Zum Inhalt springen
Resilience Platform Resilience Platform
DE | EN
📬 🔍 Controls Catalog

MaRisk

Implement MaRisk 2026 from scope assessment to evidence.

Operationalise the 9th MaRisk amendment (Circular 06/2026): scope, proportionality, AT and BT requirements, DORA alignment and auditable evidence.

Management-Zusammenfassung

  • MaRisk (Minimum Requirements for Risk Management) is the central supervisory basis for German financial institutions.
  • The requirements are divided into AT (General Requirements) and BT (Special Requirements) with ICT focuses.
  • MaRisk AT 7 and AT 9 address ICT risks and outsourcing—here DORA deepens the requirements.
  • The Three Lines Model (AT 4.4) forms the governance basis for DORA Art. 4 and Art. 5.
  • ISO 27001 controls support the operational implementation of MaRisk requirements but do not replace them.
  • Securities institutions (WpI) are subject to modified requirements (WpI MaRisk) with proportional relief.

Note: This presentation does not constitute a complete reproduction of the BaFin MaRisk. The contents offer our own practical interpretations of the requirements with a focus on integration with DORA and ISO 27001. No legal advice — the current MaRisk versions of BaFin are binding.

MaRisk 2026 — Rundschreiben 06/2026 (BA) veröffentlicht

Die im Konsultationsverfahren als 9. MaRisk-Novelle bezeichnete Neufassung wurde am 30.06.2026 als Rundschreiben 06/2026 (BA) veröffentlicht. Sie ist die aktuell gültige Fassung. Die stärkere Prinzipienorientierung gibt Instituten mehr Gestaltungsspielraum, verlangt dafür aber nachvollziehbare, risikoorientierte Entscheidungen. Diese Seite unterstützt die operative Umsetzung; sie behauptet weder Vollständigkeit noch eine aufsichtlich bestätigte Angemessenheit.

Geschäftszeichen: BA 54-FR 2210/00067#00005 · Übergangsfrist für zusätzliche Anforderungen bis 01.01.2027

Prinzipienorientierung

Weniger Detailvorgaben, mehr Steuerungsverantwortung der Institute. Erläuterungen gestrichen, Spielraum für alternative Verfahren.

Proportionalität

Neue Klassifizierung für sehr kleine, kleine und übrige weniger bedeutende Institute. Signifikante Institute fallen nicht mehr in den MaRisk-Anwendungsbereich.

EBA-Umsetzung

Integration der EBA-Leitlinien zur Umwelt-Szenarioanalyse (EBA/GL/2025/04) und Internal Governance.

Aufsichtsmitteilung 2024

Überführung der Aufsichtsmitteilung vom 26.11.2024 in den Regelungstext, teils mit Klarstellungen.

Rundschreiben 06/2026 (PDF) Bundesbank MaRisk-Seite

Umsetzungsfahrplan

Von der Einordnung zum prüffähigen Nachweis

Fachstand: 09.08.2026

1 · Sofort

Anwendungsbereich und Größenklasse bestätigen

EZB-Aufsichtsstatus, SNCI-Kriterien und Bilanzsummenschwelle dokumentieren. Daraus Öffnungsklauseln und Prüfungsumfang ableiten.

2 · Empfohlen bis Q3/2026

Delta- und Proportionalitätsentscheidung

Neue Anforderungen, entfallene Detailvorgaben und DORA-Überleitungen bewerten; Managemententscheidung mit Begründung festhalten.

3 · Empfohlen bis Q4/2026

Kontrollen, Modelle und Szenarien operationalisieren

Modellgovernance, Umwelt-Szenarioanalyse, IKT/DOR-Strategie und AT-9-Abgrenzung in Kontrollen, Owner und Nachweise übersetzen.

4 · Bis 01.01.2027

Zusätzliche Anforderungen wirksam nachweisen

Freigaben, Wirksamkeitskontrollen, Berichtswege und Evidence Pack vervollständigen. Die Übergangsfrist gilt nur für zusätzliche Anforderungen.

Operative Umsetzungskette

Von der aufsichtlichen Anforderung zum prüfbaren Ergebnis

Jeder Schritt erzeugt einen fachlich verantworteten Arbeitsstand. Erst freigegebene und mit Nachweisen belegte Ergebnisse dürfen als umgesetzt bewertet werden.

  1. 01

    Anwendungsbereich festlegen

    Federführung: Compliance / Recht

    Ergebnis: Dokumentierte Institutsklasse, Aufsichtsstatus und anwendbare Module

    Arbeitsraum öffnen
  2. 02

    Proportionalität begründen

    Federführung: Risikocontrolling

    Ergebnis: Begründete Nutzung von Öffnungsklauseln und festgelegte Wesentlichkeit

    Arbeitsraum öffnen
  3. 03

    Delta bewerten

    Federführung: Fachbereiche / Kontrollfunktionen

    Ergebnis: Betroffenheit, Sollzustand, Verantwortlichkeit und Frist je relevantem Delta

    Arbeitsraum öffnen
  4. 04

    Risiken und Maßnahmen steuern

    Federführung: Risk Owner

    Ergebnis: Genehmigte Risiken, Maßnahmen, Akzeptanzen und Eskalationen

    Arbeitsraum öffnen
  5. 05

    Wirksamkeit belegen

    Federführung: Kontrollverantwortliche

    Ergebnis: Datiertes Evidence, Testergebnis, Abweichung und Nachverfolgung

    Arbeitsraum öffnen
  6. 06

    Managemententscheidung dokumentieren

    Federführung: Geschäftsleitung

    Ergebnis: Steuerungsrelevanter Bericht mit Beschluss, Owner und Fälligkeit

    Arbeitsraum öffnen

AT — General Requirements

Die Bezeichnungen folgen dem Inhaltsverzeichnis des Rundschreibens 06/2026 (BA). Die Nachweisbeispiele sind Arbeitshilfen und keine Aussage über die Erfüllung im Institut.

AT 1–3

Ziel, Anwendungsbereich und Verantwortung

Institutsklasse, Gesamtrisikoprofil sowie Gesamtverantwortung von Geschäftsleitung und Aufsichtsorgan.

Arbeitsnachweise: Anwendungsbereichsbeschluss, Organbeschlüsse, Risikoinventur

AT 4.1–4.2

Risikotragfähigkeit und Strategien

Normative und ökonomische Perspektive mit konsistenten Geschäfts- und Risikostrategien.

Arbeitsnachweise: RTF-Konzept, Strategieabgleich, Limits und Beschlüsse

AT 4.3.1–4.3.4

Internes Kontrollsystem

Aufbau- und Ablauforganisation, Risikosteuerung und -controlling, Stresstests sowie Verwendung von Modellen.

Arbeitsnachweise: Prozesslandkarte, Kontrollen, Stresstest- und Modellakten

AT 4.4.1–4.4.3

Besondere Funktionen

Risikocontrolling-Funktion, Compliance-Funktion und Interne Revision mit angemessener Unabhängigkeit.

Arbeitsnachweise: Mandate, Funktionsbeschreibungen, Berichte und Prüfungsplan

AT 5–6

Organisationsrichtlinien und Dokumentation

Aktuelle Regelwerke und nachvollziehbare Dokumentation wesentlicher Handlungen und Festlegungen.

Arbeitsnachweise: Regelwerksinventar, Freigaben, Versionen und Aufbewahrung

AT 7.1–7.3

Ressourcen

Personal, technisch-organisatorische Ausstattung und Notfallmanagement; DORA-Schnittstellen explizit abgrenzen.

Arbeitsnachweise: Kapazitätsplanung, Ausstattungsnachweise, Notfallkonzept und Tests

AT 8.1–8.2

Anpassungsprozesse

Neu-Produkt-Prozess sowie wesentliche Änderungen von Prozessen, Strukturen, Übernahmen und Fusionen.

Arbeitsnachweise: NPP-Akten, Risikoanalyse, Freigabe und Post-Implementation-Review

AT 9

Auslagerung

Wesentlichkeit, Risikoanalyse, Vertrag, Steuerung, Register und Exit; IKT-Dienstleistungen gegen DORA abgrenzen.

Arbeitsnachweise: Auslagerungsinventar, Risikoanalyse, Vertrag, Monitoring und Exit-Nachweis

MaRisk / DORA-Abgrenzung

IKT-Risiken konsistent steuern, Doppelarbeit vermeiden

AT 7.1 adressiert Personal, nicht ein eigenständiges IKT-Risikoregister. Für DORA-pflichtige Institute werden die operativen IKT-Anforderungen vorrangig im DORA-Arbeitsraum und im zentralen IKT-Risikoregister bearbeitet. MaRisk bleibt für die Einbindung in Gesamtbanksteuerung, Risikoinventur, Governance, Berichterstattung und Prüfung relevant.

MaRisk-Führungsebene

Geschäfts- und Risikostrategie, Risikoinventur, Verantwortlichkeiten, Risikoberichte und interne Revision.

Risikoinventur verbinden

DORA-Umsetzungsebene

IKT-Risikomanagementrahmen, Schutz, Erkennung, Reaktion, Wiederherstellung, Tests und IKT-Drittparteienrisiko.

DORA-Arbeitsraum

Gemeinsame Nachweise

Ein Evidence-Objekt wird referenziert statt kopiert; Owner, Prüfdatum, Gültigkeit und Ergebnis bleiben erkennbar.

Evidence Workflow

Wichtig: Ein Mapping zeigt inhaltliche Anschlussfähigkeit. Es ersetzt weder die institutsindividuelle Anwendbarkeitsprüfung noch eine Wirksamkeitsbewertung.

BT — Special Requirements

Der besondere Teil ist fachprozessbezogen. Welche Module anzuwenden sind, folgt aus Geschäftsmodell und Risikoprofil und darf nicht aus einem generischen DORA-Mapping abgeleitet werden.

BTO 1

Kreditgeschäft

Funktionstrennung, Votierung, Kreditprozesse, Früherkennung, Forbearance und Risikoklassifizierung.

BTO 2

Handelsgeschäft

Funktionstrennung sowie Prozesse für Handel, Abwicklung, Kontrolle und Abbildung im Risikocontrolling.

BTO 3

Immobiliengeschäft

Aufbauorganisation sowie Prozesse für Erwerb, Errichtung, Weiterbearbeitung und Überwachung.

BTR 1–5

Risikosteuerung und -controlling

Adressenausfall-, Marktpreis-, Liquiditäts-, operationelle Risiken und Kreditspreadrisiken im Anlagebuch.

BT 2.1

Allgemeine Anforderungen an Risikoberichte

Adressatengerechte, nachvollziehbare und steuerungsrelevante Berichte mit wesentlichen Entwicklungen.

BT 2.2

Berichte der Risikocontrolling-Funktion

Regelmäßige und anlassbezogene Berichte an Geschäftsleitung und Aufsichtsorgan.

Note: The content serves for technical orientation and structured implementation preparation. The original supervisory sources (esp. MaRisk, KWG) and the institution-specific legal, technical and audit assessment are authoritative.