MaRisk-Novelle 2026: Die wichtigsten Änderungen

Zehn Änderungen, die Sie kennen sollten

Der Schwerpunkt liegt auf Kürzungen und Erleichterungen. Zusätzliche Anforderungen ergeben sich laut Bafin in Einzelfällen.

1. AT 2.1 Tz. 1, AT 1 Tz. 3 Anwendungsbereich

   1. Neuer Anwendungsbereich und feste Größenklassen

   Bedeutende Institute fallen heraus. Für kleine und sehr kleine Institute legen Größenklassen feste Erleichterungen fest.

   + Details Weniger anzeigen

   Bedeutende Institute unter direkter Aufsicht der EZB fallen nicht mehr unter die MaRisk. Ausdrücklich erfasst sind dagegen CRD-Drittstaatenzweigstellen nach § 53c KWG. Die §§ 53c bis 53cq KWG sind überwiegend erst ab dem 11. Januar 2027 anzuwenden (§ 64c Abs. 5 KWG). Zusätzlich zur proportionalen Anwendung legt das Rundschreiben zwei Größenklassen mit festen Erleichterungen fest: Sehr kleine Institute haben im Vierjahresdurchschnitt eine Bilanzsumme von höchstens 1 Mrd. Euro, für Factoringinstitute gilt zusätzlich eine Grenze beim Forderungsankauf. Kleine Institute sind kleine und nicht komplexe Institute (SNCI) nach Art. 4 Abs. 1 Nr. 145 CRR sowie CRD-Drittstaatenzweigstellen der Risikoklasse 2. Sehr kleine Institute können auch die Erleichterungen für kleine Institute nutzen. Beide Größenklassen hatte die Bafin bereits mit der Aufsichtsmitteilung vom 26.11.2024 eingeführt.

   Gilt seit 30.06.2026

   Quellen: Rundschreiben 06/2026· Rundschreiben 06/2024· Aufsichtsmitteilung

2. AT 2.2 Tz. 1 Erleichterung

   2. Wesentlichkeit: 5-Prozent-Schwelle anerkannt

   5 % des Risikodeckungspotenzials gelten als angemessene Wesentlichkeitsschwelle in der ökonomischen Perspektive.

   + Details Weniger anzeigen

   Als Wesentlichkeitsschwelle in der ökonomischen Perspektive erkennt die Bafin einen Schwellenwert von 5 % des Risikodeckungspotenzials als angemessen an. Für Adressenausfall-, Marktpreis-, Liquiditäts- und operationelle Risiken, die grundsätzlich als wesentlich gelten, kann eine gesondert dokumentierte Wesentlichkeitsanalyse entfallen. Für kleine und sehr kleine Institute hatte die Bafin die 5-Prozent-Schwelle schon mit der Aufsichtsmitteilung vom 26.11.2024 anerkannt.

   Nutzbar, für kleine Institute seit 26.11.2024

   Quellen: Rundschreiben 06/2026· Vergleich 8. zu 9. Novelle· Aufsichtsmitteilung

3. AT 4.1 Tz. 9 Erleichterung

   3. Validierung der Risikotragfähigkeit: alle drei Jahre statt jährlich

   Methoden zur Risikotragfähigkeit werden vor dem Einsatz und danach mindestens alle drei Jahre validiert, statt wie bisher jährlich überprüft.

   + Details Weniger anzeigen

   Statt einer jährlichen Überprüfung der Methoden und Verfahren verlangt das Rundschreiben eine Initialvalidierung vor dem Einsatz und Folgevalidierungen mindestens alle drei Jahre sowie anlassbezogen. Bei komplexen Methoden muss die Validierung unabhängig von der Modellentwicklung erfolgen, kleine Institute können auf diese Trennung verzichten. Wer zentral validierte Verfahren eines externen Dienstleisters nutzt, nimmt die Ergebnisse zur Kenntnis und prüft die Parameter institutsindividuell.

   Nutzbar seit 30.06.2026

   Quellen: Rundschreiben 06/2026· Rundschreiben 06/2024· Anschreiben

4. AT 4.2 Tz. 2, AT 9 Tz. 1 Klarstellung

   4. Abgrenzung zu DORA bei IKT-Strategie und Auslagerung

   IKT-Dienstleistungen im DORA-Drittparteienrisikomanagement fallen nicht unter das Auslagerungsmodul AT 9.

   + Details Weniger anzeigen

   Die Geschäftsleitung legt eine mit der Geschäftsstrategie konsistente IKT-Strategie fest. Ist ein Institut zu einer DOR-Strategie verpflichtet, können IKT-Strategie und DOR-Strategie je nach Größe und Gesamtrisikoprofil in einem gemeinsamen Dokument stehen. Ausgelagerte oder fremdbezogene IKT-Dienstleistungen, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, fallen nicht in den Anwendungsbereich von AT 9.

   Gilt seit 30.06.2026

   Quellen: Rundschreiben 06/2026

5. AT 4.3.3 Tz. 2 bis 4 Erleichterung

   5. Stresstests: weniger Pflichtprogramm für kleine und sehr kleine Institute

   Kleine und sehr kleine Institute kommen mit weniger Stresstests aus.

   + Details Weniger anzeigen

   Sehr kleine Institute können auf risikoartenspezifische Stresstests verzichten, wenn der Stresstest für das Gesamtrisikoprofil die betreffenden Risiken negativ beeinflusst. Operationelle Risiken müssen sie nicht stressen, wenn adverse Szenarien bereits im Notfallmanagement nach AT 7.3 berücksichtigt sind. Für kleine Institute reicht als gesamtbankweites Szenario in der Regel ein schwerer konjunktureller Abschwung oder ein vergleichbares Stagflationsszenario, sofern darin alle wesentlichen Risiken negativ ausgelenkt werden. Auf inverse Stresstests können kleine Institute verzichten. Einen Teil davon, etwa den Verzicht auf inverse Stresstests, hatte die Bafin schon mit der Aufsichtsmitteilung vom 26.11.2024 eingeführt. Die Novelle erweitert ihn.

   Nutzbar, teils schon seit 26.11.2024

   Quellen: Rundschreiben 06/2026· Aufsichtsmitteilung

6. AT 4.3.3 Tz. 7 Neu oder verschärft

   6. Umweltrisiken in Stresstests und neue Resilienzanalysen

   Stresstests berücksichtigen wesentliche Umweltrisiken, ergänzt um Resilienzanalysen über einen langen Zeithorizont.

   + Details Weniger anzeigen

   Wesentliche Umweltrisiken sind bei der Ausgestaltung von Stresstests angemessen zu berücksichtigen. ESG-Risiken in Stresstests verlangte schon die Fassung 06/2024 (AT 4.3.3 Tz. 1). Zusätzlich verlangt das Rundschreiben Resilienzanalysen über einen langen Zeithorizont, die ein Referenzszenario mindestens einem adversen Alternativszenario gegenüberstellen sollen. Damit setzt die Novelle die EBA-Leitlinien zur Umwelt-Szenarioanalyse (EBA/GL/2025/04) um. Resilienztests zu ESG-Risiken schreibt § 26c Abs. 4 Nr. 4 KWG bereits seit dem 1. April 2026 vor. Die Ausgestaltung nach AT 4.3.3 Tz. 7 fällt unter die Übergangsfrist bis 01.01.2027, soweit sie darüber hinausgeht. Vereinfachte Methoden wie Sensitivitätsanalysen sind zulässig. Für Resilienzanalysen können alle Institute qualitative Ansätze nutzen, für Stresstests zu Umweltrisiken kleine Institute. Die Konsultationsfassung sah noch einen Zeithorizont von mindestens zehn Jahren vor. Für Strategien und Prozesse verlangt § 26c KWG weiterhin eine Betrachtung von ESG-Risiken über mindestens zehn Jahre.

   Gilt seit 01.04.2026 (§ 26c Abs. 4 KWG)

   Quellen: Rundschreiben 06/2026· Anschreiben· Konsultation 02/2026

7. AT 4.4.2 Tz. 4, AT 4.4.3 Tz. 1, AT 9 Tz. 5 Neu oder verschärft

   7. Ausnahmen bei Compliance und Interner Revision enger gefasst

   Ausnahmen wie ein Geschäftsleiter als Compliance-Beauftragter sind jetzt ausdrücklich an sehr kleine Institute gebunden.

   + Details Weniger anzeigen

   Bisher hingen diese Ausnahmen von der Größe des Instituts ab, teils auch von Art, Umfang, Komplexität und Risikogehalt der Geschäfte. Jetzt nennt das Rundschreiben ausdrücklich sehr kleine Institute: Dort kann ein Geschäftsleiter Compliance-Beauftragter sein oder die Aufgaben der Internen Revision übernehmen, jeweils unter weiteren Bedingungen wie Maßnahmen zur Vermeidung von Interessenkonflikten. Auch die vollständige Auslagerung der Compliance-Funktion oder der Internen Revision nennt AT 9 Tz. 5 nun für sehr kleine Institute. Daneben bleibt sie für Tochterinstitute in Gruppen zulässig, die für den nationalen Finanzsektor und innerhalb der Gruppe nicht wesentlich sind. Institute oberhalb der Schwelle sollten prüfen, ob eine bisher genutzte Ausnahme weiter trägt.

   Übergangsfrist bis 01.01.2027 für nötige Anpassungen

   Quellen: Rundschreiben 06/2026· Rundschreiben 06/2024· Anschreiben

8. AT 5 Tz. 3 a) Neu oder verschärft

   8. Übersicht über Aufgaben und individuelle Verantwortlichkeiten

   Die Organisationsrichtlinien brauchen eine Übersicht über Aufgaben und individuelle Verantwortlichkeiten.

   + Details Weniger anzeigen

   Die Organisationsrichtlinien müssen eine Übersicht über die Aufgaben und individuellen Verantwortlichkeiten nach § 25c Abs. 4a Nr. 8 KWG enthalten. Für Geschäftsleiter, die direkt nachgelagerte Führungsebene und Inhaber von Schlüsselfunktionen sind die Verantwortlichkeiten in individuellen Erklärungen festzulegen. Die Übersicht umfasst auch die Mitglieder des Aufsichtsorgans sowie Berichtslinien und Zuständigkeitsbereiche und ist regelmäßig auf Aktualität zu prüfen. Die Pflicht zur Übersicht steht seit dem 1. April 2026 in § 25c Abs. 4a Nr. 8 KWG. Die Übergangsfrist der MaRisk gilt dafür nicht.

   Gilt seit 01.04.2026 (§ 25c Abs. 4a Nr. 8 KWG)

   Quellen: Rundschreiben 06/2026· Anschreiben

9. BT 2.2 Tz. 1 Erleichterung

   9. Risikoberichte: schlankere unterjährige Berichte für kleine Institute

   Kleine Institute dürfen auf vorherige Berichte verweisen, wenn sich nichts Relevantes geändert hat, und müssen stabile Risiken nicht unterjährig berichten.

   + Details Weniger anzeigen

   Kleine Institute können auf vorherige Berichte verweisen, wenn sich eine Risikoart nicht relevant verändert hat. Für Risiken mit hoher Stabilität besteht keine unterjährige Berichtspflicht. Hat ein kleines Institut den Risikoappetit für eine der grundsätzlich wesentlichen Risikoarten als niedrig festgelegt und schließt es deshalb kurzfristige Schwankungen aus, reicht unterjährig ein Hinweis darauf. Die vierteljährliche Berichterstattung über Stresstests ist erfüllt, wenn in jedem Quartal rollierend einzelne Stresstests aktualisiert werden. Diese Erleichterungen hatte die Bafin schon mit der Aufsichtsmitteilung vom 26.11.2024 gewährt. Jetzt stehen sie im Rundschreiben.

   Nutzbar seit 26.11.2024

   Quellen: Rundschreiben 06/2026· Aufsichtsmitteilung

10. Gliederung und Erläuterungen Klarstellung

    10. Kürzer, prinzipienorientierter und neu gegliedert

    Text und Erläuterungen sind deutlich gekürzt, mehrere Module haben neue Fundstellen.

    + Details Weniger anzeigen

    Die Bafin hat Regelungstext und Erläuterungen deutlich gekürzt, damit Institute mehr Ermessen ausüben und Anforderungen proportional anwenden können. Laut Anschreiben können Institute auch alternative Verfahren in Betracht ziehen, soweit die allgemein formulierte Anforderung sie deckt und sie dem Geschäftsmodell oder Risikoprofil des Instituts entsprechen. Die Streichung früherer Erläuterungen bedeutet deshalb nicht, dass die Aufsicht darauf beruhende Lösungen nicht mehr anerkennt. Eine grundsätzliche Absenkung des Anforderungsniveaus ist damit nicht verbunden. Mehrere Module sind umgezogen: die Gruppenanforderungen (bisher AT 4.5) nach AT 2.1 Tz. 3, die Anforderungen an die Interne Revision (bisher auch BT 2) nach AT 4.4.3, die Risikoberichterstattung (bisher BT 3) nach BT 2 und die Verwendung von Modellen (bisher AT 4.3.5) nach AT 4.3.4.

    Gilt seit 30.06.2026

    Quellen: Anschreiben· Rundschreiben 06/2026· Vergleich 8. zu 9. Novelle

Stand 22. Oktober 2026. Die Übersicht fasst ausgewählte Änderungen zusammen und ersetzt weder die Prüfung des vollständigen Rundschreibens für Ihr Institut noch eine Rechtsberatung. Maßgeblich ist der Wortlaut der Bafin.