Von der Detailvorgabe zur Prinzipienorientierung

Mit dem am 1. April 2026 veröffentlichten Konsultationsentwurf der 9. MaRisk-Novelle (MaRisk 10.0) vollzieht die BaFin eine bewusste Rückbesinnung auf die ursprüngliche Konzeption aus dem Jahr 2005. Das Ziel ist eine qualitativ hochwertige, risikoadäquate Steuerung auf Basis fundierter Eigenverantwortung statt formaler Regelerfüllung. Die Aufsicht verfolgt dabei zwei strategische Hauptziele:

Ziel 1: Radikale Reduktion der Komplexität

Die MaRisk wurden grundlegend entschlackt, um die Lesbarkeit zu erhöhen und administrative Lasten abzubauen. Dies wird erreicht durch:

• Streichung von Redundanzen: Verzicht auf die Wiederholung gesetzlicher Vorgaben (z. B. aus dem KWG) und allgemeiner Management-Plattitüden.

• Fokussierung der Verweise: Deutliche Reduktion dynamischer Verweise auf europäische Leitlinien. Die MaRisk sollen wieder als „Stand-alone“-Rahmenwerk für LSIs funktionieren.

• Erweiterung der Ermessensspielräume: Weniger granulare „Muss-Vorschriften“ zugunsten von zielorientierten Grundsätzen.

Ziel 2: Transparente Proportionalität durch neue Klassifizierung

Die Novelle beendet die Unsicherheit bei der Anwendung von Öffnungsklauseln durch eine klare, dreistufige Institutsklassifizierung:

1. Sehr kleine Institute (bis 1 Mrd. € Bilanzsumme): Weitgehende Befreiung von komplexen Dokumentationspflichten (z. B. Entfall inverser Stresstests).

2. Kleine Institute (SNCIs gemäß CRR): Deutliche Erleichterungen bei gleichzeitigem Fokus auf eine modulbezogene Angemessenheitsprüfung.

3. Übrige LSIs: Anwendung des prinzipienbasierten Vollumfangs unter Berücksichtigung der individuellen Risikostruktur. Hinweis: Bedeutende Institute (SIs) unter direkter EZB-Aufsicht wurden offiziell aus dem Anwendungsbereich herausgenommen.

Keine Checkbox-Compliance – Die prüfbare Begründungskette zählt

Das zentrale Leitbild der MaRisk 10.0 lautet: Freiheit durch Begründung. Institute sollen keine formalen Detailanforderungen mehr „abhaken“, sondern die Beweislast für die Angemessenheit ihrer gewählten Lösungen tragen. Dies bedeutet konkret:

• Urteilskompetenz als Prüfungsmaßstab: Maßgeblich ist nicht mehr das bloße Vorhandensein eines Dokuments, sondern die Qualität der Herleitung. Die Geschäftsleitung muss erklären können, warum gewählte Methoden (z. B. beim Risikotragfähigkeitskonzept) zum spezifischen Risikoprofil passen.

• Wesentlichkeit & 5 %-Schwelle: Die BaFin erkennt nun offiziell eine Wesentlichkeitsschwelle von 5 % des ökonomischen Risikodeckungspotenzials (RDP) als Orientierungsgröße an. Wer Risiken unterhalb dieser Schwelle pauschal behandelt, muss lediglich sicherstellen (und dokumentieren), dass keine gefährlichen Kumulationseffekte entstehen.

• Doppelte Proportionalität: Die Erleichterungen für kleinere Häuser sind kein „Freibrief“, sondern an eine erhöhte Begründungspflicht geknüpft. Je stärker von den Standardanforderungen abgewichen wird, desto präziser muss die Risiko-Angemessenheit im Rahmen der Risikoinventur hergeleitet werden.

Konsequenz für die Prüfungspraxis: Die BaFin hat klargestellt, dass Aufsichtsprüfer künftig primär die Plausibilität und Konsistenz der Begründungsketten bewerten. Ein „Mangel“ entsteht künftig weniger durch das Fehlen eines formalen Prozesses, sondern durch die Unfähigkeit des Instituts, die Angemessenheit seiner Steuerung methodisch sauber zu begründen.

Was Sie jetzt tun sollten (Umsetzungsempfehlung):

Überprüfen Sie Ihre bestehenden Organisationsrichtlinien (SfO). Überall dort, wo Sie Öffnungsklauseln nutzen, sollte bereits jetzt eine „Proportionalitäts-Akte“ angelegt werden. Diese dokumentiert pro AT- und BT-Modul die fachliche Herleitung, warum die gewählte Vereinfachung angesichts Ihres Geschäftsmodells risikoadäquat ist.

Strategischer Hinweis: Dieser Paradigmenwechsel bietet die Chance, das Risikomanagement von einem „Cost-Center“ zu einem agilen Steuerungsinstrument umzubauen. Die gewonnene Freiheit in der Methodenwahl reduziert den administrativen Overhead spürbar, sofern die Dokumentationslogik einmalig sauber aufgesetzt wurde.

Mächtiges Werkzeug mit Kumulationsvorbehalt

Die 9. MaRisk-Novelle führt mit der quantitativen Orientierungsgröße von 5 % des Risikodeckungspotenzials (RDP) in der ökonomischen Perspektive (AT 2.2) ein klares Instrument zur Wesentlichkeitsbeurteilung ein. Dies ist ein entscheidendes Signal für die Proportionalität, da es Instituten ermöglicht, Ressourcen gezielt auf die „echten“ Risikotreiber zu fokussieren.

Doch Vorsicht: Die BaFin stellt in ihrem Konsultationsentwurf klar, dass dieser Schwellenwert kein automatischer „Freibrief“ für eine Vernachlässigung kleinerer Risiken ist. Die Anwendung ist an zwei strikte Bedingungen geknüpft:

1. Der Kumulationsvorbehalt

Die Aufsicht wird ihr Augenmerk in künftigen Prüfungen verstärkt auf sogenannte Aggregationseffekte richten. Institute müssen proaktiv nachweisen können, dass die Summe zahlreicher als „unwesentlich“ eingestufter Einzelrisiken in der Aggregation:

• nicht doch eine Gefährdung für die Risikotragfähigkeit darstellt,

• keine systemischen Risiken maskiert und

• nicht durch gemeinsame Risikofaktoren (z. B. ESG-Treiber) zeitgleich schlagend werden kann.

2. Die präzise Überwachung von „Summenrisiken“

Die neue Begründungslogik verlangt eine ganzheitliche Sicht. Wer Risiken unterhalb der 5-%-Schwelle vereinfacht behandelt (z. B. durch pauschale Puffer oder Säule-1-Plus-Ansätze), unterliegt einer erhöhten Dokumentationspflicht im Rahmen der Risikoinventur.

• Aktion: Es muss dokumentiert werden, wie das Institut sicherstellt, dass diese „unwesentlichen“ Risiken laufend überwacht werden, um einen unbemerkten Anstieg über die Wesentlichkeitsschwelle zu verhindern.

Praxistipp für die Umsetzung:

Führen Sie in Ihrer Risikoinventur eine „Schattenrechnung der Unwesentlichen“ ein. Listen Sie alle Risiken auf, die unter die 5-%-Regel fallen, und bilden Sie deren Summe. Übersteigt diese Gesamtsumme einen institutsindividuellen kritischen Wert (z. B. 15 % oder 20 % des RDP), ist eine detailliertere Analyse zwingend erforderlich, auch wenn jedes Einzelrisiko für sich genommen „klein“ bleibt.

Fazit: Die 5-%-Hürde ist ein mächtiges Instrument zur Prozessverschlankung. Sie funktioniert jedoch nur dann prüfungssicher, wenn die Begründungskette die Nicht-Wesentlichkeit nicht nur behauptet, sondern durch eine saubere Analyse der Interdependenzen und Kumulationen belegt.

DORA: Die regulatorische Demarkationslinie

Ein Kernstück der 9. MaRisk-Novelle (MaRisk 10.0) ist die finale Demarkationslinie zwischen den nationalen Anforderungen und dem europäischen DORA (Digital Operational Resilience Act). Ziel der Aufsicht ist die strikte Vermeidung von Doppelregulierung und der Aufbau eines "Single Rulebooks".

DORA-Zuständigkeit (Exklusivität)

Der Konsultationsentwurf 2026 stellt klar: IKT-Risiken unterliegen ab sofort exklusiv der DORA-Logik. Dies umfasst:

• IKT-Drittparteienrisikomanagement: Die Überwachung von IT-Dienstleistern folgt rein den DORA-Vorgaben.

• Digitale Resilienz-Tests: Inklusive der Durchführung von TLPT für bedeutende Institute.

• Meldewesen: Einheitliche Wege für schwerwiegende IKT-Vorfälle.

MaRisk-Zuständigkeit (Governance-Rahmen)

Die MaRisk bleiben der zentrale nationale Anker für Nicht-IKT-Themen und die übergeordnete Steuerung:

• Sonstige Auslagerungen: Strategische Steuerung von Dienstleistern in Bereichen wie Kreditbearbeitung, Wertpapierabwicklung oder Facility Management (AT 9).

• Allgemeines Notfallmanagement: Übergeordnete Strategien (AT 7.3), die über die reine IT-Wiederherstellung hinausgehen.

• Übergreifende Governance: Die Letztverantwortung der Geschäftsleitung für das Gesamtrisikoprofil des Instituts.

Anpassungen in AT 7.2, AT 7.3 und AT 9

Die BaFin hat die Module AT 7.2 (IKT) und AT 9 (Auslagerungen) im Entwurf 2026 radikal entschlackt. Die MaRisk enthalten hier fast nur noch dynamische Verweise auf DORA.

• Praktische Konsequenz: Institute müssen ihr Auslagerungsregister in zwei Stränge teilen. Während für IKT-Dienstleister die spezifischen DORA-Mindestklauseln zwingend sind, gilt für sonstige Dienstleister weiterhin die klassische MaRisk-/EBA-Logik.

ESG-Risiken: Von der Integration zur Resilienzanalyse

Während die vorangegangenen Novellen ESG-Risiken primär als "Risikotreiber" einführten, harmonisiert die 9. Novelle die Anforderungen nun mit den neuesten EBA-Leitlinien zur Umwelt-Szenarioanalyse (EBA/GL/2025/04).

Die BaFin präzisiert im Entwurf:

• 10-Jahres-Horizont: Institute müssen nun zwingend Resilienzanalysen über einen Zeitraum von mindestens 10 Jahren durchführen, um langfristige physikalische und transitorische Klimarisiken abzubilden.

• Methoden-Mix: Gefordert wird ein Mix aus portfolio-, sektor- und szenariobezogenen Methoden. Ein reines Abstellen auf historische Daten wird als unzureichend abgelehnt.

• Proportionalität für SNCI: Für kleine Institute (SNCI) und sehr kleine Institute stellt die BaFin klar, dass qualitative Ansätze ausreichend sind, sofern keine signifikanten Klumpenrisiken in exponierten Sektoren vorliegen.

Interne Governance: EBA-Leitlinien im Blick

Die 9. MaRisk-Novelle dient auch der Harmonisierung mit den aktualisierten europäischen Vorgaben zur internen Organisation. Hierbei ist jedoch eine wichtige regulatorische Besonderheit zu beachten:

• Status der EBA-Leitlinien: Die neuen Leitlinien zur internen Governance (Internal Governance), auf die sich die MaRisk 10.0 bezieht, liegen vonseiten der EBA aktuell noch als Konsultationsfassung vor.

• Operative Konsequenz: Da die finale Fassung der EBA-Leitlinien noch aussteht, besteht hier ein gewisses Maß an "regulatorischer Unschärfe". Institute sollten ihre Governance-Anpassungen (AT 4.4.1) daher so flexibel gestalten, dass spätere Feinjustierungen aus dem finalen EU-Papier ohne kompletten Prozessumbau integriert werden können.

• Schwerpunkte: Es zeichnet sich ab, dass die EBA den Fokus verstärkt auf die Diversität in Leitungsorganen, die kollektive Eignung des Vorstands und eine noch tiefere Verankerung von Nachhaltigkeitsaspekten in der Aufbauorganisation legt.

IRRBB und CSRBB: Die finale Justierung

Die 9. Novelle nutzt zudem die Gelegenheit zur Feinjustierung von BTR 5 (Kreditspreadrisiken) nach den Erfahrungen der 8. Novelle:

• Integration: CSRBB muss nun vollumfänglich und methodisch konsistent in die ökonomische und normative Risikotragfähigkeit integriert sein.

• Klarstellung: Die Abgrenzung zwischen marktinduzierten Spreadschwankungen und bonitätsbedingten Änderungen wurde methodisch geschärft, um die Vergleichbarkeit der Stresstestergebnisse zu erhöhen.

Zusammenfassung: Was Sie jetzt tun sollten

1. Provider-Klassifizierung: Führen Sie ein Audit Ihres Dienstleister-Portfolios durch. Trennen Sie strikt in "IKT-Drittpartei" (DORA) und "sonstige Auslagerung" (MaRisk AT 9).

2. Szenario-Inventur: Erweitern Sie Ihre Stresstest-Szenarien um die geforderte 10-jährige ESG-Perspektive. Dokumentieren Sie bei SNCI explizit die Angemessenheit Ihres qualitativen Ansatzes.

3. Governance-Monitoring: Behalten Sie den Status der EBA-Konsultation zur Internen Governance im Blick, um bei der Finalisierung der MaRisk Ende 2026 nicht von Detailänderungen überrascht zu werden.

1. Risikoinventur, Wesentlichkeit und Risikotragfähigkeit

Die 9. MaRisk-Novelle schafft durch klare Schwellenwerte die notwendige Entlastung für die Risikoinventur (AT 2.2). Die aufwändige Dokumentation marginaler Risiken entfällt zugunsten einer fokussierten Wesentlichkeitsbetrachtung.

• Die 5-Prozent-Regel (RDP): Die BaFin legt 5 % des ökonomischen Risikodeckungspotenzials (RDP) als Orientierungsgröße für die Wesentlichkeit fest.

• Vereinfachte Verfahren: Risiken unterhalb dieser Schwelle können über „Säule-1+“-Ansätze oder pauschale Risikopuffer abgedeckt werden.

• Kumulations-Check: Institute müssen jedoch proaktiv dokumentieren, dass die Summe aller "unwesentlichen" Einzelrisiken in der Aggregation keine systemische Gefährdung darstellt.

• Präzisierung des ICAAP: Für den normativen und ökonomischen Ansatz werden im Entwurf 2026 standardisierte Erwartungen an die Abbildung von Stresstestrahmenwerken definiert, was die Vergleichbarkeit (Peer-Group-Analyse) erhöht.

2. Stresstests: Radikale Reduktion und Fokus

Die Anzahl der verpflichtenden Stresstests wird massiv zusammengestrichen, um die operative Effizienz zu steigern – insbesondere für kleinere Häuser.

• Das 3-bis-5-Modell: Vorgesehen sind ein risikoartenübergreifender Gesamtbank-Stresstest sowie je ein Test pro wesentlicher Risikoart. Dies führt in der Praxis zu einer Frequenz von drei bis fünf Tests pro Jahr.

• Entfall inverser Stresstests: Für sehr kleine Institute und SNCIs können inverse Stresstests künftig vollständig entfallen oder durch rein qualitative Analysen ersetzt werden, sofern das Standard-Programm die Risikotreiber ausreichend isoliert.

• Anerkennung von Verbundszenarien: Die Nutzung von Szenarien der Verbünde oder der Aufsicht wird erleichtert. Bedingung: Das Institut muss in einer kurzen Begründungskette nachweisen, dass die Verbundszenarien für das eigene spezifische Risikoprofil repräsentativ sind.

• Sensitivitätsanalysen: Sehr kleine Institute dürfen sich auf einfache Sensitivitätsbetrachtungen beschränken, um die Tragfähigkeit unter Stress zu bewerten.

3. Governance, Compliance und Interne Revision

Hier steht die qualitative Stärkung bei gleichzeitiger Verschlankung der administrativen Prozesse im Vordergrund.

• Klare Aufgabenzuordnung: Die MaRisk 10.0 definiert die Rollen der Geschäftsleitung und des Aufsichtsorgans präziser. Der Fokus liegt auf der inhaltlichen Überwachung wesentlicher Rechtsvorschriften statt auf dem reinen "Abhaken" von Compliance-Listen.

• Effizienz durch Funktionenbündelung: Für SNCIs und sehr kleine Institute ist die Bündelung von Schlüsselfunktionen (z. B. Compliance- und Auslagerungsbeauftragter in Personalunion) nun offiziell zulässig, sofern die Unabhängigkeit gewahrt bleibt.

• Revision als Prüfinstanz der Begründungslogik: Die Anforderungen an die Prozessdokumentation der Internen Revision werden schlanker. Im Gegenzug steigt die Anforderung an die Prüfung der Begründungsketten: Die Revision muss bewerten, ob die vom Institut gewählten Proportionalitätsentscheidungen methodisch schlüssig und angemessen sind.

4. Modelllandschaft und Validierung (AT 4.3.4)

Für Institute ab 5 Mrd. EUR Bilanzsumme (übrige LSIs) steigen die qualitativen Anforderungen an die technische Infrastruktur.

• Verpflichtendes Modellinventar: Jedes eingesetzte Modell (Rating, Stresstest, ESG-Szenario, KI) muss zentral dokumentiert sein (Einsatzbereich, Validierungszyklus, Verantwortlichkeit).

• Unabhängige Validierung: Für selbst entwickelte Modelle ist eine strikte Trennung zwischen Modellbau und Validierung zwingend. Dies betrifft insbesondere die neuen ESG-Risikomodelle und KI-gestützte Systeme.

• Verbundlösungen: Kleinere Häuser können weiterhin auf Branchenpools zurückgreifen. Die Dokumentationslast bleibt hier minimal, solange die Vergleichbarkeit des eigenen Portfolios mit dem Pool-Standard einmal jährlich plausibilisiert wird.

Was Sie jetzt tun sollten:

Prüfen Sie Ihre aktuelle Stresstest-Planung. Durch den Entfall inverser Stresstests und die Anerkennung von Verbundszenarien ergeben sich für 2027 erhebliche Ressourcen-Einsparungen, die Sie bereits heute in den Aufbau der geforderten ESG-Datenstrategie (10-Jahres-Horizont) investieren können.