MaRisk 2026: aktuelle Fassung und Anforderungen

Die MaRisk (Mindestanforderungen an das Risikomanagement) sind das zentrale Rundschreiben der BaFin zum Risikomanagement deutscher Kreditinstitute; sie konkretisieren § 25a Abs. 1 KWG (ordnungsgemäße Geschäftsorganisation). Die MaRisk sind kein Gesetz, sondern eine Verwaltungsvorschrift. Aktuelle Fassung ist die 9. Novelle: Rundschreiben 06/2026 (BA) vom 30.06.2026, in Kraft mit Veröffentlichung (BaFin-Download-Seite). Ergeben sich daraus im Einzelfall zusätzliche Anforderungen, gilt eine Übergangsfrist bis zum 01.01.2027 (Übersendungsschreiben, GZ BA 54-FR 2210/00067#00005).

Was sind die MaRisk? (einfach erklärt)

Die MaRisk geben auf der Grundlage des § 25a Abs. 1 KWG einen flexiblen und praxisnahen Rahmen für die Ausgestaltung des Risikomanagements der Institute vor; sie präzisieren auch § 25b KWG (Auslagerung) und, seit der 9. Novelle, § 26c KWG zu ESG-Risiken (AT 1 Tz. 1, RS 06/2026 (BA) vom 30.06.2026). Die Gruppendimension nach § 25a Abs. 3 KWG adressiert die Endfassung im Anwendungsbereich: Übergeordnete Unternehmen einer Institutsgruppe müssen die MaRisk-Anforderungen auf Gruppenebene beachten, soweit dies für ein angemessenes Risikomanagement auf Gruppenebene gemäß § 25a Abs. 3 KWG sinnvoll und notwendig erscheint (AT 2.1 samt Erläuterung, RS 06/2026 (BA)). Damit übersetzen die MaRisk die qualitative Säule-2-Aufsicht (ICAAP/SREP) in deutsche Verwaltungspraxis. Die Rechtsgrundlagen benennt der Regelungstext selbst:

Ein Gesetz sind die MaRisk nicht: Als Verwaltungsvorschrift konkretisieren die MaRisk die gesetzliche Grundpflicht aus § 25a Abs. 1 KWG, die unabhängig vom Rundschreiben-Wortlaut fortgilt. Durchgängiges Prinzip seit der Erstfassung (Rundschreiben 18/2005, Deutsche Bundesbank) ist die Proportionalität: Die MaRisk-Anforderungen skalieren über Öffnungsklauseln mit Größe, Komplexität und Risikogehalt des Geschäfts.

Welche MaRisk-Fassung ist aktuell?

Aktuell gilt die 9. Novelle der MaRisk: Rundschreiben 06/2026 (BA) vom 30.06.2026, in Kraft mit Veröffentlichung (BaFin-Meldung „MaRisk-Novelle: Mehr Proportionalität“ vom 30.06.2026). Für im Einzelfall zusätzliche Anforderungen gewährt das Übersendungsschreiben (GZ BA 54-FR 2210/00067#00005) eine Übergangsfrist bis zum 01.01.2027; die Aufsichtsmitteilung vom 26.11.2024 ist in den MaRisk-Regelungstext überführt. Im amtlichen Wortlaut:

Die Vorgängerfassung der MaRisk, das Rundschreiben 06/2024 (BA) vom 29.05.2024 (8. Novelle, BaFin), ist seit dem 30.06.2026 abgelöst; die Deutsche Bundesbank führt die aktuelle Fassung als „MaRisk-Neufassung 2026“. Die MaRisk-Fristen im Überblick; alle Termine cross-regulatorisch bündelt der Regulatorik-Fahrplan:

Wo finde ich die MaRisk als PDF (mit Erläuterungen)?

Die amtliche MaRisk-Fassung (Rundschreiben 06/2026 (BA) vom 30.06.2026, Regelungstext samt Erläuterungen, 82 Seiten) stellt die BaFin auf der Download-Seite zum Rundschreiben 06/2026 bereit. Dort liegen alle amtlichen Begleitdokumente der 9. Novelle:

1. 01Rundschreiben 06/2026 (BA)

   Der vollständige MaRisk-Text der 9. Novelle mit integrierten Erläuterungen (82 Seiten).

2. 02Übersendungsschreiben vom 30.06.2026

   GZ BA 54-FR 2210/00067#00005: regelt Inkrafttreten und die Übergangsfrist bis zum 01.01.2027.

3. 03Amtliche Vergleichsversionen

   8. gegen 9. Novelle (Vergleichsfassung direkt als PDF) sowie Konsultationsentwurf gegen Endfassung: die Quelle für die gesuchte „MaRisk-Vergleichsversion“.

4. 04Historische Fassung

   Das Rundschreiben 06/2024 (BA) vom 29.05.2024 (8. Novelle) bleibt auf der BaFin-Veröffentlichungsseite abrufbar.

5. 05Bundesbank-Themenseite

   Ergänzende Übersicht der Deutschen Bundesbank zur „MaRisk-Neufassung 2026“.

Wie sind die MaRisk aufgebaut? (AT und BT)

Die MaRisk gliedern sich in zwei Teile: Der Allgemeine Teil (AT 1–AT 9) enthält die für alle Institute geltenden Prinzipien des Risikomanagements, der Besondere Teil (BT) konkretisiert sie geschäftsspezifisch: BTO für die Aufbau- und Ablauforganisation im Kredit-, Handels- und Immobiliengeschäft, BTR 1–5 für die Risikosteuerungs- und -controllingprozesse je Risikoart und BT 2 für die Risikoberichterstattung (Struktur nach RS 06/2026 (BA)). Die Modulkarte zeigt Gegenstand und zentrale Fundstellen je MaRisk-Modul:

Die Modulbezeichnungen folgen dem Rundschreiben 06/2026. Für eine Umsetzung sind jeweils die vollständige Textziffer und ihre Erläuterungen heranzuziehen. BaFin: Rundschreiben 06/2026 (BA), MaRisk

Was hat die 9. MaRisk-Novelle geändert?

Die 9. MaRisk-Novelle (RS 06/2026 (BA) vom 30.06.2026) macht die MaRisk stärker prinzipienbasiert, reduziert die Komplexität deutlich und erweitert die Erleichterungen für kleine und sehr kleine Institute (BaFin-Meldung vom 30.06.2026); die finale PDF-Fassung umfasst 82 Seiten. Nach BaFin-Schätzung schaffen die neuen Größenklassen für 80 bis 85 Prozent der Institute Erleichterungen; den Textumfang beziffert die BaFin mit „aus 122 Seiten wurden rund 80“ (BaFin-Fachartikel „MaRisk schaffen mehr Spielraum für Banken“, BaFinJournal, 25.06.2026). Hervorgegangen ist die Novelle aus der Konsultation 02/2026 (Entwurf vom 01.04.2026, Stellungnahmen bis 08.05.2026, BaFin-Konsultationsmeldung). Die wichtigsten am Volltext verifizierten Änderungen gegenüber der 8. Novelle:

1. 01DORA-Abgrenzung

   AT 7.2 ist auf 2 Textziffern reduziert; IKT-Dienstleistungen gemäß Art. 3 Nr. 21 DORA im Drittparteienrisikomanagement nach Art. 28–30 DORA fallen nicht mehr unter AT 9 (Erläuterung zu AT 9 Tz. 1).

2. 02Auslagerung

   Ein zentrales Auslagerungsmanagement ersetzt den Auslagerungsbeauftragten; zu seinen Aufgaben zählt ausdrücklich das Auslagerungsregister gemäß § 25b Abs. 1 Satz 4 KWG (AT 9 Tz. 12).

3. 03Strukturumbau

   Das Revisionsmodul BT 2 der 8. Novelle entfällt (konsolidiert in AT 4.4.3; statt Jahresgesamtbericht vierteljährliche Berichte, AT 4.4.3 Tz. 9); die Risikoberichterstattung rückt von BT 3 nach BT 2; „Verwendung von Modellen“ heißt final AT 4.3.4, das frühere AT 4.3.4 (Risikodatenaggregation) entfällt ersatzlos.

4. 04ESG

   Die 9. Novelle setzt EBA/GL/2025/01 (ESG-Risiken) und EBA/GL/2025/04 (Umwelt-Szenarioanalysen) um; Umweltrisiken sind in Stresstests zu berücksichtigen, ergänzt um langfristige Resilienzanalysen (AT 4.3.3 Tz. 7).

Bei vollständig ausgelagerter Interner Revision bleibt nach AT 9 Tz. 10 eine beauftragte Person im Institut für die ordnungsgemäße Aufgabenerfüllung verantwortlich. Die aktuelle Erläuterung verweist auf den vierteljährlichen Bericht nach AT 4.4.3 Tz. 9 und die Mängelnachverfolgung nach Tz. 11. Weitere Änderungen und die Umsetzung bis zum 01.01.2027 erläutert der Beitrag 9. MaRisk-Novelle: Änderungen und Umsetzung.

Was gilt für die IT: MaRisk, BAIT oder DORA?

Für Institute im DORA-Anwenderkreis gilt das IKT-Risikomanagement seit dem 17.01.2025 nach der DORA-Verordnung; dieselben Institute sind seit dem 17.01.2025 aus dem Anwenderkreis der BAIT ausgenommen, und zum 31.12.2026 hebt die BaFin die BAIT vollständig auf (BaFin-Meldung „DORA kommt“ vom 09.01.2025). Über das FinmadiG werden ab dem 01.01.2027 weitere Institute DORA-pflichtig (dieselbe BaFin-Meldung).

Die MaRisk bleiben daneben für das allgemeine Risikomanagement verbindlich und räumen die Schnittstellen zur IT seit der 9. Novelle auf: AT 7.2 beschränkt sich auf 2 Textziffern (technisch-organisatorische Ausstattung, Datenqualitäts-Prozesse), und IKT-Dienstleistungen im DORA-Drittparteienregime fallen aus AT 9 heraus. Den Carve-out formuliert die Erläuterung zu AT 9 Tz. 1 wörtlich:

Für IKT-Drittdienstleister in der Rechtsform einer juristischen Person mit Sitz in der EU ist im Informationsregister ein LEI oder EUID vorgesehen. Für entsprechende Anbieter außerhalb der EU ist ein LEI zu verwenden. Für natürliche Personen in geschäftlicher Tätigkeit gelten die gesonderten Kennungsvorgaben der Vorlage. Die europäischen Aufsichtsbehörden berichteten für 2025 insgesamt 3.383 schwerwiegende IKT-Vorfälle unter DORA. Rund ein Drittel betraf Vorfälle mit Beteiligung von Drittdienstleistern. Die Zahlen stammen aus dem am 03.06.2026 veröffentlichten ersten Jahresbericht. Durchführungsverordnung (EU) 2024/2956: Registervorlagen Berichtigung zur Durchführungsverordnung (EU) 2024/2956 ESAs: erster DORA-Bericht über schwerwiegende IKT-Vorfälle

Praktische Folge des AT-9-Carve-outs sind zwei getrennte Verzeichnisse, die Institute sauber auseinanderhalten müssen:

Datenmodell, Abgabeformat und praktische Pflege behandelt der Beitrag DORA-Informationsregister. Die Abgrenzung der beiden Cybersicherheitsrahmen erläutert NIS2 vs. DORA.

Für wen gelten die MaRisk? (Anwenderkreis und Proportionalität)

Regeladressaten der MaRisk sind seit der 9. Novelle die national beaufsichtigten Institute (LSIs); bedeutende Institute (SIs) im Sinne von Art. 6 SSM-VO unter direkter EZB-Aufsicht fallen aus dem Anwenderkreis (AT 2.1 Tz. 1, RS 06/2026 (BA) vom 30.06.2026). Innerhalb des Anwenderkreises staffelt AT 1 Tz. 3 die Anforderungen nach Größenklassen: Kleine Institute sind als SNCI (Art. 4 Abs. 1 Nr. 145 CRR) eingestufte Institute sowie CRD-Drittstaatenzweigstellen der Risikoklasse 2; sehr kleine Institute haben eine Bilanzsumme von höchstens 1 Mrd. € im Vierjahresdurchschnitt (Factoringinstitute: zusätzlich jährliches Forderungsankaufsvolumen bis 5 Mrd. € im Vierjahresdurchschnitt) und nutzen die Erleichterungen auch ohne SNCI-Einstufung.

Konkrete Erleichterungen der 9. MaRisk-Novelle: Sehr kleine Institute dürfen Compliance-Beauftragten (AT 4.4.2 Tz. 4) und Aufgaben der Internen Revision (AT 4.4.3 Tz. 1) einem Geschäftsleiter übertragen (jeweils mit Interessenkonflikt-Vorkehrungen), auf risikoartenspezifische Stresstests verzichten (AT 4.3.3 Tz. 2) und Compliance-Funktion oder Interne Revision vollständig auslagern (AT 9 Tz. 5). Kleinen Instituten genügt in der Regel ein gesamtbankweites Abschwung-Szenario, inverse Stresstests sind verzichtbar (AT 4.3.3 Tz. 3–4); die nur jährliche Überwachung von Strategie und Kapitalplanung setzt einen zusätzlichen Puffer von mindestens zwei Prozentpunkten an hartem Kernkapital voraus (AT 4.2 Tz. 5).

Im Kreditgeschäft bleibt die institutsindividuell festzulegende Risikorelevanzgrenze der zentrale Proportionalitätshebel der MaRisk: Für Kreditentscheidungen bei Geschäften, die unter Risikogesichtspunkten als nicht wesentlich einzustufen sind, kann das Institut bestimmen, dass nur ein Votum statt zwei Voten aus Markt und Marktfolge erforderlich ist („nicht-risikorelevante Kreditgeschäfte“, BTO 1.1 Tz. 4, RS 06/2026 (BA)). Die Abgrenzung zwischen risikorelevantem und nicht-risikorelevantem Kreditgeschäft legt jedes Institut eigenverantwortlich unter Risikogesichtspunkten fest (Erläuterung zu BTO 1.1 Tz. 4).

Die BaFin hat die WpI MaRisk am 24.08.2026 veröffentlicht. Sie gelten für kleine und mittlere Wertpapierinstitute ab dem 01.01.2027. Bis dahin bleiben die MaRisk für Kreditinstitute die Grundlage; große Wertpapierinstitute wenden weiterhin die MaRisk für Kreditinstitute an. BaFin: MaRisk für Kleine und Mittlere Wertpapierinstitute

Welche MaRisk-Novellen gab es seit 2005?

Die MaRisk erschienen erstmals 2005. Die folgende Auswahl ordnet die Erstfassung und die drei jüngsten Novellen ein. Aktuell gilt Rundschreiben 06/2026 (BA) vom 30.06.2026; frühere Fassungen und Vergleichsdokumente stellt die Deutsche Bundesbank bereit.

Three Lines: wer bearbeitet, wer hinterfragt, wer unabhängig prüft?

Das Three-Lines-Modell beschreibt Rollen in der Governance. Die erste Linie betreibt Prozesse und Kontrollen. Die zweite unterstützt mit Fachwissen, überwacht und hinterfragt. Die Interne Revision bildet die unabhängige dritte Linie. Die IIA-Fassung von Juli 2026 betont abgestimmte Information und klare Verantwortung; das Modell ersetzt keine konkreten gesetzlichen Funktionen.

Im gemeinsamen Arbeitsbestand braucht jede Übergabe einen Absender, einen nachvollziehbaren Stand und eine zuständige Empfängerrolle. Ein Fachbereich meldet eine Maßnahme nicht zugleich als unabhängig geprüft. Unterschiedliche Bewertungen bleiben sichtbar, statt in einer einzigen grünen Statusanzeige zu verschwinden. Die konkrete Aufgabenverteilung folgt insbesondere den einschlägigen MaRisk-Funktionen und der Organisationsstruktur des Instituts.

Für Institute im Anwendungsbereich von § 25a KWG ist die gesetzliche Trennung maßgeblich: Die Interne Revision darf nach Absatz 1 Nummer 3 nicht mit anderen Geschäftsbereichen oder Kontrollfunktionen kombiniert werden. Allgemeine Flexibilität im IIA-Modell hebt diese Vorgabe nicht auf.

Rechts- und Fachgrundlagen: The IIA: Three Lines Model, Statement of Position, 2026; BaFin: MaRisk, Rundschreiben 06/2026 (BA), 30.06.2026, amtlicher Volltext bei der Bundesbank; KWG § 25a: Organisation, Kontrollfunktionen und unabhängige Interne Revision.

Verwandte Themen

• 9. MaRisk-Novelle: Änderungen, Konsultation 02/2026, Zeitplan: Delta-Tabelle, Erleichterungen, LSI-Checkliste.
• DORA-Verordnung: IKT-Regime seit 17.01.2025: Geltung, Kernpflichten und Säulen.
• DORA-Informationsregister: Frist, Inhalt, Vorlage: Zyklen, ITS-Vorlagen und Ausfüllhilfe.
• MaRisk-Fristen im Regulatorik-Fahrplan: Alle Termine 2026 bis 2028+ cross-regulatorisch gebündelt.
• GRC-Software für Banken: Auswahlkriterien nach MaRisk und DORA: Regime-Weiche, Muss-Kriterien und Vertragsinhalte.

Häufig gestellte Fragen zu den MaRisk

Ein Angebot der T-NEX GmbH

Das Vorhaben mit T-NEX besprechen

Für den Schritt von der Vorgabe zum Arbeitsablauf sind Anforderungen, Bewertungen und Maßnahmen gemeinsam zu betrachten. Die Produktseiten zeigen die dokumentierten Abläufe; die Beratung klärt den passenden Umfang für Ihr Institut.