal varlık takası ve/veya sanal varlık transferi gerçekleştiriyorsa;
- 350.000 GEL — şirket bir ticaret platformunu yönetiyorsa;
- 250.000 GEL — özel bir rejimin geçerli olduğu stabilcoin ilk arzı hariç, diğer VASP hizmetleri için.
Bir VASP aynı anda birden fazla hizmet türü sunuyorsa, ilgili asgari tutarlar arasından en yüksek olanı uygulanır.
Ancak burada önemli bir ayrıntı vardır. 150.000 veya 350.000 lari — bu, kayıt sırasında banka hesabında tek seferlik olarak gösterilebilecek bir tutar değildir. Yasa, VASP’nin sürekli olarak muhafaza etmekle yükümlü olduğu denetim sermayesinden bahsetmektedir.
Bu sermayenin en az %75’i birincil sermayeden oluşmalıdır. İkincil sermaye, birincil sermayenin üçte biriyle sınırlıdır. Kurallar ayrıca sermayeye hangi finansal araçların dahil edilebileceğini belirler ve örneğin maddi olmayan duran varlıkların kalıntı değeri gibi kesintileri öngörür.
Sermaye belirlenen seviyenin altına düşerse, VASP NBG’yi bilgilendirmeli ve sermayeyi yeniden yapılandırma planını sunmalıdır. İhlal giderilene kadar sermaye dağıtımı, ilgili araçlara ilişkin ödemeler, ikramiyeler ve fon çıkışına yol açan diğer işlemler kısıtlanabilir.
Yani burada söz konusu olan, klasik ihtiyatlı düzenleme mantığıdır: Düzenleyici kurumun ilgilendiği konu, sadece şirketin kime ait olduğu ve AML kurallarına uyup uymadığı değil, aynı zamanda şirketin kendi faaliyetlerini ve bunlarla ilişkili riskleri finansal olarak karşılayabilecek durumda olup olmadığıdır.
Yeni VASP’ler için kurallar şimdiden değişti
İşte bu noktada, mevcut ve yeni piyasa katılımcılarını birbirinden ayırt etmek özellikle önemlidir.
207/04 sayılı kararnamenin yürürlüğe girmesinden önce kayıt yaptırmış olan VASP'ler için bir geçiş dönemi öngörülmüştür: risk yönetimi çerçevesini 1 Temmuz 2027 tarihine kadar uyumlu hale getirmeleri ve denetim sermayesi gerekliliklerini 1 Eylül 2027 tarihine kadar yerine getirmeleri gerekmektedir.
Ancak yeni başvurular için böyle bir erteleme söz konusu değildir.
VASP kaydı sırasında sunulması gereken belgeler listesine, asgari denetim sermayesinin yatırıldığını teyit eden banka hesap özeti açıkça eklenmiştir.
Bu nedenle, Gürcistan’da bir limited şirket kurmuş ancak henüz NBG’ye başvuruda bulunmamış bir şirket, sadece tüzel kişiliğin kayıt tarihi nedeniyle “eski VASP” statüsüne sahip sayılmaz.
Asıl önemli olan, VASP statüsüdür.
Dar kapsamlı bir geçiş istisnası bulunmaktadır: 207/04 sayılı emir, yürürlüğe girmeden önce başlatılan ilgili idari işlemlerin bu emirin kapsamı dışında olduğunu açıkça belirtmektedir. Bu nedenle, daha önce sunulan ve henüz sonuçlandırılmamış başvuruların ayrı olarak değerlendirilmesi gerekmektedir.
Diğer tüm yeni projeler için ise pazara giriş ekonomisi artık tamamen farklı bir görünüm sergilemektedir.
Eskiden bir VASP projesinin bütçesinin önemli bir kısmı hukuki danışmanlık, kara para aklamayla mücadele (AML), ofis, personel ve teknik altyapıya ayrılırken, artık buna en az 150–350 bin lari tutarında öz sermaye eklenmektedir.
Bu durum, potansiyel piyasa katılımcılarının profilini bir anda değiştirmektedir.
VASP, bir kayıt işlemi olmaktan çıkıp sürekli işleyen bir uyum sistemine dönüşüyor
İkinci temel değişiklik ise risk yönetimi gereklilikleridir.
VASP, riskleri tespit etme, değerlendirme, izleme ve yönetme konusunda tam donanımlı bir sisteme sahip olmalıdır. Bu sistem, operasyonel riskleri, siber güvenliği, teknolojik altyapının dayanıklılığını, dolandırıcılık riskini, dış kaynak kullanımını, iş sürekliliğini, veri kalitesini ve şirketin belirli hizmetleriyle ilgili diğer riskleri kapsamaktadır.
Düzenleyici kurum ayrıca, konsolide verileri alma, olay ve kaza günlüklerini tutma ve NBG için gerekli bilgileri oluşturma imkânını ayrı olarak şart koşmaktadır.
Siber güvenlik düzenlemeleri özellikle dikkat çekicidir.
Kritik sistemler için her yıl sızma testi (penetration testing) yapılmalıdır. Diğer sistemler için ise riske bağlı olarak, ancak en az üç yılda bir yapılmalıdır. Kritik altyapıda önemli değişiklikler yapıldıktan sonra ek testler yapılması gerekir.
Güvenlik açığı taraması (vulnerability scanning) yılda en az iki kez yapılmalıdır.
Üstelik yeni bir VASP için iş, iç politikaların yazılmasıyla bitmez.
Kayıt tarihinden itibaren en geç 12 ay içinde şirket, uygun bir risk yönetimi çerçevesine ve belirlenen bir dizi gerekliliğin yerine getirildiğini teyit eden nitelikli bağımsız denetçinin güncel raporuna sahip olmalıdır.
Belgelerde veya sızma testi raporunda kritik veya yüksek riskli güvenlik açıkları tespit edilirse, NBG, VASP'nin kaydını veya ilgili hizmet türüne ilişkin izni iptal etme hakkına sahip olur.
Bu çok önemli bir değişimdir.
Eskiden küçük bir kripto projesi için siber güvenlik, öncelikle teknik bir mesele olarak algılanabilirdi: sunucunun ne kadar iyi korunduğu ve geliştiricinin ne kadar yetkin olduğu gibi.
Artık bu, düzenleyici bir konudur.
Prosedürlerin, kayıtların, testlerin, bağımsız denetimlerin ve olaylara yönelik belgelenmiş müdahalenin varlığı, şirketin piyasada kalma hakkının bir parçası haline gelmektedir.
“Politika hazırladık” demek artık yeterli değil
Muhtemelen, halihazırda kayıtlı olan VASP’lerin bir kısmı için en zorlu noktalardan biri sermaye bile olmayacak.
Para toplamak nispeten kolaydır.
Düzenleyici kuruma, iç belgelerinin gerçek süreçlere gerçekten uygun olduğunu kanıtlayabilecek bir organizasyon kurmak çok daha zordur.
Politikada olay yönetimi yapıldığı yazıyorsa, bir olay günlüğü bulunmalıdır.
İş sürekliliği prosedürü beyan ediliyorsa, bunu uygulamaya olanak tanıyan bir altyapı bulunmalıdır.
Şirket dış kaynak kullanımını kontrol ediyorsa, sözleşmelerin yanı sıra yüklenicilere yönelik risk değerlendirmesi ve izleme süreçleri de mevcut olmalıdır.
Düzenli güvenlik açığı taraması yapıldığı belirtiliyorsa, tarama sonuçları ve düzeltme işlemlerinin teyidi mevcut olmalıdır.
İşte tam da bu noktada, “kağıt üzerinde VASP” ile gerçek anlamda işleyen, düzenlemelere tabi bir kuruluş arasındaki sınır çizilecektir.
Özel bir konu: tüketici koruması
202/04 sayılı Karar, finans sektöründe yürürlükte olan tüketici hakları koruma rejiminin bazı unsurlarını VASP’lere de genişletmektedir.
1 Ocak 2027’den itibaren VASP’ler, kullanıcıların şikayetlerini kabul etmek ve incelemekle yükümlü olacaktır.
Şikayetler sözlü, yazılı veya elektronik olarak iletilebilir. Yazılı ve elektronik başvurular için, başvurunun alındığını teyit etmek, ilgili kayıtları tutmak ve inceleme sonucunu en geç bir ay içinde bildirmek zorunludur.
Ayrıca, VASP’ler her ayın 10’una kadar Ulusal Banka’ya gelen şikayetlere ilişkin istatistikleri göndermek zorundadır.
İlk bakışta bu, küçük bir idari değişiklik gibi görünebilir.
Aslında bu, oldukça anlamlı bir gelişmedir.
Düzenleyici kurum, VASP müşterisini artık sadece özel bir kripto para işleminin katılımcısı olarak değil, düzenlemeye tabi bir finansal hizmetin tüketicisi olarak algılamaya başlamaktadır.
Şirketler açısından bu, tam kapsamlı bir şikayet yönetimi süreci oluşturma gerekliliği anlamına geliyor: şikayet kanalı, başvuruların kaydı, yanıt süreleri, sorumlu çalışanlar, geçmiş kayıtlarının saklanması ve istatistikler.
Pratikte, aktif olarak faaliyet gösteren bir VASP için bu, en azından bir CRM veya bilet sistemi ve resmileştirilmiş bir iş akışı gerektiriyor.
Stablecoin, ayrı bir düzenlemeye tabi finansal faaliyet haline geliyor
Reformun ayrı bir kısmı stablecoin’leri ilgilendiriyor.
21 Ağustos tarihli 201/04 sayılı Kararname, stabil sanal varlıklar ihraç eden VASP'ler için aylık raporlama yükümlülüğünü getiriyor.
İlk rapor en geç 15 Ekim 2026 tarihine kadar sunulmalı; ardından raporlar, bir önceki takvim ayına ait verilerle her ayın 10'una kadar sunulmalıdır.
Düzenleyici kurum, ihraç edilen ve itfa edilen stabilcoinlerin miktarı, rezervlerin bileşimi ve yatırıldığı yer, sabitlendiği para birimi ve yükümlülüklerin karşılama oranı hakkında bilgi alır.
Üstelik 201/04 sayılı karar, çok daha kapsamlı bir yapının yalnızca raporlama kısmını oluşturmaktadır.
Hatta Mart 2026’da 52/04 sayılı emirle NBG, sabit sanal varlıkların ilk arzı için özel bir rejim getirmiştir. Dolaşımdaki stabilcoin, %100 oranında rezerv varlıklarla desteklenmelidir; rezervlerin bileşimi, ihraççının sermayesinden ayrılması, itfa ve teknolojik ve operasyonel risklerin yönetimi ile ilgili gereklilikler belirlenmiştir.
Yani Gürcistan’ın stabilcoin rejimi, ekonomik özü bakımından, sıradan bir kripto token ihracından çok, para veya ödeme araçları ihraççılarının düzenlenmesine giderek daha fazla yaklaşmaktadır.
Para cezaları, yaptırımların yalnızca bir parçasını oluşturmaktadır
204/04 sayılı Karar, VASP’lere yönelik mevcut yaptırım uygulama prosedürünü genişletmektedir.
Para cezalarının tutarı, ihlalin niteliğine bağlı olarak 50.000 GEL’e kadar çıkabilmektedir.
Örneğin, NBG ile mutabık kalınan hizmet planına aykırı olarak hizmet sunulması 20.000 GEL para cezasına neden olabilir. Denetime engel olunması halinde 10.000 GEL, Merkez Bankası’nın yazılı talebinin yerine getirilmemesi durumunda ise her vaka için 5.000 GEL para cezası öngörülmüştür. Bilginin sunulmaması veya zamanında sunulmaması durumunda da sorumluluk öngörülmüştür.
VASP yöneticileri için ayrı bir sorumluluk getirildi: şirketin mevzuatı ihlal etmesine yol açan görevlerin usulsüz yerine getirilmesi durumunda 5.000 GEL para cezası öngörülmüştür. Talebin tekrar yerine getirilmemesi durumunda para cezası iki katına çıkarılabilir.
Özellikle önemli olan nokta, mali para cezasının — olası en ciddi yaptırım olmaktan çok uzak olmasıdır.
NBG, faaliyetleri kısıtlayabilir, ihlallerin giderilmesini talep edebilir, yöneticiler üzerinde baskı uygulayabilir, kâr dağıtımını sınırlayabilir ve nihayetinde VASP’nin kaydını iptal edebilir.
Bu, uyum riskinin doğrudan iş sürekliliği riski haline geldiği anlamına gelir.
VASP sahibi için mesele artık olası cezaların işletme giderlerine dahil edilip edilemeyeceği ile sınırlı değildir. Gerekliliklere sistematik olarak uyulmaması, faaliyet gösterme imkânının tamamen yitirilmesine yol açabilir.
VASP’lerin tasfiyesi için özel bir prosedür bile ortaya çıkıyor
Ağustos sonunda, sermaye ile ilgili yeni gerekliliklerin gölgesinde kolayca gözden kaçabilecek bir başka önemli belge kabul edildi.
27 Ağustos 2026 tarihli NBG 209/04 sayılı Kararname, VASP'lerin tasfiyesi için özel bir prosedür belirlemektedir. Bu prosedür, 1** Eylül 2028** tarihinde yürürlüğe girecektir.
Kayıt iptalinden sonra tasfiye süreci NBG'nin denetimi altında olacak ve tasfiye memuru, VASP'nin yönetim organlarının yetkilerini devralacaktır.
Müşteri varlıklarının akıbeti özellikle ilgi çekicidir.
Müşterilerin fiat paraları, sanal varlıkları, hizmet sunumu kapsamında VASP’ye devredilen varlıklar ve bunlara erişim araçları ile stabilcoin ihraççısının rezerv varlıkları, VASP’nin tasfiye kütlesine dahil edilmez.
Bu, tamamen yeni bir mimarinin bir başka unsurudur.
Düzenleyici kurum artık sadece şirketin nasıl tescil edileceğini ve faaliyetlerinin nasıl denetleneceğini değil, aynı zamanda VASP’nin piyasadan nasıl güvenli bir şekilde çekileceğini ve iflas veya tescilin iptal edilmesi durumunda müşterilerinin varlıklarına ne olacağını da düşünüyor.
Olgun bir finans sektörünün düzenlemesi genellikle böyle görünür.
Tüm bunlar halihazırda faaliyet gösteren VASP’ler için ne anlama geliyor?
Faaliyet gösteren şirketler için geçiş dönemi, 2027 yılının ortasına kadar hiçbir şey yapmaya gerek olmadığına dair yanlış bir izlenim yaratabilir.
Oysa pratikte, hazırlıklara tam da şimdi başlamak akıllıca olacaktır.
Sermayeyi son tarihten önce yasal seviyeye getirmek nispeten kolaydır. Risk yönetimi konusunda ise işler daha karmaşıktır: mevcut mimarinin analizi, iç prosedürlerin değiştirilmesi, sızma testi, güvenlik açığı yönetimi, olay yönetimi, dış kaynak kullanımı kontrolleri, iş sürekliliği, kanıt tabanının hazırlanması ve nihayetinde bağımsız denetim gerekecektir.
Bu çalışmaya 2027 yılının ilkbaharında başlanırsa, ciddi eksiklikleri gidermek için yeterli zaman kalmayabilir.
Ayrıca, 1 Ocak'tan itibaren şikayet sistemi de devreye girecek.
Bu nedenle, 2026—2027 yılları birçok Gürcü VASP için fiilen bir düzenleyici dönüşüm dönemi haline geliyor.
Önemli tarihler şu anda şu şekilde görünüyor:
- 15 Ekim 2026 — ilgili stabilcoin ihraççıları için ilk raporlama; ardından aylık raporlama.
- 1 Ocak 2027 — VASP müşterilerinin şikayetlerinin incelenmesi ve kaydedilmesine ilişkin kurallar yürürlüğe girer.
- 1 Temmuz 2027 — daha önce kayıt yaptırmış olan VASP’lerin risk yönetimi çerçevesini yeni gerekliliklere uygun hale getirmeleri gerekmektedir.
- 1 Eylül 2027 — daha önce kayıt yaptırmış olan VASP’lerin denetim sermayesi gerekliliklerini yerine getirmeleri gerekmektedir.
- 1 Ocak 2028 — NBG, eski kayıt belgelerini ve sicil kaydını yeni hizmet sınıflandırmasına uygun hale getirmelidir.
- 1 Eylül 2028 — VASP’lerin tasfiyesine ilişkin özel usul yürürlüğe girer.
Peki bu, yeni oyuncular için ne anlama geliyor?
Yeni bir VASP için ilk değişiklik ortada: piyasa daha pahalı hale geldi.
“Gürcistan’da bir limited şirket kurup, belgeleri hazırlayıp, VASP’yi tescil ettirelim, sonra da işler yolunda gider mi bakalım” şeklindeki genel fikir artık çok daha az uygulanabilir hale geliyor.
Proje için kayıt aşamasında 150.000 ila 350.000 GEL arasında sermaye gerekecek ve daha sonra bu sermayeyi sürdürmek de gerekecek.
Ancak bu, masrafların sadece başlangıcı.
Uyum (compliance), kara para aklamayla mücadele (AML), teknik altyapı, siber güvenlik, sızma testi, güvenlik açığı taraması, bağımsız denetim, risk yönetimi ve müşteri taleplerinin ele alınması için bütçe ayrılması gerekiyor.
Bu nedenle, tescil işleminden önce hizmet yelpazesini doğru bir şekilde belirlemek özellikle önem kazanıyor.
Eskiden başvuru sahibi, “gelecekte” gerçekleştireceği faaliyetleri olabildiğince geniş bir şekilde tanımlamaya ilgi duyabilirdi.
Artık her bir ek hizmet, yeni düzenleyici yükümlülükler, ek riskler ve bazı durumlarda daha yüksek asgari sermaye gerekliliği anlamına gelebilir.
Dahası, faaliyetlerin NBG ile mutabık kalınan hizmet planına uygun olması gerekir: bu planın sınırları dışında faaliyet göstermek, başlı başına bir yaptırım gerekçesi teşkil eder.
Dolayısıyla, VASP tasarımı, “kayıt nasıl alınır” şeklindeki hukuki bir görevden, tam anlamıyla bir düzenleyici mimari görevine dönüşüyor: şirketin tam olarak ne yapacağı, hangi müşterilerle çalışacağı, hangi sistemler üzerinden işlem yapacağı, varlıkların nerede saklanacağı, karşı tarafların kimler olacağı, hangi verilerin saklanacağı, varlıkların nasıl hareket edeceği ve temel risklerin nerede olduğu gibi konular.
Piyasa muhtemelen konsolidasyona girecek
Bu artık bir hukuk kuralı değil, yaşananlardan çıkarılan ekonomik bir sonuçtur.
Sabit sermayenin ve önemli miktarda sabit uyum maliyetinin devreye girmesi, VASP’lerin ekonomik açıdan haklı görülebilecek asgari ölçeğini neredeyse kaçınılmaz olarak artırmaktadır.
Ayda birkaç küçük işlem gerçekleştiren bir şirket için, gerekli tüm altyapıyı sürdürmek artık anlamsız hale gelebilir.
Bu nedenle, önümüzdeki yıllarda pasif, “yedek” ve kağıt üzerinde var olan VASP’lerin sayısında bir azalma beklenebilir.
Sahiplerin bir kısmı kayıt işleminden vazgeçebilir. Bir kısmı ise şirketlerini satabilir. Bir kısmı ise faaliyetlerini birleştirebilir veya işin düzenlemeye tabi kısmının daha büyük bir ortak aracılığıyla yürütüldüğü bir modele geçebilir.
Tersine, büyük ve aktif olarak faaliyet gösteren VASP’ler için düzenlemelerin sıkılaştırılması hatta avantajlı bile olabilir.
Giriş maliyeti ve uyum maliyetleri ne kadar yüksek olursa, yeni rakiplerin pazara hızlı bir şekilde girmesi o kadar zorlaşır.
Gürcistan’daki VASP’lerin değeri artıyor — ancak bunun nedeni tamamen farklı
Birkaç yıl önce, Gürcistan’daki VASP’lerin cazibesi büyük ölçüde nispeten basit kayıt süreci ve görece düşük kurulum maliyetine dayanıyordu.
Bu avantaj giderek ortadan kalkıyor.
Ancak bunun yerine potansiyel olarak başka bir avantaj ortaya çıkıyor.
NBG, işleyen bir ihtiyatlı denetim sistemi kurmayı başarırsa, Gürcistan’daki kayıt, karşı taraflarca sadece şirketin sicilde yer alması olarak değil, kuruluşun sermayesini koruduğunun, BT denetimlerinden geçtiğinin, bir risk yönetim sistemine sahip olduğunun ve merkez bankasının gerçek denetimi altında olduğunun bir kanıtı olarak algılanabilir.
Bu durum, bankaların, kurumsal karşı tarafların ve büyük kurumsal müşterilerin Gürcü VASP’lerine karşı tutumunu potansiyel olarak iyileştirebilir.
Elbette, Gürcü VASP kaydı, otomatik olarak bir banka hesabı açılmasını veya yurtdışında tanınmayı garanti etmez. Bankalar ve yabancı karşı taraflar kendi risk değerlendirmelerini yaparlar.
Ancak bir kripto merkezi olarak yargı bölgesinin kalitesi, sadece bu bölgede kayıt yaptırmanın ne kadar kolay olduğu ile belirlenmez. Ciddi işler için genellikle, finansal sistemin diğer katılımcılarının bu kayda ne kadar güvendiği daha önemlidir.
Bu, Gürcistan’ın “yeni MiCA” haline geldiği anlamına mı geliyor?
Hayır.
Gürcistan, Avrupa’daki MiCA’yı kopyalamıyor ve Gürcistan’daki VASP kaydı, Avrupa’daki kripto lisansına dönüşmüyor.
Ancak izlenen yol, gerçekten de küresel eğilime benziyor.
NBG’nin kendisi, yeni düzenin geliştirilmesi sırasında MiCA, VARA, ABD ve Birleşik Krallık’taki yasal girişimler ile Singapur’daki düzenlemelerin yanı sıra IMF ve IOSCO’nun yayınlarının da analiz edildiğini doğruluyor.
Bu nedenle, son derece basit bir VASP modeline geri dönüş beklemek muhtemelen mantıklı olmayacaktır.
Aksine, düzenlemelerin gelişmeye devam edeceğini beklemek mantıklıdır: yönetişim, müşteri varlıklarının korunması, raporlama, dış kaynak kullanımı, sahipler, operasyonel dayanıklılık ve belirli kripto hizmet türlerine ilişkin gereklilikler zamanla daha ayrıntılı hale gelebilir.
Ancak devlet aynı zamanda fintech’e de ağırlık veriyor
Bu bağlamda, finansal teknolojilerin geliştirilmesine yönelik Kurumlar Arası Konsey’in kurulmasına ilişkin Gürcistan Hükümeti’nin 409 sayılı kararı özellikle ilgi çekicidir.
Konseye Ekonomi Bakanlığı, Adalet Bakanlığı, Maliye Bakanlığı, NBG, Sigorta Denetleme Kurumu ve İletişim Komisyonu temsilcileri dahil edildi.
Konseye, devletin Fintech Geliştirme Stratejisi’ni ve ilgili eylem planını hazırlama görevi verildi. Konsey, piyasa katılımcılarını, uluslararası kuruluşları ve uzmanları sürece dahil edebilir, ayrıca uzman çalışma grupları oluşturabilir.
Bu önemli bir siyasi sinyaldir.
Eğer devletin amacı sadece kripto faaliyetlerini olabildiğince kısıtlamak olsaydı, fintech’in gelişimi için ayrı bir kurumlar arası yapının kurulması oldukça tuhaf görünürdü.
Yaşananları şu formülle tanımlamak daha doğru olur: daha az fintech değil, daha fazla fintech, ancak çok daha katı bir kurumsal çerçeve içinde.
Bundan sonra ne olacak?
Şu anda yapılan en büyük hata, Ağustos ayında yapılan değişiklikleri tek seferlik bir gereklilikler paketi olarak görmek ve bunların bir kez yerine getirilmesinin yeterli olduğunu düşünmektir.
Büyük olasılıkla, Gürcistan kripto sektörünün düzenlemesinin ikinci aşamasının sadece başlangıcını izliyoruz.
2023–2025 yılları arasındaki ilk aşama, VASP’leri neredeyse hiç düzenlenmeyen bir alandan çıkarmaktı: kayıt, AML/CFT, sahiplere, yöneticilere ve altyapıya yönelik gereklilikler.
İkinci aşama — 2026–2028 yılları — sermaye, risk yönetimi, siber güvenlik, tüketici koruması, düzenleyici raporlama, denetim ve düzenli tasfiyeyi kapsamaktadır.
Bir sonraki mantıklı aşama, yönetişim, müşteri varlıkları, dış kaynak kullanımı, raporlama ve belirli ürünlere yönelik gerekliliklerin daha da detaylandırılması olabilir.
Bu nedenle, “önce VASP lisansını alalım, uyumluluğu sonra hallederiz” stratejisi giderek işlevini yitirmektedir.
Başka bir yaklaşım ön plana çıkmaktadır: önce düzenlemeye tabi finansal iş modeli tasarlanır — ve VASP lisansı bu modele uygun olarak düzenlenir.
Sonuç
Gürcistan kripto piyasasını kapatmıyor. Daha önemli bir şey yapıyor: piyasaya giriş maliyetini artırıyor.
Küçük ve önemsiz projeler için bu kötü bir haber. VASP’yi işletmek daha pahalı hale geliyor, gereklilikler daha karmaşık, sorumluluklar ise daha ağır oluyor.
Büyük, sermayesi güçlü ve teknolojik olarak olgun şirketler için ise durum tam tersi olabilir. Zayıf katılımcıların piyasadan çekilmesi rekabeti azaltırken, denetimin güçlendirilmesi Gürcistan’ın VASP sektörünün uluslararası itibarını potansiyel olarak artırır.
Bu nedenle, yaşanan süreç “VASP kaydı almak” döneminden “VASP işi kurmak” dönemine geçiş olarak tanımlanabilir.
Ve bu, muhtemelen 2026 yılında Gürcistan kripto piyasasındaki en önemli değişikliktir.
Bu metin, 5 Eylül 2026 tarihi itibarıyla hazırlanmıştır.
Yasal çerçeve
Düzenlemenin temeli, Gürcistan Merkez Bankası Hakkında Gürcistan Organik Kanunu, özellikle de VASP’lerin denetimine ilişkin 52⁵. madde olmaya devam etmektedir. Temel kayıt kuralları, 13 Haziran 2023 tarihli NBG 94/04 sayılı kararname ile belirlenmiştir; Ağustos 2026 tarihli 207/04 sayılı kararname ise bu kurallara denetim sermayesi, risk yönetimi ve siber güvenlik gerekliliklerini eklemiştir.
Yaptırım prosedürü, 204/04 sayılı kararname ile değiştirilen 133/04 sayılı kararname ile düzenlenmektedir. Tüketici şikayetleri, 202/04 sayılı değişikliklerle güncellenen 32/04 sayılı genel tüketici koruma kuralları kapsamında düzenlenmektedir. Stablecoin rejimi, özellikle 52/04 ve 201/04 sayılı kararnamelere dayanmaktadır. 409 sayılı Hükümet Kararnamesi ile Fintech Geliştirme Konseyi kurulmuş, NBG’nin 209/04 sayılı kararnamesi ile ise VASP’lerin tasfiyesine ilişkin gelecekteki özel usul onaylanmıştır.
Gürcistan’daki VASP’lere yönelik yeni gereklilikler hakkında sık sorulan sorular
2026 yılında Gürcistan’daki VASP’ler için neler değişti?
Gürcistan Merkez Bankası, sanal varlık hizmet sağlayıcılarına yönelik düzenlemeleri önemli ölçüde sıkılaştırdı. Denetim sermayesi, risk yönetim sistemi, siber güvenlik, müşteri şikayetlerinin incelenmesi, raporlama, BT denetimi ve bilgi sistemlerinin düzenli olarak test edilmesine ilişkin gereklilikler getirildi. Ayrıca, NBG tarafından uygulanan para cezaları ve denetim önlemleri de genişletildi.
Gürcistan’da VASP’ler için artık ne kadar asgari sermaye gerekiyor?
Asgari denetim sermayesi, sunulan hizmetlere göre değişmektedir:
- 150.000 GEL — sanal varlıkların takası ve/veya transferi;
- 350.000 GEL — ticaret platformunun yönetimi;
- 250.000 GEL — diğer VASP hizmetleri.
Şirket birden fazla hizmet sunuyorsa, bu hizmetler için öngörülen asgari sermaye tutarları arasından en yüksek olanı uygulanır.
VASP kaydı için banka hesabına 150.000 GEL yatırmak yeterli mi?
Tam olarak değil. Mevzuat, hesapta belirli bir tutarın bulunmasını değil, denetim sermayesinin (supervisory capital) korunmasını gerektirir.
Yeni bir başvuru yapıldığında banka hesap özeti, gerekli sermayenin yatırıldığını kanıtlayan belgelerden biri olarak kullanılır; ancak tescil işleminden sonra şirket, sermayenin tutarı ve yapısı ile ilgili gerekliliklere sürekli olarak uymak zorundadır.
Halihazırda faaliyet gösteren VASP’lerin şimdiden 150.000–350.000 GEL sermayeye sahip olması gerekiyor mu?
Yeni gerekliliklerin yürürlüğe girmesinden önce kayıt yaptırmış olan VASP’ler için bir geçiş dönemi belirlenmiştir.
Denetim sermayesi gerekliliklerini 1 Eylül 2027 tarihine kadar yerine getirmeleri gerekmektedir.
Bununla birlikte, hazırlıkları son ana kadar ertelemek doğru değildir: şirketlerin sermaye yapısını önceden belirlemesi ve bunun NBG’nin gerekliliklerine uygun olduğundan emin olması gerekir.
2027 yılına kadar olan erteleme süresi yeni şirketler için de geçerli mi?
Hayır. Geçiş dönemi, halihazırda kayıtlı olan VASP’ler için öngörülmüştür.
Bir tüzel kişilik Gürcistan’da kayıtlı olsa da henüz VASP kaydı almamışsa, şirketin kayıt tarihi tek başına ona faal bir VASP statüsü kazandırmaz.
Yeni başvuru sahipleri için sermaye gereklilikleri, fiilen kayıt sürecinin bir parçası haline gelmektedir.
Yeni kuralların yürürlüğe girmesinden önce sunulan VASP başvuruları ne olacak?
İlgili değişikliklerin yürürlüğe girmesinden önce başlatılan idari işlemler için bir geçiş istisnası öngörülmüştür.
Bu tür durumlar, başvuru tarihi, inceleme aşaması ve beyan edilen hizmetlerin somut içeriği temel alınarak ayrı ayrı değerlendirilmelidir.
Risk yönetimine ilişkin hangi yeni gereklilikler ortaya çıktı?
VASP, özellikle aşağıdakileri kapsayan tam kapsamlı bir risk yönetim sistemine sahip olmalıdır:
- operasyonel riskler;
- siber güvenlik;
- BT altyapısı;
- dolandırıcılık riski;
- dış kaynak kullanımı;
- iş sürekliliği;
- veri kalitesi ve güvenliği;
- belirli VASP hizmetlerine özgü riskler.
Düzenleyici kurum, sadece iç belgelerin mevcut olmasını değil, bunların fiilen uygulanmasını da beklemektedir.
VASP’lerin sızma testi (penetration testing) yapması zorunlu mu?
Evet. Kritik bilgi sistemleri için sızma testi en az yılda bir kez yapılmalıdır.
Diğer sistemler için ise risk düzeyine bağlı olarak, ancak en az üç yılda bir yapılmalıdır.
Ayrıca, düzenli güvenlik açığı taraması (vulnerability scanning) da öngörülmüştür — en az yılda iki kez.
VASP’ler için bağımsız bir BT denetimi gerekli mi?
Yeni gereklilikler, risk yönetimi ve siber güvenlik çerçevesinin belirli unsurlarının uygunluğunun bağımsız olarak denetlenmesini öngörmektedir.
Bu nedenle, VASP’lerin tam anlamıyla işleyebilmesi için artık sadece hukuki ve kara para aklamayla mücadele (AML) giderlerini değil, aynı zamanda dış denetim, sızma testi ve siber güvenlik değerlendirmesi giderlerini de hesaba katmak gerekmektedir.
Müşteri şikayetlerinin ele alınmasında neler değişti?
1 Ocak 2027 tarihinden itibaren VASP'ler, müşteri şikayetlerini kabul etmek, kaydetmek ve incelemekle yükümlüdür.
Yazılı veya elektronik şikayetler belirlenen süre içinde incelenmeli ve şikayetlere ilişkin bilgiler sistematik bir şekilde düzenlenerek öngörülen raporlama kapsamında Merkez Bankası'na iletilmelidir.
VASP'ler için hangi cezalar öngörülmüştür?
İhlalin niteliğine bağlı olarak para cezaları 1.000 ile 50.000 GEL arasında değişebilir.
Ancak para cezası, olası tek risk değildir. NBG ayrıca zorunlu talimatlar verebilir, işlemleri kısıtlayabilir, kâr dağıtımına sınırlamalar getirebilir, yöneticilere yönelik tedbirler uygulayabilir ve ciddi durumlarda VASP’nin kaydını iptal edebilir.
VASP’nin yöneticisi veya idarecisi şahsen para cezasına çarptırılabilir mi?
Evet. Yeni sistem, belirli ihlaller ve görevlerin usulüne uygun şekilde yerine getirilmemesi durumunda VASP idarecilerinin şahsi sorumluluğunu öngörmektedir.
Bu nedenle, düzenleyici risk artık sadece şirketin kendisi için değil, aynı zamanda yöneticileri için de geçerlidir.
Stablecoin ihraççıları için hangi yeni gereklilikler getirildi?
Stable sanal varlıklar ihraç eden VASP’ler için NBG’ye düzenli raporlama yükümlülüğü getirilmiştir.
Düzenleyici kurum, ihraç edilen ve itfa edilen tokenlerin sayısı, rezervlerin hacmi ve bileşimi, sabitleme para birimi ve yükümlülüklerin karşılama oranı hakkında bilgi almaktadır.
Stablecoinler ayrıca, rezerv varlıkları ve bunların teminatlandırılmasına ilişkin ayrı gerekliliklere tabidir.
Gürcistan, kripto şirketleri için pazarı kapatıyor mu?
Hayır. Daha çok pazar modeli değişiyor.
Gürcistan, fintech ve kripto sektörünü geliştirmeye devam ediyor; ancak nispeten basit bir VASP kayıt modelinden tam kapsamlı bir finansal denetime kademeli olarak geçiyor.
Ciddi şirketler için bu durum, yargı bölgesinin kalitesini ve itibarını artırabilir; ancak küçük ve sembolik VASP’lerin gerekliliklere ekonomik olarak uyması önemli ölçüde zorlaşacaktır.
Gürcistan’da VASP lisansı almak daha zor hale gelecek mi?
Evet.
Artık başvuru sahibi, sadece şirket tescili, AML prosedürleri ve altyapıyı değil, aynı zamanda denetim sermayesi, risk yönetimi, siber güvenlik, iç süreçler ve uyumla ilgili müteakip masrafları da dikkate almak zorundadır.
Bu nedenle, VASP projesinin NBG’ye başvuru yapılmadan önce yapılandırılması tavsiye edilir.
Halihazırda faaliyet gösteren VASP’ler şu anda ne yapmalı?
Öncelikle bir düzenleyici boşluk analizi (regulatory gap analysis) yapılmalıdır:
- sermayenin yeterliliğini ve yapısını kontrol etmek;
- mevcut risk yönetimi çerçevesini analiz etmek;
- siber güvenlik politikalarını ve fiili BT süreçlerini kontrol etmek;
- sızma testi ve güvenlik açığı taramasına hazırlanmak;
- şikayet yönetimi sürecini oluşturmak;
- dış kaynak kullanımını kontrol etmek;
- fiili faaliyetlerin onaylanmış hizmet planına uygun olup olmadığını belirlemek;
- 2027 yılı son tarihlerine kadar şirketi uyum haline getirmek için bir plan hazırlamak.
Gürcistan’da bir VASP kurmayı planlayan bir yatırımcı veya girişimci nelere dikkat etmelidir?
Şimdi öncelikle somut bir iş modeli ve düzenlemeye tabi hizmetler yelpazesini belirlemek gerekir.
Asgari sermaye, teknik altyapı, şirket yapısı ve uyum maliyetleri buna bağlı olacaktır.
“Her ihtimale karşı mümkün olduğunca geniş kapsamlı bir VASP kaydı yaptırmak” yaklaşımı artık çok daha az etkili hale gelmiştir: her ek hizmet, düzenleyici yükü artırabilir.