9. MaRisk-Novelle: Weniger Detailvorgaben, mehr Verantwortung

Reform & Debatte

28. Juli 2026

Mit der am 30. Juni 2026 veröffentlichten 9. Novelle der „Mindestanforderungen an das Risikomanagement“ (MaRisk) nimmt die BaFin den wohl größten Umbau ihres zentralen Rundschreibens seit dessen Einführung im Jahr 2005 vor. Die Richtung ist klar: eine Reduktion der Komplexität, weniger Detailnormierung, mehr Prinzipienorientierung und eine deutlich konsequentere Anwendung des Proportionalitätsgrundsatzes.

Die Aufsicht gibt künftig seltener vor, wie Finanzinstitute einzelne Anforderungen im Detail umsetzen sollen. Stattdessen legt sie stärker fest, welches Ziel erreicht werden muss – und überlässt den Instituten mehr Gestaltungsspielraum.

Das klingt zunächst nach Entlastung. In der Praxis ist die Lage allerdings differenzierter – denn wo die BaFin konkrete Vorgaben streicht, entsteht nicht automatisch weniger Arbeit. Vielmehr verschiebt sich die Verantwortung stärker auf die Institute. Sie müssen nun häufiger selbst entscheiden, welche Lösung zu ihrem Geschäftsmodell, ihrer Größe und ihrem Risikoprofil passt, und diese Entscheidung nachvollziehbar begründen können. Genau darin liegt der eigentliche Paradigmenwechsel der 9. MaRisk-Novelle.

Was Finanzinstitute jetzt priorisieren sollten

Die Richtung ist klar: mehr Flexibilität, aber auch mehr Eigenverantwortung. Für viele Institute stellt sich daher vor allem die Frage, welche Themen jetzt ganz oben auf die Agenda gehören:

Neue Spielräume gezielt nutzen: Erleichterungen bei Stresstests, Kontrollfunktionen oder neue Wesentlichkeitsschwellen können entlasten, passen aber nicht automatisch zu jedem Geschäftsmodell und Risikoprofil.
Europäische Vorgaben verankern: Bedeutende Institute müssen bestehende MaRisk-Bezüge in Richtlinien, Schulungen und Kontrollprozessen überprüfen und an den europäischen Referenzrahmen anpassen.
Entscheidungen besser begründen: Künftig zählt nicht nur, was umgesetzt wird, sondern vor allem, warum. Eine saubere Dokumentation und nachvollziehbare Herleitung werden wichtiger.
ESG-Szenarien und die DORA frühzeitig angehen: Beim Umgang mit Nachhaltigkeitsrisiken sowie bei der Abgrenzung zwischen DORA- und MaRisk-Anforderungen entstehen neue Anforderungen an Daten, Methoden und Governance.

Das ändert sich konkret

Neuer Anwendungsbereich: Proportionalität rückt in den Mittelpunkt	Kritik aus der Praxis
Eine der sichtbarsten Änderungen betrifft den Adressatenkreis der MaRisk. Bedeutende Institute (Significant Institutions, SI) fallen aus dem Anwendungsbereich heraus. Für weniger bedeutende Institute (Less Significant Institutions, LSI) gelten die MaRisk fort. Für diese stärkt die Novelle gleichzeitig den Proportionalitätsgedanken. Statt zahlreicher Einzelregelungen und Öffnungsklauseln gilt künftig eine klarere Dreiteilung: – Sehr kleine Institute mit einer Bilanzsumme von bis zu 1 Mrd. € – Kleine und nicht-komplexe Institute (Small and Non-Complex Institutions, SNCI)mit einer Bilanzsumme von bis zu 5 Mrd. € – Übrige LSIs, die nicht als SNCI eingestuft sind So können z. B. sehr kleine Institute unter bestimmten Voraussetzungen auf risikoartenspezifische Stresstests verzichten, wenn ein gesamtbankweites Szenario die wesentlichen Risiken ausreichend abbildet. Für kleine Institute genügt in der Regel ein schwerer konjunktureller Abschwung als gesamtbankweites Szenario. Darüber hinaus dürfen sehr kleine Institute die Compliance-Funktion und die Interne Revision vollständig auslagern. Die neue Systematik macht damit deutlich schneller erkennbar, welche Anforderungen und Erleichterungen für welche Institute gelten. Gerade kleinere Häuser mit begrenzten personellen und technischen Ressourcen profitieren hiervon.	Mehr Proportionalität bedeutet nicht automatisch weniger Aufwand. Denn die neue Einteilung nimmt den Instituten die Verantwortung nicht ab. Der SNCI-Status richtet sich nach europäischen Kriterien der Capital Requirements Regulation (CRR) und steht unter aufsichtlicher Beurteilung. Eine bloße Selbsteinstufung reicht daher nicht aus.
Bedeutende Institute verlieren die MaRisk als nationale Orientierungsebene	Kritik aus der Praxis
Für bedeutende Institute ist die Änderung besonders einschneidend: Große, direkt von der EZB beaufsichtigte Häuser wie die Deutsche Bank oder die Commerzbank fallen künftig aus dem Anwendungsbereich der MaRisk heraus. Die regulatorischen Anforderungen werden dadurch jedoch nicht geringer. Statt der MaRisk als nationaler Konkretisierungsebene bilden künftig europäische Vorgaben und Aufsichtserwartungen den maßgeblichen Referenzrahmen. Dieser ist nicht per se einfacher, sondern an vielen Stellen anders aufgebaut als die vertrauten MaRisk-Strukturen. Im Handelsgeschäft z. B. sollten Institute prüfen, welche Anforderungen weiterhin unmittelbar aus europäischen Vorgaben folgen und wo internationale Marktstandards als Orientierung dienen können. Die grundsätzliche Anforderung bleibt jedoch bestehen: Institute brauchen klare Verantwortlichkeiten, wirksame Kontrollen und eine angemessene Funktionstrennung.	Für die Praxis ist entscheidend, die Änderung nicht falsch zu verstehen. Der Wegfall der MaRisk für bedeutende Institute heißt nicht, dass zentrale Governance- oder Risikomanagement-Anforderungen gegenstandslos werden. Sie müssen nur anders hergeleitet werden. Aus den Instituten ist deshalb vor allem Verunsicherung zu hören. Nicht, weil der europäische Rahmen neu wäre, sondern weil eine nationale Übersetzungsebene verschwindet. Viele interne Richtlinien, Schulungsunterlagen, Kontrollbeschreibungen und Prüfschritte des Internen Kontrollsystems verweisen seit Jahren auf MaRisk-Strukturen. Diese Bezüge müssen nun überprüft und gegebenenfalls überarbeitet werden. Institute, die ihr Risikomanagement bereits konsequent an europäischen Referenzrahmen ausgerichtet haben, dürften diesen Übergang mit weniger Aufwand bewältigen. Für andere Häuser entsteht ein nicht zu unterschätzender Zuordnungs- und Überleitungsaufwand.
Vom Detailwerk zur Begründungslogik	Kritik aus der Praxis
Eine kleinere Regionalbank z. B. konnte bislang nur dann von bestimmten Vereinfachungen profitieren, wenn sie mehrere Voraussetzungen gleichzeitig erfüllte – etwa ein Kreditvolumen von weniger als 100 Mio. €, höchstens zwei Geschäftsleiter*innen und eine einfache Organisationsstruktur. Diese starre Kombination von Kriterien entfällt nun. Künftig hat das Institut mehr Spielraum bei der organisatorischen Ausgestaltung. Die Aufsicht legt weniger Wert darauf, ob eine bestimmte Struktur exakt einer Vorgabe entspricht. Entscheidend ist vielmehr, dass Risiken wirksam gesteuert werden, die organisatorische Trennung zwischen Risikocontrolling und Marktbereich gewährleistet bleibt und keine Interessenkonflikte entstehen. Der Punkt ist also nicht, dass Anforderungen einfach wegfallen. Sie stehen nur nicht mehr unbedingt ausdrücklich im Regeltext.	Die vermeintliche Entlastung kann trügerisch sein. Wer bislang einer konkreten Vorgabe wie einem jährlichen Prüfungsrhythmus folgen konnte, hatte eine klare Orientierung. Künftig muss das Institut begründen können, warum ein bestimmtes Intervall ausreicht und zum eigenen Risikoprofil passt. Für Institute, die sich bereits seit der BaFin-Mitteilung „Kleine und sehr kleine Kreditinstitute: Proportionalität in den Anforderungen der BaFin an das Risikomanagement“ Ende 2024 mit solchen Fragen beschäftigen, ist das ein Vorteil. Sie haben idealerweise schon begonnen, Entscheidungen nicht nur umzusetzen, sondern auch tragfähig zu begründen. Andere Unternehmen werden hier nacharbeiten müssen.
ESG-Risiken: Blick nach vorn wird wichtiger	Kritik aus der Praxis
Die 9. Novelle setzt unter anderem Vorgaben aus dem Bankenrichtlinienumsetzungs- und Bürokratieentlastungsgesetz (BRUBEG) sowie Leitlinien der EBA zum Management von ESG-Risiken und zur Umwelt-Szenarioanalyse um. Die zentrale Neuerung: Historische Daten allein reichen nicht mehr aus – Institute müssen ESG-Risiken auf Basis wissenschaftlich fundierter, vorausschauender Szenarien über einen langen Zeithorizont bewerten. Gleichzeitig verlangt die Aufsicht einen breiteren Blick auf Umweltgefahren. Neben einzelnen Risikopositionen müssen Institute auch sektor- und portfoliobezogene Auswirkungen analysieren und entsprechende Szenarien in ihre Betrachtungen einbeziehen.	Der lange Zeithorizont stellt traditionelle Risikomodellierungslogiken vor Herausforderungen. Belastbare Klima- und Transitionsszenarien für diesen Zeitraum erfordern externe Datenquellen, methodische Annahmen mit hoher Unsicherheit und – realistisch betrachtet – technische Unterstützung. Für sehr kleine Institute existieren Erleichterungen, doch der Aufbau valider Datengrundlagen bleibt ressourcenintensiv.
DORA-Abgrenzung: Mehr Klarheit bei digitalen Risiken	Kritik aus der Praxis
Ein weiterer wichtiger Punkt ist die Abgrenzung zwischen MaRisk und dem Digital Operational Resilience Act (DORA), der den Umgang mit digitalen Betriebsrisiken im Finanzsektor regelt. Dazu gehören insbesondere Risiken aus der Informations- und Kommunikationstechnologie (IKT) sowie aus der Zusammenarbeit mit IKT-Drittanbietern. Die 9. MaRisk-Novelle sorgt hier vor allem für eine klarere Abgrenzung der Regelwerke. Bisher überschnitten sich die Anforderungen aus MaRisk und DORA in einigen Bereichen. Ab jetzt werden IT-Risiken – etwa Cyberangriffe oder Systemausfälle – vorrangig durch die DORA-Vorgaben adressiert. Das schafft mehr Übersicht. Institute müssen sich allerdings klar darüber werden, welche Dienstleister und Prozesse unter DORA fallen und welche weiterhin nach den MaRisk-Vorgaben zu steuern sind.	In der Theorie klingt die Abgrenzung sauber. In der Praxis wird sie regelmäßig anspruchsvoll. Viele Dienstleistungen lassen sich nicht eindeutig einer Kategorie zuordnen. Beratungsleistungen mit technischer Komponente, Cloud-nahe Services oder hybride Unterstützungsleistungen können Fragen aufwerfen: Handelt es sich um einen IKT-Drittbezug im Sinne von DORA oder um eine klassische Auslagerung nach MaRisk-Logik? Institute brauchen deshalb klare Kriterien für die Einzelfallbeurteilung. Zudem müssen sie ihre Steuerungs- und Reportingprozesse so anpassen, dass beide Regime parallel funktionieren.
Interne Governance und Kontrollfunktionen rücken stärker in den Fokus	Kritik aus der Praxis
Während die 9. MaRisk-Novelle an vielen Stellen Detailvorgaben abbaut, schaut die Aufsicht bei Governance und Kontrollfunktionen jetzt genauer hin. Die Anforderungen an Risikocontrolling, Compliance und Interne Revision werden klarer strukturiert und ihre Rollen deutlicher voneinander abgegrenzt. Zudem bündelt die MaRisk die Informations- und Berichtspflichten gegenüber dem Aufsichtsorgan erstmals in einem eigenen Abschnitt. Neu ist dabei weniger der materielle Inhalt als die Erwartungshaltung der Aufsicht: Institute sollen nachvollziehbar zeigen können, wer welche Risiken überwacht, wie Kontrollfunktionen zusammenarbeiten und wie relevante Informationen bis zur Geschäftsleitung und zum Aufsichtsorgan gelangen.	Viele Institute dürften die Anforderungen grundsätzlich bereits erfüllen. Die Herausforderung ist vielmehr, die erforderlichen Funktionen dauerhaft mit ausreichend qualifizierten Mitarbeiter*innen zu besetzen. Gerade kleinere Häuser verfügen häufig nur über begrenzte personelle Ressourcen. Wenn Risikocontrolling, Compliance und Interne Revision unabhängiger agieren und ihre Aufgaben klar voneinander abgegrenzt sein sollen, wird es schwieriger, mehrere Rollen in Personalunion abzudecken.

Konsequenzen für die Prüfungspraxis

Für die Abschlussprüfung hängt die Auswirkung der 9. MaRisk-Novelle vor allem davon ab, ob ein Institut als LSI oder SI eingestuft ist. Bei weniger bedeutenden Instituten rückt die institutsspezifische Ausgestaltung stärker in den Mittelpunkt. Prüfer*innen werden nun weniger danach fragen, ob eine konkrete MaRisk-Vorgabe eingehalten wurde, sondern stärker beurteilen, ob eine gewählte Lösung zum Risikoprofil passt, fachlich nachvollziehbar begründet und angemessen dokumentiert ist. Der prinzipienbasierte Ansatz verändert die Prüfung damit nicht grundlegend, verschiebt aber ihren Schwerpunkt.

Die Prüfung bedeutender Institute orientiert sich jetzt unmittelbar an den Erwartungen der EZB, den Leitlinien der EBA, der CRR III und den Anforderungen des Einheitlichen Aufsichtsmechanismus (Single Supervisory Mechanism, SSM).

Für weitere Themen rund um die Wirtschaftsprüfung und Forvis Mazars folgen Sie uns auch auf LinkedIn.