9. MaRisk-Novelle: Änderungen und Umsetzung

Die 9. MaRisk-Novelle ist die am 30.06.2026 von der BaFin als Rundschreiben 06/2026 (BA) veröffentlichte Neufassung der Mindestanforderungen an das Risikomanagement, prinzipienorientierter und mit mehr Proportionalität (BaFin-Meldung vom 30.06.2026). Sie ist mit Veröffentlichung in Kraft getreten; eine Übergangsfrist bis zum 01.01.2027 gilt nur, soweit sich im Einzelfall zusätzliche Anforderungen ergeben (Übersendungsschreiben vom 30.06.2026, GZ BA 54-FR 2210/00067#00005). Hervorgegangen ist die Novelle aus der Konsultation 02/2026 (Entwurf vom 01.04.2026, BaFin-Meldung vom 01.04.2026). Dieser Beitrag behandelt das Änderungs-Delta im Detail; Rahmen, Aufbau (AT/BT) und Novellen-Historie der MaRisk insgesamt behandelt die Gesamtreferenz MaRisk: aktuelle Fassung RS 06/2026, Aufbau AT/BT und Novellen.

Was ändert die 9. MaRisk-Novelle?

Die 9. MaRisk-Novelle (Rundschreiben 06/2026 (BA), 82 Seiten) verschlankt die MaRisk an den Schnittstellen zu DORA, baut den Besonderen Teil um, führt mit AT 3.2 ein eigenes Modul zur Verantwortung des Aufsichtsorgans ein und staffelt die Anforderungen nach Größenklassen. Das Anforderungsniveau bleibt dabei laut BaFin unverändert. Das Übersendungsschreiben zum Rundschreiben 06/2026 (BA) vom 30.06.2026 formuliert wörtlich:

Die Delta-Tabelle zeigt die wesentlichen Änderungen der 9. MaRisk-Novelle gegenüber der 8. Novelle (Rundschreiben 06/2024) mit Fundstelle:

Wann ist die 9. MaRisk-Novelle in Kraft getreten und bis wann muss sie umgesetzt sein?

Die 9. MaRisk-Novelle ist am 30.06.2026 mit Veröffentlichung des Rundschreibens 06/2026 (BA) in Kraft getreten; eine Übergangsfrist bis zum 01.01.2027 gewährt die BaFin nur, soweit sich im Einzelfall zusätzliche Anforderungen ergeben (Übersendungsschreiben vom 30.06.2026, GZ BA 54-FR 2210/00067#00005). Das Übersendungsschreiben formuliert wörtlich:

Die Frist gilt also nicht pauschal; sie erfasst daneben nur Anpassungen bei dokumentiert abweichender Auslegung der überführten Aufsichtsmitteilung vom 26.11.2024. Den Gesamtkalender aller Umsetzungsfristen führt der Regulatorik-Fahrplan.

Was stand in der Konsultation 02/2026 und was wurde final anders?

Die BaFin hat den Entwurf der 9. MaRisk-Novelle am 01.04.2026 als Konsultation 02/2026 veröffentlicht (Stellungnahmen bis 08.05.2026); die Endfassung vom 30.06.2026 übernimmt die Grundlinien des Entwurfs, weicht aber belegbar ab. Neu ist AT 4.2 Tz. 5: Kleine Institute dürfen Strategie und Kapitalplanung nur jährlich überwachen, „wenn sie zusätzlich zu der aufsichtlich vorgeschriebenen und empfohlenen Kapitalausstattung einen weiteren Puffer von mindestens zwei Prozentpunkten an hartem Kernkapital vorhalten“ (RS 06/2026).

Für die Revisionsberichterstattung ist die jeweils veröffentlichte Endfassung des Rundschreibens zu verwenden. AT 4.4.3 Tz. 9 regelt die vierteljährliche Berichterstattung. Die amtlichen Vergleichsdokumente helfen, Änderungen gegenüber der bisherigen Fassung zuzuordnen. BaFin: Rundschreiben 06/2026 (BA), MaRisk Deutsche Bundesbank: MaRisk und Vergleichsfassungen

Die MaRisk-Neufassung bezieht sich auf die im Rundschreiben genannten europäischen Vorgaben. Bei späteren Änderungen ist zu prüfen, welche Folgen sie für die eigenen Verfahren haben. Das Datum einer Konsultation ersetzt dabei kein Anwendungsdatum einer endgültigen Regel. BaFin: Rundschreiben 06/2026 (BA), MaRisk

Welche Erleichterungen gelten für kleine und sehr kleine Institute?

Die 9. MaRisk-Novelle definiert die Größenklassen in AT 1 Tz. 3 (RS 06/2026): Kleine Institute sind als SNCI (Art. 4 Abs. 1 Nr. 145 CRR) eingestufte Institute sowie CRD-Drittstaatenzweigstellen der Risikoklasse 2; sehr kleine Institute haben eine Bilanzsumme von höchstens 1 Mrd. € im Vierjahresdurchschnitt und können die Erleichterungen auch ohne SNCI-Einstufung nutzen. SIs im Sinne von Art. 6 SSM-VO fallen aus dem Anwenderkreis (AT 2.1 Tz. 1); alle übrigen LSIs bleiben Regeladressaten.

Konkrete Erleichterungen (jeweils RS 06/2026): Bei sehr kleinen Instituten kann ein Geschäftsleiter die Funktion des Compliance-Beauftragten (AT 4.4.2 Tz. 4) und Aufgaben der Internen Revision (AT 4.4.3 Tz. 1) wahrnehmen, jeweils mit Vorkehrungen gegen Interessenkonflikte; die vollständige Auslagerung beider Funktionen ist möglich (AT 9 Tz. 5). Auch die Aufgaben des Revisionsbeauftragten eines sehr kleinen Instituts kann ein Geschäftsleiter übernehmen, wenn eine Benennung unterhalb der Geschäftsleitung unverhältnismäßig wäre (AT 9 Tz. 10). Sehr kleine Institute dürfen auf risikoartenspezifische Stresstests verzichten (AT 4.3.3 Tz. 2); kleinen Instituten genügt in der Regel ein gesamtbankweites Abschwung-Szenario, inverse Stresstests sind verzichtbar (AT 4.3.3 Tz. 3–4). Kleine Institute müssen die Risikoanalyse ihrer Auslagerungen nur alle drei Jahre überprüfen (AT 9 Tz. 2). Die jährliche Strategie-Überwachung setzt den Kapitalpuffer nach AT 4.2 Tz. 5 voraus.

LSI-Checkliste: Änderungen, die bis zum 01.01.2027 zu prüfen sind

Die Checkliste bündelt die Prüfpunkte der 9. MaRisk-Novelle für ein LSI; die Übergangsfrist 01.01.2027 greift nur, soweit sich im Einzelfall zusätzliche Anforderungen ergeben. Alles andere gilt seit dem 30.06.2026 (Übersendungsschreiben):

1. 01Anwenderkreis

   Einstufung als SNCI, sehr kleines Institut (Bilanzsumme ≤ 1 Mrd. € im Vierjahresdurchschnitt) oder übriges LSI dokumentieren (AT 1 Tz. 3; AT 2.1 Tz. 1).

2. 02AT-9/DORA-Schnitt

   IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA, die dem Drittparteienrisikomanagement nach Art. 28–30 DORA unterliegen, dem DORA-Informationsregister zuordnen. Nur für diese Leistungen greift die AT-9-Ausnahme. Eine zusätzliche Einordnung als Auslagerung nach § 25b KWG und die daraus folgenden Registerpflichten gesondert prüfen.

3. 03Zentrales Auslagerungsmanagement

   Rolle statt Auslagerungsbeauftragtem aufsetzen; Auslagerungsregister nach § 25b Abs. 1 Satz 4 KWG führen (AT 9 Tz. 12 b).

4. 04Revisions-Setup

   Wegfall von BT 2 nachvollziehen; vierteljährliche Berichte statt jährlichem Gesamtbericht (AT 4.4.3 Tz. 9).

5. 05Aufsichtsorgan-Reporting

   Verfahren nach AT 3.2 festlegen; mindestens vierteljährliche Information in Textform, ggf. Ausschuss-Delegation per Beschluss (AT 3.2 Tz. 2).

6. 06ESG/Stresstests

   Umweltrisiken in Stresstests integrieren, Resilienzanalysen ergänzen (AT 4.3.3 Tz. 7); ESG-Verankerung über § 26c KWG prüfen (AT 1 Tz. 1).

7. 07Erleichterungen entscheiden

   Ämterkumulation, Stresstest-Staffelung, Dreijahres-Turnus der Auslagerungs-Risikoanalyse (AT 9 Tz. 2), jährliche Strategie-Überwachung (nur mit Puffer von mindestens 2 Prozentpunkten hartem Kernkapital, AT 4.2 Tz. 5); jede Inanspruchnahme begründen und dokumentieren.

8. 08Aufsichtsmitteilung 26.11.2024

   Bei dokumentiert abweichender Auslegung Anpassungen bis zum 01.01.2027 planen (Übersendungsschreiben).

Was ändert sich bei Auslagerung (AT 9) und IKT/DORA?

Die 9. MaRisk-Novelle nimmt bestimmte DORA-IKT-Dienstleistungen aus dem Anwendungsbereich von AT 9 heraus. Ob zugleich gesetzliche Auslagerungspflichten nach § 25b KWG bestehen, ist gesondert zu prüfen. Die Erläuterung zu AT 9 Tz. 1 lautet:

Flankierend ist AT 7.2 auf 2 Textziffern reduziert, weil das IKT-Risikomanagement über die DORA-Verordnung läuft; die BAIT werden zum 31.12.2026 aufgehoben (BaFin-Meldung vom 09.01.2025). Auch das Notfallmanagement nach AT 7.3 vollzieht den DORA-Gleichlauf: AT 7.3 Tz. 1 verwendet jetzt die DORA-Terminologie „kritische oder wichtige Funktionen“ und verlangt, die Geschäftsleitung mindestens quartalsweise und anlassbezogen schriftlich über den Zustand des Notfallmanagements zu informieren (RS 06/2026).

Für IKT-Drittdienstleister in der Rechtsform einer juristischen Person mit Sitz in der EU ist im Informationsregister ein LEI oder EUID vorgesehen. Für entsprechende Anbieter außerhalb der EU ist ein LEI zu verwenden. Für natürliche Personen in geschäftlicher Tätigkeit gelten die gesonderten Kennungsvorgaben der Vorlage. Die europäischen Aufsichtsbehörden berichteten für 2025 insgesamt 3.383 schwerwiegende IKT-Vorfälle unter DORA. Rund ein Drittel betraf Vorfälle mit Beteiligung von Drittdienstleistern. Die Zahlen stammen aus dem am 03.06.2026 veröffentlichten ersten Jahresbericht. Durchführungsverordnung (EU) 2024/2956: Registervorlagen Berichtigung zur Durchführungsverordnung (EU) 2024/2956 ESAs: erster DORA-Bericht über schwerwiegende IKT-Vorfälle

Innerhalb des AT 9 ersetzt die 9. MaRisk-Novelle den Auslagerungsbeauftragten durch ein zentrales Auslagerungsmanagement, das die Auslagerungen einschließlich Weiterverlagerungen gemäß § 25b Abs. 1 Satz 4 KWG dokumentiert; das Auslagerungsregister steht ausdrücklich im Regelungstext (AT 9 Tz. 12 b, RS 06/2026). Der Bericht über wesentliche Auslagerungen geht an die Geschäftsleitung (Tz. 13); bei sehr kleinen Instituten genügt eine Vorstandssitzung.

Gilt die 9. MaRisk-Novelle auch für KI-Modelle?

Ja: Das Modul AT 4.3.4 „Verwendung von Modellen“ der MaRisk (Rundschreiben 06/2026 (BA) vom 30.06.2026) erstreckt seine Anforderungen in Tz. 1 ausdrücklich auf künstliche Intelligenz:

Die Änderung des AI Act durch die Verordnung (EU) 2026/1744 gilt seit dem 27.07.2026. Für Hochrisiko-Systeme nach Anhang III beginnen die betreffenden Pflichten am 02.12.2027; für Hochrisiko-Systeme nach Anhang I am 02.08.2028. Verordnung (EU) 2026/1744 zur Änderung des AI Act EU-Kommission: Inkrafttreten des KI-Omnibus

Was ändert sich bei Stresstests, ESG und Berichtswesen?

Bei Stresstests verlangt die 9. MaRisk-Novelle, Umweltrisiken zu berücksichtigen und um langfristige Resilienzanalysen zu ergänzen (AT 4.3.3 Tz. 7, RS 06/2026); AT 1 Tz. 1 präzisiert neu auch § 26c KWG (ESG-Risiken), umgesetzt werden u. a. EBA/GL/2025/01 und EBA/GL/2025/04 (AT 1 Tz. 2). Die Stresstest-Staffelung nach Größenklassen regelt AT 4.3.3: Sehr kleine Institute dürfen auf risikoartenspezifische Stresstests verzichten (Tz. 2), kleinen Instituten genügt in der Regel ein gesamtbankweites Abschwung-Szenario, und inverse Stresstests sind für kleine Institute verzichtbar (Tz. 3–4).

Im Berichtswesen baut die 9. MaRisk-Novelle den Besonderen Teil um: BT 2 „Interne Revision“ entfällt (konsolidiert in AT 4.4.3), die Risikoberichterstattung rückt von BT 3 nach BT 2 (RS 06/2026). Der jährliche Gesamtbericht der Internen Revision entfällt, es bleiben vierteljährliche Berichte (AT 4.4.3 Tz. 9). Neu geregelt ist die Einbindung des Aufsichtsorgans: Nach AT 3.2 Tz. 2 muss die Geschäftsleitung das Aufsichtsorgan mindestens vierteljährlich in Textform über Geschäftslage und Risikosituation informieren; die Weiterleitung kann per Beschluss auf einen Ausschuss beschränkt werden. Das frühere AT 4.3.4 (Risikodatenaggregation) ist ersatzlos entfallen; „Verwendung von Modellen“ trägt final die Nummer AT 4.3.4.

Wo gibt es die Vergleichsversion (Redline 8. ↔ 9. Novelle)?

Die amtlichen Vergleichsversionen stellt die BaFin auf der Download-Seite zum Rundschreiben 06/2026 (BA) bereit: den Abgleich 8. ↔ 9. Novelle sowie den Abgleich Konsultationsentwurf ↔ Endfassung, jeweils neben Rundschreiben und Übersendungsschreiben. Die Bundesbank führt die Neufassung als „MaRisk-Neufassung 2026“. Den Einstieg liefert die Delta-Tabelle oben; textziffern-genau verbindlich sind allein die amtlichen Redline-Dokumente.

Verwandte Themen

• MaRisk: aktuelle Fassung RS 06/2026, Aufbau AT/BT und Novellen: Rahmen, § 25a KWG, Novellen-Tracker.
• DORA-Verordnung: das IKT-Regime seit 17.01.2025: wohin IKT-Risiken und IKT-Drittbezug wandern.
• DORA-Informationsregister: Frist, Inhalt, Vorlage: Pflicht, ITS-Vorlagen ((EU) 2024/2956), Einreichungszyklen.
• Regulatorik-Fahrplan: alle Umsetzungsfristen 2026 bis 2028+.

Häufig gestellte Fragen zur 9. MaRisk-Novelle

Ein Angebot der T-NEX GmbH

Das Vorhaben mit T-NEX besprechen

Regulatorische Änderungen müssen in Anforderungen, Zuständigkeiten und Umsetzungsvorhaben übersetzt werden. T-NEX Compliance unterstützt den fachlichen Arbeitsweg; PPM hilft, Vorhaben und Abhängigkeiten zu strukturieren.