9. MaRisk-Novelle 2026: Was sich für Banken jetzt ändert

Regulatorik · Risikomanagement · BaFin

Die 9. MaRisk-Novelle ist die am 30. Juni 2026 veröffentlichte Überarbeitung der Mindestanforderungen an das Risikomanagement. Die neue MaRisk bleibt prinzipienbasiert, stärkt die Proportionalität und entlastet vor allem kleine und sehr kleine Institute. Die Übergangsfrist für neue und verschärfte Anforderungen läuft bis zum 1. Januar 2027, Erleichterungen sind sofort anwendbar.

In 2 Minuten verstanden

- Was ist neu? Drei verbindliche Größenklassen (sehr kleine, kleine/SNCI, sonstige LSIs) mit klassenspezifischen Öffnungsklauseln. Das Rundschreiben wurde von 122 auf rund 80 Seiten gekürzt.
- Wer profitiert? Nach BaFin-Einschätzung schaffen die neuen Größenklassen für 80 bis 85 Prozent der Institute Erleichterungen. Rund 950 Institute (etwa drei Viertel der deutschen Kreditinstitute) fallen unter die SNCI-Definition.
- Wer fällt heraus? Bedeutende Institute (SIs) unter direkter EZB-Aufsicht. Neu erfasst: Drittstaatenzweigstellen nach § 53c KWG.
- Bis wann? Erleichterungen sofort; neue/ verschärfte Anforderungen bis 1. Januar 2027. Die Änderungen sind damit nicht Gegenstand der Jahresabschlussprüfung 2026.
- Der Haken: Öffnungsklauseln sind Optionen, keine Automatismen. Jede genutzte Erleichterung braucht eine dokumentierte, risikoorientierte Begründung, die ab 2027 Prüfungsgegenstand wird.

Die BaFin selbst spricht von einem „Vertrauensvorschuss" für die Institute: weniger Detailvorgaben, mehr Eigenverantwortung. Nach Einschätzung der BaFin profitiert der überwiegende Teil der deutschen Kreditinstitute von den neuen Erleichterungen.

In diesem Beitrag finden Sie die wichtigsten Änderungen der 9. Novelle und einen konkreten Umsetzungsfahrplan.

Dieser Beitrag bezieht sich auf die finale Fassung (Rundschreiben 06/2026). Eine ausführliche Analyse des vorherigen Konsultationsentwurfs inklusive CRD-VI-Bezug und der umgesetzten EBA-Leitlinien finden Sie in unserem Beitrag MaRisk, CRD VI und EBA Guidelines: Was der MaRisk-Entwurf für das Risikomanagement konkret bedeutet.

Zeitplan: Von der Konsultation bis zum Inkrafttreten

• 26.11.2024 — Aufsichtsmitteilung mit ersten SNCI-Erleichterungen (Vorläufer)
• 01.04.2026 — BaFin veröffentlicht den Entwurf zur Konsultation (Konsultation 02/2026)
• 19.06.2026 — Digitales Aufsichts-Briefing: finale Inhalte werden vorgestellt
• 30.06.2026 — Veröffentlichung der finalen 9. MaRisk-Novelle
• 01.01.2027 — Ende der Übergangsfrist: Neue und verschärfte Regelungen sind anzuwenden

Im Hinblick auf das Zeitfenster von sechs Monaten für die Umsetzung neuer und verschärfter Anforderungen werden diese Änderungen noch nicht Gegenstand der Jahresabschlussprüfung 2026 sein.

Die wichtigsten Änderungen im Überblick

Die 9. Novelle ist die umfangreichste Überarbeitung der MaRisk seit der 7. Novelle. Die Kernpunkte:

1. Neuer Anwendungsbereich: Direkt von der EZB beaufsichtigte Institute (SIs) fallen heraus; Drittstaatenzweigstellen kommen hinzu.
2. Neue Größenklassen: Ausdifferenzierung der weniger bedeutenden Instituten (LSIs) in „sehr kleine", „kleine" (SNCI) und „sonstige" Institute mit klassenspezifischen Erleichterungen.
3. Risikoinventur & Risikotragfähigkeit: Wesentlichkeitsschwelle und Streckung von Validierungszyklen.
4. Stresstests: Erleichterungen für kleine Institute und sehr kleine Institute.
5. Risikoberichterstattung: Mehr Flexibilität bei Turnus und Ausgestaltung vor allem für kleine Institute.
6. ESG-Risiken: Konkretisierung der Anforderungen mit Fokus auf Umwelt- und Klimarisiken sowie Szenarioanalysen.
7. Auslagerung: Der zentrale Auslagerungsbeauftragte ist nicht mehr verpflichtend.
8. Kreditgeschäft: Sowohl zusätzliche Anforderungen als auch punktuell Vereinfachungspotenzial.
9. Europäische Integration: Umsetzung von CRD VI soweit auslegungsbedürftig und nicht bereits abschließend im KWG geregelt und EBA-Leitlinien; Abgrenzung zu DORA.

Anwendungsbereich: SIs raus, Drittstaatenzweigstellen rein

Die auffälligste strukturelle Änderung: Bedeutende Institute unter direkter EZB-Aufsicht unterliegen den MaRisk künftig nicht mehr. Konsequent, denn die MaRisk sind normeninterpretierende Verwaltungsvorschriften der BaFin zu § 25a KWG und binden die EZB nicht. Offen bleibt, inwieweit SIs (und ihre Abschlussprüfer) einzelne MaRisk-Module wie die Anforderungen an Handelsprozesse freiwillig weiter anwenden.

Neu in den Anwendungsbereich rücken Drittstaatenzweigstellen im Sinne des § 53c KWG — die folgerichtige Ergänzung zu den neuen KWG-Anforderungen aus dem Bankenrichtlinienumsetzungs- und Bürokratieentlastungsgesetz (BRUBEG) zur CRD VI.

Neue Größenklassen: Wer gilt als kleines oder sehr kleines Institut?

Sehr kleine Institute

• Kriterium: Bilanzsumme ≤ 1 Mrd. € im Vier-Jahres-Durchschnitt (reines Größenkriterium)
• Erleichterungen: Alle Öffnungsklauseln der MaRisk nutzbar, inklusive der SNCI-Erleichterungen — ohne SNCI-Einstufung

Kleine Institute (SNCI)

• Kriterium: SNCI-Kriterien nach Art. 4 Abs. 1 Nr. 145 CRR, insbesondere Bilanzsumme ≤ 5 Mrd. €
• Erleichterungen: Validierung, Stresstests, Funktionstrennung, Auslagerung, Kreditgeschäft und Reporting

Sonstige LSIs

• Alle übrigen weniger bedeutenden Institute — allgemeine Proportionalitäts- und Öffnungsklauseln

Nach BaFin-Schätzung sind rund drei Viertel der deutschen Kreditinstitute SNCIs, die Neuregelegung der Proportionalität in der Novelle ist dementsprechend für die Breite des Marktes relevant, nicht nur für Nischen.

Erleichterungen im Detail

Validierung und Risikotragfähigkeit: Folgevalidierungen sind künftig nur noch mindestens alle drei Jahre (und anlassbezogen) erforderlich (AT 4.1 Tz, 9). Die Funktionstrennung zwischen Modellentwicklung und Validierung darf in kleinen Instituten entfallen. Die neue 5-%-Wesentlichkeitsschwelle (bezogen auf das Risikodeckungspotential) deckelt als unwesentlich eingestufte Risiken (AT 2.2 Tz. 1) und schafft einen klaren, prüfungsfesten Maßstab für die Risikoinventur.

Auslagerung: Ein zentraler Auslagerungsbeauftragter ist nicht mehr vorgeschrieben. Eine vollständige Auslagerung der besonderen Funktionen Risikocontrolling, Compliance und Interne Revision ist unter Umständen möglich (AT 9 Tz. 5).

Stresstests und Reporting: Kleine Institute profitieren von reduziertem Stresstest-Umfang (AT 4.3.3 Tz. 3), Verzicht auf inverse Stresstests (Tz. 4), und qualitative Ansätze bei Umweltrisiken (Tz. 7). Sehr kleine Institute können auf risikoartenspezifische Stresstests verzichten (Tz. 2). Die Berichterstattung wird für kleine Institute flexibler: Verweis auf Vorberichte bei fehlender Veränderung, keine unterjährige Pflicht bei stabilen Risiken, rollierende Stresstest-Berichterstattung (BT 2.2 Tz. 1).

Kreditgeschäft: Die Neufassung eröffnet insbesondere bei Sicherheitenbewertungsprozessen Vereinfachungsspielräume (BTO 1.2 Tz.2).

ESG-Risiken: Konkretisierung statt Kür

Mit der Novelle konkretisieren BaFin und Bundesbank die Anforderungen an das Management von ESG-Risiken nach § 26c KWG. Der Fokus liegt auf Umwelt- und Klimarisiken; Szenarioanalysen werden ausdrücklich gefordert. Institute, die ESG bislang als qualitatives Randthema behandelt haben, müssen ihre Risikoinventur und Szenariofähigkeiten nachschärfen — hier ist die Novelle keine Erleichterung, sondern eine Präzisierung der Erwartungshaltung.

Nicht nur Entlastung: Governance und IKT

Die Anforderungen an die Interne Revision werden aus dem Besonderen Teil (BT 2) in den Allgemeinen Teil (AT 4) verschoben und damit aufgewertet. Die Revision wird stärker in die Three Lines und die Gesamtbanksteuerung eingebettet; ihre Planungs-, Prüfungs-, Überwachungs- und Berichtsaufgaben werden nun konkret geregelt und teilweise weiter ausgeführt. Was bislang aufsichtliche Erwartungshaltung war, wird verbindlicher Maßstab.

IKT-/DOR-Strategie und Abgrenzung zu DORA: Der Begriffsumfang „IT" wird im Einklang mit EBA-Leitlinien und DORA auf „IKT" erweitert; IKT-Risiken sind explizit als operationelle Risiken Teil der Risikoinventur. Gefordert werden eine eigenständige IKT-Strategie und eine DOR-Strategie (digitale operationale Resilienz), die mit der Geschäftsstrategie im Einklang stehen. Der eigentliche Umgang mit IKT-Risiken – Anforderungen, Kontrollen und Maßnahmen – wird künftig primär über DORA geregelt. Konsequenz: IKT-Auslagerungen werden aus dem Anwendungsbereich von AT 9 herausgelöst und stattdessen über DORA adressiert.

8. vs. 9. Novelle: Strukturelle Anpassungen

Während die 8. Novelle (2024) primär punktuelle Ergänzungen brachte — etwa zu ESG-Risiken und Immobiliengeschäften —, greift die 9. Novelle in die Struktur des Rundschreibens ein: Ergänzungen, Kürzungen, bessere Abgrenzung, Verschiebung von Anforderungen zwischen den Teilen, zusätzliche Größenklassen, um Proportionalität expliziter zu regeln und die Herauslösung der SIs. Kurz: Die 8. Novelle erweiterte Anforderungen, die 9. Novelle verteilt sie neu — nach Größe, Komplexität und Risikoprofil.

Was Institute jetzt tun sollten: Fahrplan bis zum 1. Januar 2027

1. Betroffenheitsanalyse (Juli–August 2026): Größenklasse bestimmen (SNCI-Kriterien nach CRR prüfen), Gap-Analyse gegen die finale Fassung.
2. Erleichterungen bewusst entscheiden (September–Oktober): Öffnungsklauseln sind Optionen, keine Automatismen. Jede genutzte Erleichterung braucht eine dokumentierte, risikoorientierte Begründung, die Prüfungsgegenstand ab 2027 wird.
3. Schriftlich fixierte Ordnung anpassen (Oktober–November): Risikohandbuch, Organisationsrichtlinien, Auslagerungs- und Validierungskonzepte auf die neue Struktur umstellen; ESG-Szenarioanalysen aufsetzen.
4. Interne Revision & Aufsichtsrat einbinden (Dezember): Umsetzungsstand revisionsfest dokumentieren.

ADVISORI unterstützt Sie bei der MaRisk-Umsetzung — von der Gap-Analyse über die Nutzung der Öffnungsklauseln bis zur prüfungssicheren Dokumentation. Vertiefend: MaRisk Ongoing Compliance und MaRisk Audit Readiness.

Häufige Fragen zur 9. MaRisk-Novelle

Wann tritt die 9. MaRisk-Novelle in Kraft?

Die finale Fassung wurde am 30. Juni 2026 veröffentlicht. Erleichterungen sind sofort anwendbar, für neue und verschärfte Anforderungen gilt eine Übergangsfrist bis zum 1. Januar 2027; die neuen und verschärften Anforderungen sind damit nicht Teil der Jahresabschlussprüfung 2026.

Was ändert sich mit der 9. MaRisk-Novelle?

Die MaRisk werden proportionaler: neue Größenklassen mit Erleichterungen für kleine und sehr kleine Institute. Änderungen betreffen weiterhin die Risikoinventur (5-%-Wesentlichkeitsschwelle), gestreckte Validierungszyklen, flexiblere Stresstests und Berichterstattung, Wegfall des verpflichtenden zentralen Auslagerungsbeauftragten sowie konkretisierte ESG-Anforderungen.

Für wen gelten die MaRisk künftig nicht mehr?

Bedeutende Institute (SIs) unter direkter EZB-Aufsicht fallen aus dem Anwendungsbereich heraus. Neu erfasst werden dagegen Drittstaatenzweigstellen nach § 53c KWG.

Was sind kleine und sehr kleine Institute?

Sehr kleine Institute haben eine Bilanzsumme von maximal 1 Mrd. € im Vier-Jahres-Durchschnitt. Kleine Institute (SNCIs) erfüllen die Kriterien des Art. 4 Abs. 1 Nr. 145 CRR, insbesondere eine Bilanzsumme bis 5 Mrd. €. Laut BaFin sind rund drei Viertel der deutschen Institute SNCIs.

Ist ein zentraler Auslagerungsbeauftragter noch Pflicht?

Nein. Die Überwachung von Auslagerungen kann künftig dezentral in den Fachbereichen erfolgen, sofern die Trennung von Kontrollfunktionen und operativem Geschäft gewahrt bleibt.

Was bedeutet die 5-Prozent-Wesentlichkeitsschwelle?

Sie gilt je einzelner Risikoart: Ein Risiko, das 5 % des Risikodeckungspotenzials nicht überschreitet, darf in der ökonomischen Perspektive als unwesentlich eingestuft werden (AT 2.2 Tz. 1). Das ist eine Obergrenze – strenger geht, großzügiger nicht. Mehrere einzeln unwesentliche Risiken, die zusammen wesentlich werden, sind in der Risikotragfähigkeit aber trotzdem angemessen zu berücksichtigen (AT 4.1 Tz. 1); eine feste 5-%-Grenze für die Summe aller unwesentlichen Risiken gibt es dagegen nicht.

Müssen SNCI-Erleichterungen genutzt werden?

Nein, Öffnungsklauseln sind Optionen. Jede genutzte Erleichterung sollte risikoorientiert begründet und dokumentiert werden, da die Aufsicht die Inanspruchnahme ab 2027 prüfen wird.

Fazit

Die 9. MaRisk-Novelle setzt die prinzipienbasierte Grundausrichtung der MaRisk nicht neu, aber erstmals wird Proportionalität über verbindliche Größenklassen mit konkret zugeordneten Öffnungsklauseln operationalisiert. Die Novelle wirkt – anders als frühere Überarbeitungen, insbesondere die 7. Novelle – nicht nur erweiternd, sondern teilweise auch entlastend. Vor allem für kleine und sehr kleine Institute kann die Entlastung spürbar sein. Diese ergibt sich aber nicht automatisch: Sie setzt voraus, dass ein Institut seine Größenklasse sauber bestimmt, die Öffnungsklauseln bewusst und risikoorientiert begründet nutzt und dies dokumentiert. Gleichzeitig bringt die Novelle punktuell zusätzliche Anforderungen, insbesondere bei ESG-Risiken, sodass „Entlastung" nicht für alle Themen und nicht für alle Institutsklassen gilt.

Quellen: BaFin, Meldung vom 30.06.2026 („MaRisk-Novelle: Mehr Proportionalität"); BaFin-Konsultation 02/2026; Aufsichts-Briefing vom 19.06.2026.