9. MaRisk-Novelle 2026: Was sich für Banken jetzt ändert

Regulatorik · Risikomanagement · BaFin

Die 9. MaRisk-Novelle ist die am 30. Juni 2026 veröffentlichte Überarbeitung der Mindestanforderungen an das Risikomanagement. Die neue MaRisk bleibt prinzipienbasiert, stärkt die Proportionalität und entlastet vor allem kleine und sehr kleine Institute. Die Übergangsfrist für neue und verschärfte Anforderungen läuft bis zum 1. Januar 2027, Erleichterungen sind sofort anwendbar.

In 2 Minuten verstanden

- Was ist neu? Drei verbindliche Größenklassen (sehr kleine, kleine/SNCI, sonstige LSIs) mit klassenspezifischen Öffnungsklauseln. Das Rundschreiben wurde von 122 auf rund 80 Seiten gekürzt.
- Wer profitiert? Nach BaFin-Einschätzung schaffen die neuen Größenklassen für 80 bis 85 Prozent der Institute Erleichterungen. Rund 950 Institute (etwa drei Viertel der deutschen Kreditinstitute) fallen unter die SNCI-Definition.
- Wer fällt heraus? Bedeutende Institute (SIs) unter direkter EZB-Aufsicht. Neu erfasst: Drittstaatenzweigstellen nach § 53c KWG.
- Bis wann? Erleichterungen sofort; für zusätzliche Anforderungen gilt die Übergangsfrist bis 1. Januar 2027. Die Frist ist keine pauschale Aussetzung bestehender Pflichten oder ihrer Prüfung.
- Der Haken: Öffnungsklauseln sind Optionen. Voraussetzungen und Angemessenheit sind institutsspezifisch zu prüfen. Eine knappe Entscheidungsdokumentation kann dabei helfen; ein eigenes umfangreiches Gutachten für jede Erleichterung ist kein pauschales Standarderfordernis.

Die BaFin selbst spricht von einem „Vertrauensvorschuss" für die Institute: weniger Detailvorgaben, mehr Eigenverantwortung. Nach Einschätzung der BaFin profitiert der überwiegende Teil der deutschen Kreditinstitute von den neuen Erleichterungen.

In diesem Beitrag finden Sie die wichtigsten Änderungen der 9. Novelle und einen konkreten Umsetzungsfahrplan.

Dieser Beitrag bezieht sich auf die finale Fassung (Rundschreiben 06/2026). Eine ausführliche Analyse des vorherigen Konsultationsentwurfs inklusive CRD-VI-Bezug und der umgesetzten EBA-Leitlinien finden Sie in unserem Beitrag MaRisk, CRD VI und EBA Guidelines: Was der MaRisk-Entwurf für das Risikomanagement konkret bedeutet.

Zeitplan: Von der Konsultation bis zum Inkrafttreten

• 26.11.2024 — Aufsichtsmitteilung mit ersten SNCI-Erleichterungen (Vorläufer)
• 01.04.2026 — BaFin veröffentlicht den Entwurf zur Konsultation (Konsultation 02/2026)
• 19.06.2026 — Digitales Aufsichts-Briefing: finale Inhalte werden vorgestellt
• 30.06.2026 — Veröffentlichung der finalen 9. MaRisk-Novelle
• 01.01.2027 — Ende der Übergangsfrist: Neue und verschärfte Regelungen sind anzuwenden

Die Neufassung gilt seit dem 30. Juni 2026. Das Übersendungsschreiben gewährt für zusätzliche Anforderungen in Einzelfällen eine Übergangsfrist bis zum 1. Januar 2027. Auch organisatorische Anpassungen an einzelne Klarstellungen zur Aufsichtsmitteilung vom 26. November 2024 können darunter fallen, wenn die bisherige abweichende Auslegung dokumentiert wurde. Bestehende Anforderungen bleiben zu beachten.

Die wichtigsten Änderungen im Überblick

Die 9. Novelle ist die umfangreichste Überarbeitung der MaRisk seit der 7. Novelle. Die Kernpunkte:

1. Neuer Anwendungsbereich: Direkt von der EZB beaufsichtigte Institute (SIs) fallen heraus; Drittstaatenzweigstellen kommen hinzu.
2. Neue Größenklassen: Ausdifferenzierung der weniger bedeutenden Instituten (LSIs) in „sehr kleine", „kleine" (SNCI) und „sonstige" Institute mit klassenspezifischen Erleichterungen.
3. Risikoinventur & Risikotragfähigkeit: Wesentlichkeitsschwelle und Streckung von Validierungszyklen.
4. Stresstests: Erleichterungen für kleine Institute und sehr kleine Institute.
5. Risikoberichterstattung: Mehr Flexibilität bei Turnus und Ausgestaltung vor allem für kleine Institute.
6. ESG-Risiken: Konkretisierung der Anforderungen mit Fokus auf Umwelt- und Klimarisiken sowie Szenarioanalysen.
7. Auslagerung: Der zentrale Auslagerungsbeauftragte ist nicht mehr verpflichtend.
8. Kreditgeschäft: Sowohl zusätzliche Anforderungen als auch punktuell Vereinfachungspotenzial.
9. Europäische Integration: Umsetzung von CRD VI soweit auslegungsbedürftig und nicht bereits abschließend im KWG geregelt und EBA-Leitlinien; Abgrenzung zu DORA.

Anwendungsbereich: SIs raus, Drittstaatenzweigstellen rein

Die auffälligste strukturelle Änderung: Bedeutende Institute unter direkter EZB-Aufsicht unterliegen den MaRisk künftig nicht mehr. Konsequent, denn die MaRisk sind normeninterpretierende Verwaltungsvorschriften der BaFin zu § 25a KWG und binden die EZB nicht. Offen bleibt, inwieweit SIs (und ihre Abschlussprüfer) einzelne MaRisk-Module wie die Anforderungen an Handelsprozesse freiwillig weiter anwenden.

Neu in den Anwendungsbereich rücken Drittstaatenzweigstellen im Sinne des § 53c KWG — die folgerichtige Ergänzung zu den neuen KWG-Anforderungen aus dem Bankenrichtlinienumsetzungs- und Bürokratieentlastungsgesetz (BRUBEG) zur CRD VI.

Neue Größenklassen: Wer gilt als kleines oder sehr kleines Institut?

Sehr kleine Institute

• Kriterium: Bilanzsumme höchstens 1 Mrd. Euro im Vierjahresdurchschnitt. Für Factoringinstitute gilt zusätzlich eine Grenze von 5 Mrd. Euro jährlichem Forderungsankaufsvolumen im Vierjahresdurchschnitt (AT 1 Tz. 3).
• Erleichterungen: Sehr kleine Institute können auch die Erleichterungen für kleine Institute nutzen, ohne die SNCI-Kriterien zu erfüllen. Die Voraussetzungen der jeweiligen Regelung bleiben maßgeblich.

Kleine Institute (SNCI)

• Kriterium: SNCI-Kriterien nach Art. 4 Abs. 1 Nr. 145 CRR, insbesondere Bilanzsumme ≤ 5 Mrd. €
• Erleichterungen: Validierung, Stresstests, Funktionstrennung, Auslagerung, Kreditgeschäft und Reporting

Sonstige LSIs

• Alle übrigen weniger bedeutenden Institute — allgemeine Proportionalitäts- und Öffnungsklauseln

Nach BaFin-Schätzung sind rund drei Viertel der deutschen Kreditinstitute SNCIs, die Neuregelegung der Proportionalität in der Novelle ist dementsprechend für die Breite des Marktes relevant, nicht nur für Nischen.

Erleichterungen im Detail

Validierung und Risikotragfähigkeit: Für Methoden, Verfahren und Parameter der Risikotragfähigkeit verlangt AT 4.1 Tz. 9 eine Initialvalidierung vor Einsatz sowie Folgevalidierungen mindestens alle drei Jahre und anlassbezogen. Bei komplexen Methoden erfolgt die Validierung unabhängig von der Entwicklung; kleine Institute können auf diese Trennung verzichten. Der Dreijahresturnus ist keine pauschale Frist für sämtliche Modelle: Weitere modell- und verfahrensbezogene Anforderungen bleiben zu prüfen. Die 5-%-Schwelle nach AT 2.2 Tz. 1 betrifft die einzelne Risikoart; zusammen wesentliche Risiken sind nach AT 4.1 Tz. 1 angemessen zu berücksichtigen.

Auslagerung: Ein zentraler Auslagerungsbeauftragter ist nicht mehr ausdrücklich vorgeschrieben. Zentrales Auslagerungsmanagement einschließlich Auslagerungsregister bleibt nach AT 9 Tz. 12 erforderlich. Die vollständige Auslagerung von Risikocontrolling, Compliance oder Interner Revision ist für bestimmte unwesentliche Tochterinstitute innerhalb von Gruppen möglich. Für sehr kleine Institute eröffnet AT 9 Tz. 5 zusätzlich die vollständige Auslagerung von Compliance oder Interner Revision; diese zusätzliche Möglichkeit erfasst nicht pauschal das Risikocontrolling.

Stresstests und Reporting: Die Erleichterungen nach AT 4.3.3 sind an Bedingungen gebunden: Bei kleinen Instituten reicht regelmäßig ein schweres Abschwung- oder vergleichbares Stagflationsszenario auf Gesamtbankebene, wenn es alle wesentlichen Risiken negativ auslenkt; inverse Stresstests können entfallen. Sehr kleine Institute dürfen auf risikoartenspezifische Tests verzichten, sofern die betreffenden Risiken im Gesamtstresstest negativ beeinflusst werden. Kleine Institute können qualitative Ansätze für Umweltrisiken nutzen. Auch Erleichterungen der Berichterstattung nach BT 2.2 Tz. 1 sind im jeweiligen Risikokontext anzuwenden.

Kreditgeschäft: Die Neufassung eröffnet insbesondere bei Sicherheitenbewertungsprozessen Vereinfachungsspielräume (BTO 1.2 Tz.2).

ESG-Risiken: Konkretisierung statt Kür

Mit der Novelle konkretisieren BaFin und Bundesbank die Anforderungen an das Management von ESG-Risiken nach § 26c KWG. Der Fokus liegt auf Umwelt- und Klimarisiken; Szenarioanalysen werden ausdrücklich gefordert. Institute, die ESG bislang als qualitatives Randthema behandelt haben, müssen ihre Risikoinventur und Szenariofähigkeiten nachschärfen — hier ist die Novelle keine Erleichterung, sondern eine Präzisierung der Erwartungshaltung.

Nicht nur Entlastung: Governance und IKT

Die Anforderungen an die Interne Revision werden in AT 4.4.3 gebündelt. Die Verlagerung aus dem bisherigen BT 2 bedeutet für sich genommen nicht, dass zuvor unverbindliche Erwartungen erstmals verbindlich würden. Für die Umsetzung sind die einzelnen Änderungen, Zuständigkeiten und Berichtspflichten gegen die bisherige Regelung abzugleichen.

IKT-/DOR-Strategie und Abgrenzung zu DORA: Nach AT 4.2 Tz. 2 legt die Geschäftsleitung eine mit der Geschäftsstrategie konsistente IKT-Strategie fest. Besteht eine Pflicht zur DOR-Strategie, dürfen beide Strategien abhängig von Größe und Gesamtrisikoprofil in einem gemeinsamen Dokument stehen; dies gilt auch für IKT- und Geschäftsstrategie. AT 9 nimmt diejenigen ausgelagerten oder fremdbezogenen IKT-Dienstleistungen aus, die unter Art. 3 Nr. 21 sowie das Drittparteienrisikomanagement nach Art. 28 bis 30 DORA fallen. Andere Auslagerungen sind weiterhin gesondert zu beurteilen.

8. vs. 9. Novelle: Strukturelle Anpassungen

Die 8. Novelle vom 29. Mai 2024 setzte insbesondere die EBA-Leitlinien zu Zinsänderungs- und Kreditspreadrisiken im Anlagebuch um. Die 9. Novelle vom 30. Juni 2026 verändert darüber hinaus Anwendungsbereich, Größenklassen und Struktur und stärkt die proportionale Anwendung. Bestehende Verfahren werden durch die Straffung nicht automatisch unzulässig; die 9. Novelle verteilt sie neu — nach Größe, Komplexität und Risikoprofil.

Was Institute jetzt tun sollten: Fahrplan bis zum 1. Januar 2027

1. Betroffenheitsanalyse zuerst: Größenklasse bestimmen (SNCI-Kriterien nach CRR prüfen), Gap-Analyse gegen die finale Fassung.
2. Erleichterungen bewusst entscheiden (September–Oktober): Für jede in Betracht kommende Erleichterung Voraussetzungen, Risikoprofil und Entscheidung prüfen. Als Arbeitshilfe genügt eine der Bedeutung angemessene, nachvollziehbare Dokumentation; der Umfang richtet sich nach dem Einzelfall.
3. Schriftlich fixierte Ordnung anpassen (Oktober–November): Risikohandbuch, Organisationsrichtlinien, Auslagerungs- und Validierungskonzepte auf die neue Struktur umstellen; ESG-Szenarioanalysen aufsetzen.
4. Interne Revision und Aufsichtsorgan frühzeitig einbinden: Rollen, Berichtswege und Umsetzungsnachweise von Beginn an festlegen. Die Interne Revision kann begleiten und unabhängig prüfen; die Verantwortung für Entscheidungen und Umsetzung bleibt bei Geschäftsleitung und zuständigen Fachbereichen.

ADVISORI unterstützt Sie bei der MaRisk-Umsetzung, von der Gap-Analyse über die Bewertung von Öffnungsklauseln bis zur nachvollziehbaren Umsetzungsdokumentation. Vertiefend: MaRisk Ongoing Compliance und MaRisk Audit Readiness.

Umsetzung konkret: eine Entscheidung statt einer pauschalen Checkliste

Fiktives Arbeitsbeispiel, keine Kundenreferenz: Ein als klein eingestuftes Institut möchte den Turnus für Folgevalidierungen seiner Risikotragfähigkeitsverfahren ändern. Vor einer Entscheidung prüft es den tatsächlichen Anwendungsbereich von AT 4.1 Tz. 9, letzte Validierungsergebnisse, Modelländerungen und auffällige Daten oder Ergebnisse. Ein ruhiger Kalender allein begründet keinen längeren Turnus.

Eine nutzbare Entscheidungsnotiz kann fünf Angaben verbinden: betroffene Methode und Regelungsstelle; Ausgangsbefund und offene Mängel; Entscheidung mit Risikobegründung; verantwortliche Rolle und nächster Prüftermin; Ereignisse, die eine frühere Validierung auslösen. Der Dreijahresabstand ist eine Obergrenze für die regelmäßige Folgevalidierung in diesem Anwendungsbereich, keine Befreiung von anlassbezogenen Prüfungen.

Damit wird aus „Erleichterung genutzt“ eine überprüfbare Entscheidung. Die konkrete Ausgestaltung und Dokumentation muss zum Institut passen; das Beispiel ersetzt weder eine vollständige Gap-Analyse noch eine unabhängige Prüfung.

Welche Unterstützung passt zu Ihrem Umsetzungsstand?

Ist die Betroffenheit noch unklar, beginnen Sie mit der Abgrenzung von Institutsklasse, betroffenen Modulen und vorhandenen Nachweisen. Stehen die Lücken fest, sollte ein Auftrag konkrete Arbeitsergebnisse wie eine priorisierte Maßnahmenliste, angepasste Regelungen und nachvollziehbare Entscheidungsunterlagen abgrenzen. Vor einem Prüfungsanlass ist zusätzlich die Vollständigkeit und Nachvollziehbarkeit der vorhandenen Nachweise zu betrachten.

Für die Auswahl einer Beratung helfen Fragen nach vergleichbaren Instituten, den tatsächlich eingesetzten Fachpersonen, der Abgrenzung zu Revision und Abschlussprüfung sowie den vereinbarten Ergebnissen. Aufwand und Kosten hängen insbesondere von Modulumfang, Daten- und Dokumentationsstand, offenen Feststellungen und benötigter Umsetzungsbegleitung ab. Ein erfolgreicher Prüfungsabschluss lässt sich daraus nicht garantieren.

Für eine erste Anfrage an ADVISORI reichen zunächst Institutstyp, relevante Themen, aktueller Umsetzungsstand und gewünschter Zeithorizont. Vertrauliche Prüfberichte oder Kundendaten müssen dafür nicht übermittelt werden. Den konkreten Leistungsumfang und benötigte Unterlagen klären Sie anschließend mit dem Beratungsteam über die verlinkte MaRisk-Beratung.

Primärquellen zum Abgleich: finale MaRisk-Fassung und Übersendungsschreiben vom 30. Juni 2026 bei der Deutschen Bundesbank.

Häufige Fragen zur 9. MaRisk-Novelle

Wann tritt die 9. MaRisk-Novelle in Kraft?

Die finale Fassung gilt seit ihrer Veröffentlichung am 30. Juni 2026. Für zusätzliche Anforderungen in Einzelfällen gewährt das Übersendungsschreiben eine Übergangsfrist bis zum 1. Januar 2027. Erleichterungen können bereits genutzt werden, wenn die jeweiligen Voraussetzungen vorliegen. Die Frist setzt bestehende Pflichten und Prüfungen nicht pauschal aus.

Was ändert sich mit der 9. MaRisk-Novelle?

Die MaRisk werden proportionaler: neue Größenklassen mit Erleichterungen für kleine und sehr kleine Institute. Änderungen betreffen weiterhin die Risikoinventur (5-%-Wesentlichkeitsschwelle), gestreckte Validierungszyklen, flexiblere Stresstests und Berichterstattung, Wegfall des verpflichtenden zentralen Auslagerungsbeauftragten sowie konkretisierte ESG-Anforderungen.

Für wen gelten die MaRisk künftig nicht mehr?

Bedeutende Institute (SIs) unter direkter EZB-Aufsicht fallen aus dem Anwendungsbereich heraus. Neu erfasst werden dagegen Drittstaatenzweigstellen nach § 53c KWG.

Was sind kleine und sehr kleine Institute?

Sehr kleine Institute haben eine Bilanzsumme von maximal 1 Mrd. € im Vier-Jahres-Durchschnitt. Kleine Institute (SNCIs) erfüllen die Kriterien des Art. 4 Abs. 1 Nr. 145 CRR, insbesondere eine Bilanzsumme bis 5 Mrd. €. Laut BaFin sind rund drei Viertel der deutschen Institute SNCIs.

Ist ein zentraler Auslagerungsbeauftragter noch Pflicht?

Ein gesonderter zentraler Auslagerungsbeauftragter ist nicht mehr ausdrücklich vorgeschrieben. Nach AT 9 Tz. 12 ist jedoch weiterhin ein der Auslagerungstätigkeit angemessenes zentrales Auslagerungsmanagement einzurichten, einschließlich Dokumentation und Auslagerungsregister. Dezentrale Überwachungsaufgaben ersetzen diese Anforderung nicht automatisch.

Was bedeutet die 5-Prozent-Wesentlichkeitsschwelle?

Sie gilt je einzelner Risikoart: Ein Risiko, das 5 % des Risikodeckungspotenzials nicht überschreitet, darf in der ökonomischen Perspektive als unwesentlich eingestuft werden (AT 2.2 Tz. 1). Das ist eine Obergrenze – strenger geht, großzügiger nicht. Mehrere einzeln unwesentliche Risiken, die zusammen wesentlich werden, sind in der Risikotragfähigkeit aber trotzdem angemessen zu berücksichtigen (AT 4.1 Tz. 1); eine feste 5-%-Grenze für die Summe aller unwesentlichen Risiken gibt es dagegen nicht.

Müssen SNCI-Erleichterungen genutzt werden?

Nein. Die Nutzung ist eine institutsspezifische Entscheidung. Die Voraussetzungen und die Angemessenheit müssen nachvollziehbar sein. Unsere Empfehlung ist eine kurze Entscheidungsnotiz mit Regelungsbezug, Risikoeinschätzung, Verantwortlichem und Überprüfungsanlass; dies ist eine Arbeitshilfe und kein für jeden Fall vorgeschriebenes Formular.

Fazit

Die 9. MaRisk-Novelle setzt die prinzipienbasierte Grundausrichtung der MaRisk nicht neu, aber erstmals wird Proportionalität über verbindliche Größenklassen mit konkret zugeordneten Öffnungsklauseln operationalisiert. Die Novelle wirkt – anders als frühere Überarbeitungen, insbesondere die 7. Novelle – nicht nur erweiternd, sondern teilweise auch entlastend. Vor allem für kleine und sehr kleine Institute kann die Entlastung spürbar sein. Diese ergibt sich aber nicht automatisch: Sie setzt voraus, dass ein Institut seine Größenklasse sauber bestimmt, die Öffnungsklauseln bewusst und risikoorientiert begründet nutzt und dies dokumentiert. Gleichzeitig bringt die Novelle punktuell zusätzliche Anforderungen, insbesondere bei ESG-Risiken, sodass „Entlastung" nicht für alle Themen und nicht für alle Institutsklassen gilt.

Quellen: BaFin, Meldung vom 30.06.2026 („MaRisk-Novelle: Mehr Proportionalität"); BaFin-Konsultation 02/2026; Aufsichts-Briefing vom 19.06.2026.