3 Ağustos 2026 tarihinde Mısır Merkez Bankası (CBE), banka hesaplarının açılması ve müşterilerin uzaktan doğrulanması (eKYC) için kural kitabı niteliğindeki Dijital Finansal Kimlik Platformu Hizmetlerini Düzenleyen Yönetmelik'i yayımladı. SMS doğrulaması için temel madde kısadır: Müşterilerini kendi uygulaması üzerinden doğrulayan bir banka, tek kullanımlık şifre (OTP) içeren bir kısa mesaj göndererek, mobil numaranın müşteriye ait olduğunu ve müşterinin zilyetliğinde olduğunu teyit etmelidir. Hâlâ yürürlükte olan eski CBE cüzdan kuralları ise yüksek riskli işlemler için SMS'in ikinci faktörü iletim yapmaması gerektiğini belirtmektedir. Bu kılavuz, her bir kuralın ne söylediğini ve BroadNet'in Mısır'daki bankaların, cüzdanların ve fintech'lerin OTP'yi bu kurallara göre nasıl tasarlamalarını önerdiğini açıklamaktadır.
Bu kılavuz, 10 Ekim 2026 itibarıyla kamuya açık düzenleyici metinleri özetlemektedir. Bu metin genel bilgilendirme amaçlıdır, hukuki tavsiye niteliği taşımaz; bu bilgilere güvenmeden önce yükümlülüklerinizi Mısır Merkez Bankası, NTRA, PDPC veya hukuk danışmanınız ile teyit edin.
Önemli çıkarımlar
- CBE Kurulu, Dijital Finansal Kimlik (DFI) düzenlemelerini 17 Haziran 2026 tarihinde onayladı; 23 Ağustos 2026 tarihli bir genelge ile bu kurallar bankalara iletildi. Kurallar Mısır'daki tüm bankalar, platforma katılabilen lisanslı kuruluşlar ve CBE tarafından yetkilendirilmiş bankacılık temsilcileri için geçerlidir.
- Müşterilerini kendi uygulaması üzerinden doğrulayan bir banka, mobil numaranın zilyetliğini "Tek Kullanımlık Şifre (OTP) içeren bir kısa mesaj göndererek" kontrol etmek zorundadır, ardından cihaza bir DFI sertifikası tanımlamalıdır.
- Platform dört mekanizma ile kimlik doğrulaması yapar: cihaza tanımlı DFI sertifikası, OTP, altı haneli Global PIN ve biyometri.
- Finansal olmayan işlemler için el yazısı imzanın yerine geçebilir; finansal işlemlerin doğrulanması için ayrı bir CBE onayı gereklidir.
- CBE'nin mobil ödeme kuralları (Nisan 2021), yüksek riskli cüzdan işlemleri için iki faktör gerektirmekte ve bu işlemler için OTP'lerin SMS veya e-posta yoluyla otomatik ve doğrudan gönderilmemesi gerektiğini belirtmektedir. SMS, uyarılar için belirlenmiş kanal olmaya devam etmektedir.
- PDPC uyarınca, CBE ve denetlediği kuruluşlar tarafından tutulan veriler, para transfer şirketleri ve döviz büroları hariç, veri koruma kanununun dışındadır.
Mısır Merkez Bankası Ağustos 2026'da ne yayınladı?
CBE'nin 23 Ağustos 2026 tarihli açıklaması, Yönetim Kurulu'nun "banka müşterilerini tanımlamak ve kimliklerini elektronik olarak doğrulamak (eKYC) için Dijital Finansal Kimlik (DFI) Platformu hizmetlerini düzenleyen yönetmeliği" onayladığını belirtmektedir; ilgili genelge, Yönetim Kurulu onayını 17 Haziran 2026 tarihinde kaydetmiştir. Vali Hassan Abdalla, platformun vatandaşların bir şubeyi ziyaret etmeden dijital kanallar aracılığıyla hesap açmalarına ve bankacılık ürünleri edinmelerine olanak tanıdığını, şartların elektronik olarak kabul edilmesi ve el yazısı imzaya "alternatif olarak" elektronik kimlik doğrulama ile bu işlemlerin gerçekleştirilebileceğini söylemiştir.
Kurallar eKYC (tanımlama, doğrulama ve kimlik güncellemeleri), işlemlerin elektronik kimlik doğrulaması, ödeme ve transfer emirleri ile şartların kabulü ve bir müşterinin DFI bilgisinin katılımcılar arasında paylaşılmasını kapsamaktadır. Platform, Mısır içinde, Nüfus Müdürlüğü gibi güvenilir kaynaklar aracılığıyla ulusal kimlik verilerini okuyan, ayrıca NFC çip okuma ve canlılık tespiti (liveness detection) yapan Dijital Finansal Kimlik Şirketi "Haweya" tarafından işletilmektedir. Ağustos ayındaki genelge, kara para aklamayı önleme biriminin (EMLCU) elektronik kimlik belirleme prosedürlerini yayınlayacağını belirtmiştir; 28 Eylül 2026 tarihli bir CBE genelgesi, EMLCU'nun o ay içinde ilk edisyonu onayladığını söylemektedir. Bu metinlerin hiçbiri ayrı bir uyum süresi belirlememektedir.
SMS OTP, DFI düzenlemelerinde nerede yer alıyor?
| (DFI düzenlemeleri) maddesi | Ne ifade ettiği | OTP için ne anlama geldiği |
|---|---|---|
| 4, İkinci, 2.1 | Kendi uygulamalarını kullanan bir banka, mobil numaranın müşteriye ait olduğunu ve müşterinin elinde bulunduğunu, içinde OTP bulunan bir SMS aracılığıyla doğrulamalıdır | SMS OTP, katılım sürecindeki sahiplik kontrolüdür — ilk seferde kayıtlı numaraya ulaşmak zorundadır |
| 4, İkinci, 2.2 | Ardından DFI sertifikasını düzenleyin ve bunu müşterinin cihazına ve uygulamalarına bağlayın | Rutin girişler bağlı cihaza dayanır; SMS, kurtarma ve yeniden bağlama kanalı haline gelir |
| 5, madde 7.2 | Haweya dört mekanizma sunar: aynı uygulama ve cihaz üzerinde DFI sertifikası, OTP, Global PIN ve biyometri | OTP modelin tamamı değil, dört faktörden biridir |
| 4, Birinci, 7 | Müşteriye DFI oluşturma işleminin tamamlandığını birden fazla yöntemle bildirin | Bir SMS onayını uygulama içi veya e-posta bildirimi ile eşleştirin |
| 4, Beşinci, 1 | Kısa bir süre içinde tekrarlanan başarısız girişleri ve hatalı kimlik doğrulama girişimlerini izleyin; müşteriyle derhal iletişime geçin | Her OTP girişimini günlüğe kaydedin ve hata patlamalarında uyarı verin |
Çevre kontrolleri de oldukça katıdır: uygulamada root ve jailbreak tespiti ile sertifika sabitleme (certificate pinning), CBE'ye altı saat içinde olay bildirimi, planlanan kesintiler için 48 saat önceden bildirim ve — lansmandan önce — sızma testleri, bir SOC 2 Tip 1 raporu (altı ay içinde Tip 2) ve bir gizlilik etki değerlendirmesi.
Mısır'daki ödemeler için SMS OTP yeterli mi?
Her işlem için değil. CBE'nin Mobil Ödeme Hizmetleri Yönetmeliği (üçüncü baskı, Nisan 2021), yüksek riskli faaliyetler arasında aynı anda birkaç alıcıya yapılan ödeme emirlerini, transfer limitinden muaf emirleri ve iletişim bilgilerindeki değişiklikleri tanımlar. Bunlar için bankalar iki yöntemi birlikte kullanmalı ve SMS veya e-posta yoluyla "otomatik ve doğrudan" tek kullanımlık şifre vermemelidir; token cihazlarından veya uygulamalardan gelen OTP'ler en az altı karakterli olmalı ve 90 saniyeden fazla geçerli olmamalıdır. Diğer işlemler, askıya alınmadan önce en fazla beş hatalı deneme ile en az altı haneli bir PIN ile yeniden doğrulanır. SMS'in hala tanımlanmış bir görevi vardır: bankalar, kullanıcılar reddetmedikçe, cüzdan kullanıcılarını SMS veya e-posta yoluyla işlemlere ve yüksek riskli faaliyetlere karşı uyarmalıdır ve bir ödeme emri SMS ile oluşturulamaz, ancak SMS bir emri onaylayabilir.
Ekim 2021 tarihli Anlık Ödeme Ağı (IPN) kuralları, her IPN ödemesi için iki faktör gerektirmektedir: telefonun kesin olarak bağlanması (cihaz parmak izi ve numara) ve ağın güvenli kütüphanesi içinde işlenen altı haneli bir IPN PIN kodu ile OTP'ler. Bankalar, müşterileri işlemleri "metin mesajları veya onaylanmış diğer yöntemler aracılığıyla" bilgilendirmelidir. CBE'nin Mart 2023 kart tokenizasyonu kuralları, kart sahibini doğrulamak için bir yöntem olarak bankaya kayıtlı telefona SMS OTP sağlar.
| Yolculuktaki an | CBE metinlerinde SMS'in rolü | Kaynak |
|---|---|---|
| bankanın kendi uygulamasında eKYC katılım süreci | Gerekli: SMS OTP numaranın sahipliğini kanıtlar | DFI düzenlemeleri 2026, 4-Second-2.1 |
| Mevcut bir müşteri için cüzdan açılması | Banka, numaranın mülkiyetini veya kullanımını doğrulamalıdır | Mobil ödeme kuralları 2021, 3-3-20 |
| Bir karta cihaz cüzdanına ekleme | Kayıtlı telefona SMS OTP örnek bir yöntemdir | Tokenizasyon kuralları 2023, 3-2-5 |
| Yüksek riskli cüzdan işlemi | İki faktör; OTP SMS veya e-posta yoluyla otomatik ve doğrudan gönderilmez | Mobil ödeme kuralları 2021, 3-4-5-1 |
| IPN ödemesi | Cihaz eşleştirme + IPN PIN | IPN kuralları 2021, 4-7'den 4-9'a |
| İşlem uyarıları | kanal olarak adlandırılan SMS | Mobil ödeme kuralları 3-6-8; IPN kuralları 3-1-9 |
SMS numarayı kanıtlar, cihazı bağlar ve müşteriyi bilgilendirir; en güçlü işlemler cihazın yanı sıra bir PIN veya biyometrik veriye dayanır. BAE, Hindistan ve Filipinler'i SMS OTP yasak mı? içeriğinde karşılaştırıyoruz.
Mısır'a gönderilen OTP mesajları için NTRA kuralları ne anlama geliyor?
Ulusal Telekom Düzenleme Kurumu (NTRA), "Toplu SMS (Bire bir)" —OTP'lerin dahil olduğu kategori— tanımını yapan mobil katma değerli hizmetler çerçevesi kapsamında toplu SMS lisanslamaktadır. Lisans sahipleri, her mesajda gönderen kuruluşun adını, bir NTRA set kodundan önce göstererek belirtmeli; sözleşme öncesinde her müşterinin adı ve gönderici adını NTRA'ya bildirmeli; gönderenin Mısır'da olduğundan emin olmalı ve NTRA'nın önceden yazılı onayı olmadan uluslararası mesajları Mısır'a yönlendirmemelidir. Dolayısıyla bir bankanın OTP'si, lisanslı yerel bir kanal üzerinden gönderilen ve bankanın adını taşıyan kayıtlı bir gönderici adına ihtiyaç duyar.
BroadNet'in Mısır kapsama alanı sayfası; Vodafone Mısır, Orange Egypt, e& Egypt ve WE ile doğrudan bağlantılı lisanslı sonlandırmayı ve 7–14 iş günü içinde gönderici adı kaydını listeler; belgeler Mısır A2P SMS kılavuzumuzda ve Mısır'da gönderici adı kaydı kısmında yer almaktadır. Operatör tarafında, e& Egypt, gri rotalara karşı BroadNet'in A2P güvenlik duvarını çalıştırır. NTRA cüzdan kuralları, her numaranın yalnızca bir cüzdan açabileceğini ve müşterinin PIN'i olmadan hiçbir işlemin tamamlanamayacağını ekler; bu nedenle telefon numarası cüzdan kimliğidir — SIM değişimlerini ve geri dönüştürülmüş numaraları kontrol edin (Numara Doğrulama ve SIM Değişim API'leri).
Mısır'ın veri koruma yasası OTP trafiğine nasıl yaklaşmaktadır?
2020 tarihli 151 sayılı Kanun'un artık yürütme yönetmelikleri bulunmaktadır ve Kişisel Verileri Koruma Merkezi (PDPC) bunları 2025 tarihli 816 sayılı Yürütme Yönetmeliği olarak belirtmektedir. PDPC, istisnalar arasında "Mısır Merkez Bankası ve onun denetimi ile kontrolü altındaki kuruluşlar tarafından tutulan kişisel veriler (para transfer şirketleri ve döviz büroları hariç)" ifadesini listeler; bu nedenle bankalar DFI kontrolleri gibi CBE veri kurallarına uyar; bir fintech şirketinin bu istisnanın dahilinde olup olmadığı hukuk danışmanlarının sorusudur. Kanunun uygulandığı durumlarda, sözleşmesel gereklilik —kullanıcının talep ettiği bir kod için uygunluk— yasal bir dayanaktır; pazarlama faaliyetleri ise açık rıza, ücretsiz bir ayrılma (opt-out) seçeneği ve muhtemelen bir e-pazarlama lisansı gerektirir. İhlaller 72 saat içinde PDPC'ye bildirilir ve yurt dışına veri transferi için PDPC lisansı veya izni gerekir, bu nedenle tedarikçilere mesaj günlüklerinin nerede tutulduğunu sorun (veri yerelliği).
Mısırlı bankalar ve cüzdanlar OTP tasarımını nasıl yapmalıdır?
Bu kurallara uyum sağlamak için BroadNet önerileri:
- Kayıt aşamasındaki sahiplik kontrolü için SMS OTP kullanın ve ardından cihazı eşleştirin; kurtarma ve yeniden eşleştirme işlemleri için SMS'i saklayın.
- Yüksek riskli cüzdan işlemleri için uygulama içi bir kod veya token kodu ile birlikte ikinci bir faktör kullanın, ardından bir SMS uyarısı gönderin.
- Pazarlama mesajlarından ayrı, lisanslı yerel rotalar üzerinde markanız adına özel bir OTP gönderici adı kaydedin.
- Kodu en başa koyun. Arapça UCS-2 kullanır, bu nedenle bir SMS 160 değil, 70 karakter alır (kodlama kılavuzu); otomatik doldurma satırını ekleyin.
- Kısa geçerlilik süresi, sınırlandırılmış deneme sayısı ve gönderimlerin, iletim raporlarının ve doğrulamaların tam günlüklerini kullanın — DFI kuralları, başarısız kimlik doğrulamaların izlenmesini gerektirir.
- Belirlenen süre içinde iletim raporu gelmezse, başka bir rota üzerinden bir kez daha deneyin, ardından sesli OTP seçeneği sunun; asla durmaksızın tekrar göndermeyin.
- Yakın zamanda değiştirilmiş bir numaraya gönderim yapmadan önce SIM değişimlerini kontrol edin (SIM değişim dolandırıcılığı).
- OTP metriklerini dolandırıcılık ve olay süreçlerine dahil edin (banka OTP izleme kılavuzu).
BroadNet'in OTP API hizmeti bu deseni kapsar: iletim raporu dönmediğinde otomatik sesli geri dönüş (voice fallback) içeren SMS, varış noktasına özel gönderici adı yönetimi ve her denemede iletim raporu. Mısır liste fiyatları e& Egypt (Etisalat Misr) üzerinden SMS başına $0,028'den başlar; Vodafone Mısır'da $0,030, Orange Egypt'te $0,032 ve WE'de $0,035'tir (Mısır'daki SMS fiyatlandırması); tedarikçi soruları için Mısır'daki en iyi SMS sağlayıcısına bakın.
BroadNet, 2003 yılından beri 1.000'den fazla doğrudan operatör bağlantısı, %99,99 SLA ve SOC 2 Type II ile operatör sınıfı mesajlaşma hizmeti sunmaktadır. Test erişimi talep edin, bir mühendis bir iş günü içinde yanıt verecektir; entegrasyon genellikle 2–5 iş günü sürer ve bu süreçte gönderici adı onayı da eş zamanlı olarak yürütülür.
Sıkça sorulan sorular
CBE Dijital Finansal Kimlik platformu nedir?
Mısır'da Digital Financial Identity Company, Haweya tarafından işletilen, bir müşterinin dijital finansal kimliğini oluşturmak ve müşterileri elektronik olarak doğrulamak (eKYC) için kullanılan CBE onaylı platformdur. Kuralları, 23 Ağustos 2026 tarihli bir CBE genelgesi ile yayımlanmıştır.
CBE eKYC kuralları SMS OTP gerektiriyor mu?
Evet, bir durumda: kendi uygulamalarında kimlik doğrulayan bir banka, bir DFI sertifikasını cihaza bağlamadan önce, bir SMS OTP ile mobil numaranın sahipliğini onaylamalıdır. OTP de platformun dört kimlik doğrulama mekanizmasından biridir.
DFI düzenlemelerine kimler uymalıdır?
Mısır'da faaliyet gösteren tüm bankalar, platforma katılmaya hak kazanan lisanslı kuruluşlar ve CBE tarafından yetkilendirilmiş bankacılık temsilcileri. Bu kurallar, CBE'nin elektronik bankacılık, AML/CFT ve operasyonel risk kurallarının üzerinde asgari düzeydeki kurallardır.
DFI platformu ödemeleri doğrulayabilir mi?
Bankalar, el yazısı imza yerine finansal olmayan işlemler için bunu kullanabilirler. Finansal işlemlerin doğrulanması, ek bir CBE onayı ve CBE'nin elektronik kimlik doğrulama kontrollerine uyum gerektirir.
Mısır'daki mobil cüzdanlar transferler için SMS OTP kullanabilir mi?
Aynı anda birden fazla alıcıya ödeme yapmak gibi yüksek riskli işlemler için kullanılamaz: 2021 mobil ödeme kuralları iki faktör gerektirir ve bu OTP'lerin SMS veya e-posta yoluyla otomatik ve doğrudan gönderilmesini yasaklar. Diğer işlemler bir PIN kullanır ve SMS uyarıları iletir.
Mısır'ın PDPL düzenlemesi bankaların OTP verileri için geçerli midir?
PDPC uyarınca, para transfer şirketleri ve döviz büroları hariç olmak üzere, CBE ve denetlediği kuruluşlar tarafından tutulan veriler PDPL kapsamı dışındadır. Bu iki tür ve CBE denetimi dışındaki işletmeler kanun kapsamındadır.
Mısır'a gönderilen OTP mesajları için kayıtlı bir gönderici adı gerekiyor mu?
Evet. NTRA çerçevesi, her mesajda gönderici adının yer almasını ve bir müşteriyle sözleşme yapılmadan önce gönderici adının NTRA'ya bildirilmesini gerektirir.
Uluslararası rotalar Mısır'a OTP iletebilir mi?
Onay alınmadan iletilemez: NTRA lisans sahipleri, NTRA'nın önceden yazılı onayını almadan Mısır'a uluslararası mesaj getiremezler. Lisanslı yerel kanallar üzerinden sonlandırma yapan bir sağlayıcı kullanın.
Aşağıdaki tüm metinler 10 Ekim 2026 tarihinde düzenleyici kurumun kendi web sitesinden okunmuştur; sadece Arapça olan metinler Arapça olarak okunmuştur. Editör standartlarımıza ve Mısır SMS düzenlemelerine göz atın.
Kaynaklar
- CBE — eKYC düzenlemeleri haber bülteni, 23 Ağustos 2026: cbe.org.eg.
- CBE — Dijital Finansal Kimlik sayfası, 23 Ağustos 2026 tarihinde güncellendi: cbe.org.eg.
- CBE — DFI düzenlemeleri, İngilizce metin: cbe.org.eg.
- CBE — DFI kuralları hakkında 23 Ağustos 2026 tarihli genelge (Arapça): cbe.org.eg.
- CBE — Banka müşterilerinin KYC hakkında 28 Eylül 2026 tarihli genelge (Arapça), genelge listesi: cbe.org.eg.
- CBE — Mobil ödeme hizmetleri kuralları, 3. baskı, Nisan 2021 (Arapça): cbe.org.eg.
- CBE — Anlık Ödeme Ağı kuralları, Ekim 2021: cbe.org.eg.
- CBE — Kart tokenizasyonu genelgesi, 8 Mart 2023 (Arapça): cbe.org.eg.
- NTRA — Mobil katma değerli hizmetler çerçevesi (tra.gov.eg, PDF) ve Mobil Cüzdan düzenleyici kuralları (tra.gov.eg), erişim tarihi 10 Ekim 2026.
- PDPC — 2020 tarihli ve 151 sayılı Kanun ile 2025 tarihli ve 816 sayılı Uygulama Yönetmeliği hakkında SSS, 10 Ekim 2026 tarihinde erişilmiştir: portal.pdpc.gov.eg.