Die MaRisk 2026 sind seit dem 30. Juni 2026 in Kraft. Neben den Erleichterungen für kleinere Institute (wir berichteten) enthält die Neufassung auch zusätzliche Pflichten, für die eine Übergangsfrist bis zum 1. Januar 2027 läuft. Für Banken und Finanzdienstleister bleiben damit gut zwei Monate für die Umsetzung.
Neunte Novelle oder zehnte Fassung?
Die Bundesanstalt für Finanzdienstleistungsaufsicht BaFin bezeichnet die Überarbeitung als neunte Novelle der Mindestanforderungen an das Risikomanagement. Die Deutsche Bundesbank spricht in ihrem Aufsichtsbriefing vom 19. Juni 2026 dagegen von der „10. MaRisk“. Beide Angaben meinen dasselbe Rundschreiben 06/2026 (BA): Einmal werden die Überarbeitungen gezählt, einmal die Fassungen einschließlich der ersten aus dem Jahr 2005.
Übergangsfrist nur für zusätzliche Anforderungen
Laut Übersendungsschreiben der BaFin trat die Neufassung mit ihrer Veröffentlichung am 30. Juni 2026 in Kraft. Eine Übergangsfrist bis zum 1. Januar 2027 gilt nur dort, wo sich aus den MaRisk im Einzelfall zusätzliche Anforderungen ergeben. Die wichtigsten davon betreffen die Validierung und die Umweltrisiken. Hinzu kommen Vorgaben zu persönlichen Verantwortlichkeiten, die zum Teil bereits gesetzlich gelten.
Initial-Validierung vor dem ersten Einsatz
Dass Methoden und Verfahren zur Risikoquantifizierung regelmäßig auf ihre Angemessenheit zu prüfen sind, verlangen die MaRisk dem Sinn nach schon seit 2005. Neu ist die ausdrückliche Pflicht zur Initial-Validierung: Methoden, Verfahren und Parameter müssen bereits vor ihrem Einsatz überprüft werden.
Im Gegenzug verlängert sich der Turnus der regelmäßigen Folgevalidierung von bisher mindestens jährlich auf mindestens alle drei Jahre. Anlassbezogene Validierungen bleiben erforderlich. Nutzt ein Institut zentral validierte Verfahren eines externen Dienstleisters, hat es die Ergebnisse dieser Validierung zur Kenntnis zu nehmen und die Parameter institutsindividuell auf Angemessenheit zu prüfen oder prüfen zu lassen.
Umweltrisiken in Stresstests und Resilienz-Analysen
Alle Institute im Anwenderkreis müssen wesentliche Umweltrisiken künftig angemessen in ihren Stresstests berücksichtigen. Sozial- und Governance-Risiken nennt die Vorgabe nicht. Hinzu kommen Resilienz-Analysen über einen langen Zeithorizont, die den kurzfristigen Blick der Stresstests ergänzen. Ihre Ergebnisse fließen in die Analyse des Geschäftsmodells und in die Strategie ein.
Dabei soll das aus Sicht des Instituts wahrscheinlichste Szenario mindestens einem plausiblen adversen Alternativszenario gegenübergestellt werden. Eine feste Jahreszahl nennt der finale Text nicht; im Konsultationsentwurf waren noch zehn Jahre vorgesehen. Unabhängig davon verlangt § 26c Abs. 1 Nr. 4 KWG, ESG-Risiken auch über einen Zeitraum von mindestens zehn Jahren zu betrachten.
Umfang und Häufigkeit der Analysen richten sich nach der Wesentlichkeit der Umweltrisiken und dem Stand der verfügbaren Methoden. Vereinfachte Verfahren wie Sensitivitätsanalysen sind zulässig, kleine Institute dürfen auch qualitative Ansätze nutzen. Die EBA-Leitlinien zu ESG-Risiken gelten für Institute im Anwenderkreis nur in der Form, in der sie in die MaRisk eingearbeitet wurden; die Vorgaben zur Umwelt-Szenarioanalyse sind ab dem 1. Januar 2027 anzuwenden.
Ebenfalls zum Jahreswechsel: der ESG-Risikoplan
Zum selben Stichtag greift eine weitere Pflicht, die sich nicht aus den MaRisk, sondern aus dem KWG ergibt. Laut Deutscher Bundesbank müssen kleine, nicht komplexe Institute ab Januar 2027 einen ESG-Risikoplan nach § 26d KWG erstellen. Darin legen sie dar, wie sie ESG-Risiken steuern wollen.
Für eine Übergangszeit bis 2029 dürfen sich diese Institute auf finanzielle Risiken aus dem Klimawandel beschränken. Ihre Ziele können sie auch qualitativ beschreiben, insbesondere wenn sich quantitative Kennzahlen nicht oder nur mit unzumutbarem Aufwand festlegen lassen.
Persönliche Verantwortlichkeiten schriftlich festhalten
Für die Mitglieder der Geschäftsleitung, die unmittelbar nachgelagerte Führungsebene und die Inhaber von Schlüsselfunktionen sind Aufgaben und individuelle Verantwortlichkeiten personenbezogen in Erklärungen festzulegen. Der Kreis geht damit über die Leitungen der besonderen Funktionen hinaus. Nach § 25c Abs. 4a Nr. 8 KWG genügt hierfür die Textform, eine eigenhändige Unterschrift ist also nicht nötig.
Ergänzend verlangen die MaRisk eine dazu passende Übersicht, die auch die Verantwortlichkeiten der Mitglieder des Aufsichtsorgans sowie Berichtslinien und Zuständigkeiten abbildet. Erklärungen und Übersicht sind regelmäßig auf Aktualität zu prüfen. Zudem muss das Institut kontrollieren, ob die übertragenen Aufgaben erfüllt werden. Zu beachten: Die Pflicht, Aufgaben und Verantwortlichkeiten dieses Personenkreises festzuhalten, ergibt sich bereits aus § 25c Abs. 4a Nr. 8 KWG. Das zugrunde liegende Bankenrichtlinienumsetzungs- und Bürokratieentlastungsgesetz BRUBEG ist laut Deutscher Bundesbank grundsätzlich am 1. April 2026 in Kraft getreten, also vor den neuen MaRisk.
Klarstellungen im Zusammenspiel mit DORA
Einige Regelungen schaffen keine neuen Pflichten, machen bestehende aber sichtbar. So sind IKT-Risiken ausdrücklich Teil der operationellen Risiken und in die Risikoinventur einzubeziehen. Die Geschäftsleitung hat eine IKT-Strategie festzulegen, die mit der Strategie für die digitale operationale Resilienz nach DORA in einem Dokument zusammengefasst werden kann.
Um Doppelregulierung zu vermeiden, fallen IKT-Dienstleistungen, die dem Drittparteienrisikomanagement nach DORA unterliegen, nicht mehr unter die MaRisk. Die Vorgaben zur technisch-organisatorischen Ausstattung wurden auf zwei allgemeine Grundsätze reduziert.
Erleichterungen gelten bereits
Anders als die neuen Pflichten können die Institute Erleichterungen seit dem 30. Juni 2026 nutzen. Dazu zählen etwa ein Prüfungsturnus der Internen Revision von fünf Jahren für unwesentliche Prozesse oder der Wegfall des zwingend vorgeschriebenen zentralen Auslagerungsbeauftragten. Auf die Auswirkungen der Neufassung auf die Jahresabschlussprüfung gehen wir in einem gesonderten Beitrag ein.
Veröffentlicht in Allgemein, Wirtschaftsprüfung
