Zum Inhalt springen
Resilience Platform Resilience Platform
DE | EN
📬 🔍 Sollmaßnahmenkatalog

MaRisk

MaRisk 2026 vom Anwendungsbereich bis zum Nachweis umsetzen.

Die 9. MaRisk-Novelle (Rundschreiben 06/2026) strukturiert umsetzen: Anwendungsbereich, Proportionalität, AT-/BT-Anforderungen, DORA-Alignment und prüffähige Nachweise.

Management-Zusammenfassung

  • MaRisk (Mindestanforderungen an das Risikomanagement) ist die zentrale aufsichtsrechtliche Grundlage für deutsche Finanzinstitute.
  • Die Anforderungen gliedern sich in AT (Allgemeine Anforderungen) und BT (Besondere Anforderungen) mit IKT-Schwerpunkten.
  • MaRisk AT 7 und AT 9 behandeln IKT-Risiken und Auslagerungen – hier greift DORA vertiefend ein.
  • Die Drei-Linien-Modell (AT 4.4) bildet die Governance-Grundlage für DORA Art. 4 und Art. 5.
  • ISO 27001 Kontrollen unterstuetzen die operative Umsetzung von MaRisk-Anforderungen, ersetzen sie aber nicht.
  • Wertpapierinstitute (WpI) unterliegen modifizierten Anforderungen (WpI MaRisk) mit proportionalen Erleichterungen.

Hinweis: Diese Darstellung stellt keine vollständige Wiedergabe der BaFin MaRisk dar. Die Inhalte bieten eigene, praxisnahe Interpretationen der Anforderungen mit Fokus auf Integration mit DORA und ISO 27001. Keine Rechtsberatung — verbindlich sind die aktuellen MaRisk-Fassungen der BaFin.

MaRisk 2026 — Rundschreiben 06/2026 (BA) veröffentlicht

Die im Konsultationsverfahren als 9. MaRisk-Novelle bezeichnete Neufassung wurde am 30.06.2026 als Rundschreiben 06/2026 (BA) veröffentlicht. Sie ist die aktuell gültige Fassung. Die stärkere Prinzipienorientierung gibt Instituten mehr Gestaltungsspielraum, verlangt dafür aber nachvollziehbare, risikoorientierte Entscheidungen. Diese Seite unterstützt die operative Umsetzung; sie behauptet weder Vollständigkeit noch eine aufsichtlich bestätigte Angemessenheit.

Geschäftszeichen: BA 54-FR 2210/00067#00005 · Übergangsfrist für zusätzliche Anforderungen bis 01.01.2027

Prinzipienorientierung

Weniger Detailvorgaben, mehr Steuerungsverantwortung der Institute. Erläuterungen gestrichen, Spielraum für alternative Verfahren.

Proportionalität

Neue Klassifizierung für sehr kleine, kleine und übrige weniger bedeutende Institute. Signifikante Institute fallen nicht mehr in den MaRisk-Anwendungsbereich.

EBA-Umsetzung

Integration der EBA-Leitlinien zur Umwelt-Szenarioanalyse (EBA/GL/2025/04) und Internal Governance.

Aufsichtsmitteilung 2024

Überführung der Aufsichtsmitteilung vom 26.11.2024 in den Regelungstext, teils mit Klarstellungen.

Rundschreiben 06/2026 (PDF) Bundesbank MaRisk-Seite

Umsetzungsfahrplan

Von der Einordnung zum prüffähigen Nachweis

Fachstand: 09.08.2026

1 · Sofort

Anwendungsbereich und Größenklasse bestätigen

EZB-Aufsichtsstatus, SNCI-Kriterien und Bilanzsummenschwelle dokumentieren. Daraus Öffnungsklauseln und Prüfungsumfang ableiten.

2 · Empfohlen bis Q3/2026

Delta- und Proportionalitätsentscheidung

Neue Anforderungen, entfallene Detailvorgaben und DORA-Überleitungen bewerten; Managemententscheidung mit Begründung festhalten.

3 · Empfohlen bis Q4/2026

Kontrollen, Modelle und Szenarien operationalisieren

Modellgovernance, Umwelt-Szenarioanalyse, IKT/DOR-Strategie und AT-9-Abgrenzung in Kontrollen, Owner und Nachweise übersetzen.

4 · Bis 01.01.2027

Zusätzliche Anforderungen wirksam nachweisen

Freigaben, Wirksamkeitskontrollen, Berichtswege und Evidence Pack vervollständigen. Die Übergangsfrist gilt nur für zusätzliche Anforderungen.

Operative Umsetzungskette

Von der aufsichtlichen Anforderung zum prüfbaren Ergebnis

Jeder Schritt erzeugt einen fachlich verantworteten Arbeitsstand. Erst freigegebene und mit Nachweisen belegte Ergebnisse dürfen als umgesetzt bewertet werden.

  1. 01

    Anwendungsbereich festlegen

    Federführung: Compliance / Recht

    Ergebnis: Dokumentierte Institutsklasse, Aufsichtsstatus und anwendbare Module

    Arbeitsraum öffnen
  2. 02

    Proportionalität begründen

    Federführung: Risikocontrolling

    Ergebnis: Begründete Nutzung von Öffnungsklauseln und festgelegte Wesentlichkeit

    Arbeitsraum öffnen
  3. 03

    Delta bewerten

    Federführung: Fachbereiche / Kontrollfunktionen

    Ergebnis: Betroffenheit, Sollzustand, Verantwortlichkeit und Frist je relevantem Delta

    Arbeitsraum öffnen
  4. 04

    Risiken und Maßnahmen steuern

    Federführung: Risk Owner

    Ergebnis: Genehmigte Risiken, Maßnahmen, Akzeptanzen und Eskalationen

    Arbeitsraum öffnen
  5. 05

    Wirksamkeit belegen

    Federführung: Kontrollverantwortliche

    Ergebnis: Datiertes Evidence, Testergebnis, Abweichung und Nachverfolgung

    Arbeitsraum öffnen
  6. 06

    Managemententscheidung dokumentieren

    Federführung: Geschäftsleitung

    Ergebnis: Steuerungsrelevanter Bericht mit Beschluss, Owner und Fälligkeit

    Arbeitsraum öffnen

AT — Allgemeine Anforderungen

Die Bezeichnungen folgen dem Inhaltsverzeichnis des Rundschreibens 06/2026 (BA). Die Nachweisbeispiele sind Arbeitshilfen und keine Aussage über die Erfüllung im Institut.

AT 1–3

Ziel, Anwendungsbereich und Verantwortung

Institutsklasse, Gesamtrisikoprofil sowie Gesamtverantwortung von Geschäftsleitung und Aufsichtsorgan.

Arbeitsnachweise: Anwendungsbereichsbeschluss, Organbeschlüsse, Risikoinventur

AT 4.1–4.2

Risikotragfähigkeit und Strategien

Normative und ökonomische Perspektive mit konsistenten Geschäfts- und Risikostrategien.

Arbeitsnachweise: RTF-Konzept, Strategieabgleich, Limits und Beschlüsse

AT 4.3.1–4.3.4

Internes Kontrollsystem

Aufbau- und Ablauforganisation, Risikosteuerung und -controlling, Stresstests sowie Verwendung von Modellen.

Arbeitsnachweise: Prozesslandkarte, Kontrollen, Stresstest- und Modellakten

AT 4.4.1–4.4.3

Besondere Funktionen

Risikocontrolling-Funktion, Compliance-Funktion und Interne Revision mit angemessener Unabhängigkeit.

Arbeitsnachweise: Mandate, Funktionsbeschreibungen, Berichte und Prüfungsplan

AT 5–6

Organisationsrichtlinien und Dokumentation

Aktuelle Regelwerke und nachvollziehbare Dokumentation wesentlicher Handlungen und Festlegungen.

Arbeitsnachweise: Regelwerksinventar, Freigaben, Versionen und Aufbewahrung

AT 7.1–7.3

Ressourcen

Personal, technisch-organisatorische Ausstattung und Notfallmanagement; DORA-Schnittstellen explizit abgrenzen.

Arbeitsnachweise: Kapazitätsplanung, Ausstattungsnachweise, Notfallkonzept und Tests

AT 8.1–8.2

Anpassungsprozesse

Neu-Produkt-Prozess sowie wesentliche Änderungen von Prozessen, Strukturen, Übernahmen und Fusionen.

Arbeitsnachweise: NPP-Akten, Risikoanalyse, Freigabe und Post-Implementation-Review

AT 9

Auslagerung

Wesentlichkeit, Risikoanalyse, Vertrag, Steuerung, Register und Exit; IKT-Dienstleistungen gegen DORA abgrenzen.

Arbeitsnachweise: Auslagerungsinventar, Risikoanalyse, Vertrag, Monitoring und Exit-Nachweis

MaRisk / DORA-Abgrenzung

IKT-Risiken konsistent steuern, Doppelarbeit vermeiden

AT 7.1 adressiert Personal, nicht ein eigenständiges IKT-Risikoregister. Für DORA-pflichtige Institute werden die operativen IKT-Anforderungen vorrangig im DORA-Arbeitsraum und im zentralen IKT-Risikoregister bearbeitet. MaRisk bleibt für die Einbindung in Gesamtbanksteuerung, Risikoinventur, Governance, Berichterstattung und Prüfung relevant.

MaRisk-Führungsebene

Geschäfts- und Risikostrategie, Risikoinventur, Verantwortlichkeiten, Risikoberichte und interne Revision.

Risikoinventur verbinden

DORA-Umsetzungsebene

IKT-Risikomanagementrahmen, Schutz, Erkennung, Reaktion, Wiederherstellung, Tests und IKT-Drittparteienrisiko.

DORA-Arbeitsraum

Gemeinsame Nachweise

Ein Evidence-Objekt wird referenziert statt kopiert; Owner, Prüfdatum, Gültigkeit und Ergebnis bleiben erkennbar.

Evidence Workflow

Wichtig: Ein Mapping zeigt inhaltliche Anschlussfähigkeit. Es ersetzt weder die institutsindividuelle Anwendbarkeitsprüfung noch eine Wirksamkeitsbewertung.

BT — Besondere Anforderungen

Der besondere Teil ist fachprozessbezogen. Welche Module anzuwenden sind, folgt aus Geschäftsmodell und Risikoprofil und darf nicht aus einem generischen DORA-Mapping abgeleitet werden.

BTO 1

Kreditgeschäft

Funktionstrennung, Votierung, Kreditprozesse, Früherkennung, Forbearance und Risikoklassifizierung.

BTO 2

Handelsgeschäft

Funktionstrennung sowie Prozesse für Handel, Abwicklung, Kontrolle und Abbildung im Risikocontrolling.

BTO 3

Immobiliengeschäft

Aufbauorganisation sowie Prozesse für Erwerb, Errichtung, Weiterbearbeitung und Überwachung.

BTR 1–5

Risikosteuerung und -controlling

Adressenausfall-, Marktpreis-, Liquiditäts-, operationelle Risiken und Kreditspreadrisiken im Anlagebuch.

BT 2.1

Allgemeine Anforderungen an Risikoberichte

Adressatengerechte, nachvollziehbare und steuerungsrelevante Berichte mit wesentlichen Entwicklungen.

BT 2.2

Berichte der Risikocontrolling-Funktion

Regelmäßige und anlassbezogene Berichte an Geschäftsleitung und Aufsichtsorgan.

Hinweis: Die Inhalte dienen der fachlichen Orientierung und strukturierten Umsetzungsvorbereitung. Maßgeblich sind die Originalquellen der Aufsicht (insb. MaRisk, KWG) sowie die institutsspezifische rechtliche, fachliche und prüferische Bewertung. Keine Rechtsberatung — verbindlich sind die aktuellen Fassungen der BaFin-Verlautbarungen.