MaRisk 10.0: Begründungslogik statt Checkliste

Management Summary

Am 1. April 2026 hat die BaFin den Konsultationsentwurf der 9. MaRisk-Novelle veröffentlicht, intern als MaRisk 10.0 bezeichnet. Die Konsultation lief bis zum 8. Mai 2026; nach Auswertung der Stellungnahmen haben BaFin und Deutsche Bundesbank die Neufassung Ende Juni 2026 final veröffentlicht. Rund 20 Jahre nach Einführung der MaRisk vollzieht die Aufsicht damit eine bewusste Rückbesinnung auf die ursprüngliche, prinzipienorientierte Konzeption von 2005: weniger starre Detailvorgaben, dafür eine lückenlose, prüfbare Begründungskette für jede genutzte Erleichterung.

Die Novelle führt eine transparente, dreistufige Institutsklassifizierung ein (sehr kleine Institute, kleine Institute/SNCI, übrige LSIs) und knüpft die Proportionalität an eine Wesentlichkeitsschwelle von 5 Prozent des ökonomischen Risikodeckungspotenzials. Gleichzeitig zieht die BaFin eine klare Trennlinie zu DORA: IKT-Risiken und IKT-Drittparteienmanagement regelt künftig exklusiv DORA, die MaRisk bleiben der Governance-Rahmen für alle übrigen Themen.

Für die Praxis bedeutet das eine doppelte Aufgabe: Institute müssen einerseits die neuen Erleichterungen identifizieren und nutzen, andererseits für jede Abweichung von der Standardanforderung eine schriftliche, institutsspezifische Begründung vorhalten. Die Beweislast für die Angemessenheit liegt vollständig beim Institut, nicht bei der Aufsicht.

Die Neufassung ist mit ihrer Veröffentlichung Ende Juni 2026 unmittelbar in Kraft getreten. Für neue Einzelanforderungen, die sich aus der Novelle ergeben, gilt eine Übergangsfrist bis zum 1. Januar 2027 – bis dahin sollten Institute ihre Gap-Analyse abgeschlossen, das Rechtskataster aktualisiert und die Proportionalitätsdokumentation aufgebaut haben. Sehr kleine und kleine Institute profitieren am stärksten von den Erleichterungen; mittelgroße und große Institute stehen vor einem tiefgreifenden konzeptionellen Umbau ihrer Steuerungslogik.

Keine Checkbox-Compliance mehr

Das zentrale Leitbild der MaRisk 10.0 lautet: Freiheit durch Begründung. Institute sollen keine formalen Detailanforderungen mehr abhaken, sondern die Beweislast für die Angemessenheit ihrer gewählten Lösungen tragen.

• Urteilskompetenz als Prüfungsmaßstab: Maßgeblich ist nicht mehr das bloße Vorhandensein eines Dokuments, sondern die Qualität der Herleitung. Die Geschäftsleitung muss erklären können, warum gewählte Methoden zum spezifischen Risikoprofil passen.
• Wesentlichkeit und 5-Prozent-Schwelle: Die BaFin erkennt eine Wesentlichkeitsschwelle von 5 Prozent des ökonomischen Risikodeckungspotenzials als Orientierungsgröße an.
• Doppelte Proportionalität: Erleichterungen für kleinere Häuser sind kein Freibrief, sondern an eine erhöhte Begründungspflicht geknüpft. Je stärker von Standardanforderungen abgewichen wird, desto präziser muss die Risiko-Angemessenheit hergeleitet werden.

Die BaFin hat klargestellt, dass Aufsichtsprüfer künftig primär die Plausibilität und Konsistenz der Begründungsketten bewerten. Ein Mangel entsteht künftig weniger durch das Fehlen eines formalen Prozesses, sondern durch die Unfähigkeit des Instituts, die Angemessenheit seiner Steuerung methodisch sauber zu begründen.

Interne Governance und EBA-Leitlinien

Die Novelle dient auch der Harmonisierung mit aktualisierten europäischen Vorgaben zur internen Organisation. Dabei ist eine wichtige Besonderheit zu beachten: Die neuen EBA-Leitlinien zur internen Governance, auf die sich MaRisk 10.0 bezieht, liegen aktuell noch als Konsultationsfassung vor.

Da die finale EBA-Fassung noch aussteht, besteht eine gewisse regulatorische Unschärfe. Institute sollten ihre Governance-Anpassungen (AT 4.4.1) so flexibel gestalten, dass spätere Feinjustierungen aus dem finalen EU-Papier ohne kompletten Prozessumbau integriert werden können. Es zeichnet sich ab, dass die EBA den Fokus verstärkt auf Diversität in Leitungsorganen, die kollektive Eignung des Vorstands und eine tiefere Verankerung von Nachhaltigkeitsaspekten in der Aufbauorganisation legt.

Geschäftsleiter: Verantwortung und Haftung unter MaRisk 10.0

Als Geschäftsleiter tragen Sie die Letztverantwortung für Risikokultur und Governance. Mit der 9. MaRisk-Novelle überführt die BaFin die seit der Aufsichtsmitteilung vom 26. November 2024 gelebten Erleichterungen in verbindliches Recht. Der Paradigmenwechsel ist damit final: weg von der Checkbox-Compliance, hin zur geforderten Urteilskompetenz. Sie müssen nicht mehr nur Regelkonformität nachweisen, sondern die Angemessenheit Ihrer Proportionalitätsentscheidungen aktiv und prüfungssicher begründen.

• Beweislastumkehr: Eigenverantwortliche Herleitung jeder genutzten Öffnungsklausel, insbesondere für SNCI.
• Methodische Begründungspflicht: Nachweis der Angemessenheit von Wesentlichkeitsschwellen (5-%-RDP-Hürde) und ICAAP-Modellen.
• ESG-Resilienz: Verantwortung für die Implementierung der neuen 10-Jahres-Szenarioanalysen nach EBA/GL/2025/04.
• DORA-Demarkation: Überwachung der strikten Trennung zwischen IKT-Risiken und allgemeiner MaRisk-Governance (AT 7.2/AT 9).
• Haftungsschutz: Vermeidung von Organisationsverschulden nach § 25a KWG durch eine lückenlose Proportionalitäts-Dokumentation.
• Risikokultur: Verankerung der Begründungslogik als zentrales Steuerungselement in allen Fachbereichen.

Kleine Institute / SNCI (1–5 Mrd. EUR Bilanzsumme)

Umsetzungsaufwand: moderat. Er fällt vor allem für eine Gap-Analyse an, die die heutige MaRisk-Implementation an die Proportionalitätslogik anpasst, idealerweise pro AT-/BT-Modul, ergänzt um überarbeitete Handbücher, Prozessbeschreibungen und Richtlinien sowie Schulungen zur Prinzipienlogik.

• Risikomanagement: Wesentliche Risiken stehen im Fokus; unwesentliche dürfen pauschal behandelt werden, sofern sie kumuliert kein wesentliches Risiko ergeben.
• Stresstests: Drei bis fünf pro Jahr; inverse Stresstests dürfen auf qualitative Analysen beschränkt werden oder entfallen; Nutzung standardisierter Verbundszenarien möglich.
• Modellvalidierung: Bei Verbundlösungen oder Branchenpools muss die Vergleichbarkeit mit dem eigenen Portfolio geprüft werden; die Dokumentation fällt deutlich schlanker aus als bei Eigenentwicklungen.
• ESG-Integration: Systematisch und risikoorientiert, aber ohne übermäßigen Formalisierungsgrad.
• CRD VI/DORA-Umsetzung: MaRisk-Strukturen geben den Referenzrahmen vor, IT-Governance und Auslagerungsdokumentation sind an DORA anzupassen.

Besonderheit: Verbundinstitute

Zentrale fachliche und technische Verbundanbieter müssen sich weiterhin dem vollen MaRisk-Umfang unterwerfen, weil viele ihrer Mitgliedsinstitute die SNCI-Kriterien nicht erfüllen. Einzelne Verbundinstitute profitieren deshalb womöglich nur begrenzt von den Erleichterungen, wenn sie auf standardisierte Verbundlösungen zurückgreifen wollen.

Gap-Analyse und Rechtskataster

Die Gap-Analyse ist der zentrale Startpunkt der Vorbereitung. Sie sollte idealerweise pro AT- und BT-Modul erfolgen und folgende Fragen beantworten:

• Welche bestehenden Prozesse und Dokumentationen entsprechen bereits der Prinzipienlogik?
• Wo bestehen unnötige Detailvorgaben, die verschlankt werden können?
• Welche Proportionalitätserleichterungen kommen für unser Institut in Frage?
• Wie müssen Begründungsketten dokumentiert werden, um prüfungssicher zu sein?
• Welche Schnittstellen zu DORA, ESG-Regelwerk und CRD VI sind zu berücksichtigen?

Parallel sollten alle neuen und geänderten Anforderungen systematisch im institutseigenen Rechtskataster erfasst werden, um Compliance-Lücken zu vermeiden und Umsetzungsverantwortlichkeiten klar zuzuordnen.

Proportionalitätsdokumentation

Ein zentraler Erfolgsfaktor für die Nutzung von Erleichterungen ist die prüfungssichere Dokumentation der Proportionalitätsentscheidungen. Sie sollte enthalten:

• Beschreibung des Instituts: Größe, Komplexität, Geschäftsmodell, Risikostruktur.
• Auflistung der in Anspruch genommenen Erleichterungen pro AT-/BT-Modul.
• Begründung, warum jede Erleichterung für das Institut angemessen ist.
• Nachweis, dass Steuerungsfähigkeit und Risikotragfähigkeit trotz Vereinfachung gewahrt bleiben.
• Eskalationsmechanismen für den Fall, dass sich das Risikoprofil ändert und Erleichterungen nicht mehr angemessen sind.

Die BaFin hat ausdrücklich vorbehalten, gewährte Erleichterungen für kleinere Institute auf den Prüfstand zu stellen, sollte sich deren Risikolage im Durchschnitt erheblich verschlechtern. Proportionalität ist kein Freifahrtschein, sondern erfordert begründete Eigenverantwortung.

Kritische Erfolgsfaktoren

1. Frühzeitige und systematische Vorbereitung: Gap-Analyse, Rechtskataster und DORA-Readiness sollten nicht auf den finalen Entwurf warten.
2. Prüfungssichere Begründungsketten mit klarer Argumentation, warum gewählte Ansätze angemessen sind.
3. Fachbereichsübergreifendes Change Management: Prinzipienorientierung muss institutsweit verstanden und gelebt werden.
4. Klare DORA-MaRisk-Trennung zwischen IKT-Drittparteien und sonstigen Auslagerungen.
5. Kontinuierliches Monitoring, ob Proportionalitätsentscheidungen noch zum aktuellen Risikoprofil passen.
6. Aktive Konsultationsbeteiligung, um praktische Erfahrungen in praxisgerechte Regelungen einfließen zu lassen.