9. MaRisk-Novelle final: Was sich gegenüber der Konsultation geändert hat

Am 30.06.2026 hat die BaFin die 9. MaRisk-Novelle als Rundschreiben 06/2026 (BA) veröffentlicht. Erleichterungen sind seither anwendbar; neue und verschärfte Anforderungen greifen nach der Übergangsfrist zum 01.01.2027 und sind nicht Gegenstand der Jahresabschlussprüfung 2026. Wer den Konsultationsentwurf verfolgt hat, findet die strukturelle Richtung vollständig bestätigt: Prinzipienorientierung, ausgebaute Proportionalität, DORA-Verzahnung, das Modell- und KI-Modul AT 4.3.4 — alles trägt. Interessant ist die finale Fassung an den Stellen, an denen sie vom Entwurf abweicht. Denn diese Detailverschiebungen sind kein Feinschliff am Rand: Sie betreffen auffällig oft genau die Übergänge zwischen Führung, Team und Organisation, an denen Steuerung wirksam wird oder scheitert. Dieser Beitrag geht die wesentlichen Änderungen durch — nicht als Vollständigkeitskatalog, sondern entlang der Frage, was sich für die Steuerungspraxis ändert.

Proportionalität: jetzt ausdrücklich zweistufig

Die konzeptionell wichtigste Änderung steht gleich in AT 1 Tz. 3. Die Konsultationsfassung formulierte, die MaRisk sähen „aufgrund des Proportionalitätsprinzips für kleine und sehr kleine Institute in bestimmten Bereichen Erleichterungen vor“. Die finale Fassung dreht die Logik um: Das Proportionalitätsprinzip gilt für die Anwendung der Anforderungen auf alle Institute; zusätzlich sind Größenklassen definiert, die konkrete weitere Erleichterungen gewähren.

Das ist mehr als Redaktionskosmetik. Die zweistufige Struktur stellt klar, dass Proportionalität kein Privileg der Kleinen ist, sondern der Auslegungsmaßstab für jedes Haus — die Größenklassen setzen lediglich obendrauf. Wer Proportionalität als Steuerungshebel liest (Ressourcenfokus, Begründungsdisziplin, bewusste Skalierung), bekommt von der Aufsicht nun ausdrücklich bestätigt: Dieser Hebel steht allen offen, unabhängig von der Größenklasse.

Dazu passt eine neue Erleichterung, die es in der Konsultation noch nicht gab: Kleine Institute dürfen sich darauf beschränken, Strategie und Kapitalplanung nur jährlich zu überwachen — wenn sie zusätzlich zur aufsichtlich vorgeschriebenen und empfohlenen Kapitalausstattung einen weiteren Puffer von mindestens zwei Prozentpunkten hartem Kernkapital vorhalten (AT 4.2 Tz. 5). „Erleichterung gegen Puffer“ ist ein bemerkenswertes Konstrukt: Die Aufsicht macht den Preis der Vereinfachung explizit und überlässt die Abwägung dem Institut. Genau so sieht Proportionalität als bewusste Steuerungsentscheidung aus — nicht als Automatismus, sondern als bepreiste Wahl.

Zwei weitere proportionale Neuerungen der finalen Fassung: Kleine Institute können in der Aufbau- und Ablauforganisation alternative Kontrollmechanismen einrichten (AT 4.3.1 Tz. 1), und bei der Validierung von Risikoquantifizierungsverfahren gilt die Unabhängigkeit von der Modellentwicklung nur noch „für komplexe Methoden“ — kleine Institute dürfen auf die Trennung von Modellentwicklung und Validierung ganz verzichten (AT 4.1 Tz. 9). Letzteres ist für jede Sparkasse relevant, die ihre Validierungsfunktion gerade aufbaut oder schärft: Der Maßstab hängt jetzt ausdrücklich an der Methodenkomplexität, nicht an der Organisationsgröße allein.

ESG: Flexibilität gegen Begründungslast

Bei den ESG-Anforderungen hat die Konsultationskritik sichtbar gewirkt. Zwei Konkretisierungen des Entwurfs sind in der finalen Fassung gestrichen:

Erstens die Methodenvorgabe. Der Entwurf verlangte für die Beurteilung von ESG-Auswirkungen eine Kombination unterschiedlicher Methoden — risikopositionsbezogen, sektorbezogen, portfoliobezogen, szenariobezogen, Portfolioabgleich. Dieser Satz ist ersatzlos entfallen (AT 2.2 Tz. 3). Geblieben ist die Substanz: plausible, wissenschaftlich fundierte Szenarien, kein alleiniges Abstellen auf Datenhistorien, Beurteilung über kurz-, mittel- und langfristige Perspektive.

Zweitens das 10-Jahres-Minimum. Sowohl in AT 2.2 Tz. 3 als auch bei den Resilienzanalysen in AT 4.3.3 Tz. 7 sprach der Entwurf von einem langen Zeithorizont „von mindestens zehn Jahren“. Die finale Fassung sagt an beiden Stellen nur noch: langer Zeithorizont. Die Erläuterung zu AT 4.3.3 Tz. 7 stellt zudem klar, dass Institute vereinfachte Methoden (Sensitivitätsanalysen) verwenden können und kleine Institute qualitative Ansätze nutzen dürfen. Neu ist außerdem eine Stresstest-Erleichterung für sehr kleine Institute: Das operationelle Risiko muss nicht gesondert gestresst werden, wenn adverse Szenarien bereits im Notfallmanagement nach AT 7.3 berücksichtigt sind (AT 4.3.3 Tz. 2).

Die Bewegung ist konsistent: weniger Präskription, mehr Ermessensspielraum — gegen Begründungspflicht. Wer den Zeithorizont seiner Resilienzanalysen jetzt selbst wählt, muss die Wahl risikoorientiert begründen können. Das ist derselbe Mechanismus wie bei der Proportionalität insgesamt, angewandt auf das dynamischste Methodenfeld der Novelle.

Führung und Governance: die leisen, aber tiefen Änderungen

Die aus Steuerungssicht interessantesten Deltas stecken in den Governance-Modulen — klein im Wortlaut, groß in der Wirkungslogik.

Risikokultur (AT 3.1 Tz. 1). Aus „Festlegung, Genehmigung und Überwachung“ einer angemessenen Risikokultur wird „Entwicklung, Förderung und Überwachung“. Das Erfordernis einer formellen Genehmigung ist gestrichen. Das ist eine bemerkenswert ehrliche Korrektur: Risikokultur lässt sich nicht per Beschluss genehmigen — sie entsteht, wird vorgelebt und gefördert oder eben nicht. Die neue Trias beschreibt Führungsverantwortung als kontinuierlichen Prozess statt als Dokumentationsakt. Für die Führungs-Ecke der Triangulation ist das die vielleicht schönste Formulierungsänderung der gesamten Novelle.

Risikocontrolling-Funktion (AT 4.4.1 Tz. 4). Die Leitung der RCF muss „zumindest direkt unterhalb der Geschäftsleitung“ angesiedelt sein — der neue Zusatz „zumindest“ öffnet ausdrücklich die Wahrnehmung auf Geschäftsleitungsebene selbst, mit Maßnahmen zur Vermeidung von Interessenkonflikten. Die Erläuterung zieht zugleich eine harte Grenze: Die gleichzeitige Wahrnehmung der RCF-Leitung sowie des Bereichs Marktfolge und des Bereichs Markt für „nicht-risikorelevantes“ Kreditgeschäft durch einen Geschäftsleiter ist nicht zulässig. Und für kleine Institute und Institute mit besonders einfachem Geschäftsmodell gibt es eine neue Option: RCF und Marktfolge dürfen — unmittelbar unterhalb der Geschäftsleiterebene — unter gemeinsame Leitung gestellt werden, sofern Maßnahmen zur Interessenkonfliktvermeidung implementiert sind. Die Funktionstrennung wird damit nicht aufgeweicht, sondern präziser: Was zusammengelegt werden darf und was nicht, steht jetzt explizit im Text statt in der Auslegungspraxis.

Compliance-Funktion (AT 4.4.2 Tz. 1). Die Aufgabenbeschreibung wurde von der beratend-unterstützenden auf eine prozess- und kontrollorientierte Rolle umgestellt: Die Compliance-Funktion muss auf die Implementierung wirksamer Verfahren zur Einhaltung wesentlicher rechtlicher Regelungen und entsprechender Kontrollen hinwirken. Beratung bleibt — aber die Etablierung von Kontrollstrukturen in den Fachbereichen ist jetzt der ausdrückliche Kern.

Interne Revision (AT 4.4.3). Drei Verschiebungen: Die eigenständige Textziffer zur Projektbegleitung aus dem Entwurf wurde gestrichen — die Begleitung wesentlicher Projekte läuft jetzt über das erweiterte Recht in Tz. 1, das neben dem Informations- ausdrücklich ein Zugriffsrecht umfasst, jederzeit und auch bei Projektbegleitung. Der vierteljährliche Bericht wurde inhaltlich präzisiert (durchgeführte Prüfungen, festgestellte wesentliche Mängel inkl. Beseitigungsstatus, noch offene Mängel aus Vorquartalen, Einhaltung des Prüfungsplans — Tz. 9). Und die Prüfungsplanung muss auch unter Risikogesichtspunkten nicht wesentliche Aktivitäten integrieren und innerhalb von fünf Jahren prüfen (Tz. 6/7).

Aufsichtsorgan (AT 3.2 Tz. 2). Aus „schriftlich“ wird „in Textform“ — der formale Weg für elektronische Berichtsformate ist frei, das Dokumentationserfordernis bleibt. Klein im Wortlaut, praktisch relevant für jedes Haus, das seine Gremienkommunikation digitalisiert.

Steuerungsnahe Detailverschiebungen im besonderen Teil

Risikoappetit und Ertragslage (AT 4.2 Tz. 2). Bei der Festlegung des Risikoappetits sind Risikokonzentrationen nun „auch mit Blick auf die Ertragssituation des Instituts“ zu berücksichtigen. Ein halber Satz — aber er verankert die Verknüpfung von Ertrags- und Risikosteuerung ausdrücklich im Strategie-Modul. Für alle, die integrierte Steuerung nicht als Schlagwort, sondern als Architekturprinzip betreiben, ist das ein zitierfähiger Rückenwind: Die Aufsicht selbst denkt Risikoappetit und Ertragslage zusammen.

Gesamtrisikobericht (BT 2.2 Tz. 2). Die finale Fassung konkretisiert die Mindestsubstanz: Neben Risikoarten, Stresstests, Risikokonzentrationen, Kapitalausstattung und Refinanzierung sind ausdrücklich „Prognosen zur Entwicklung der Kapital- und Liquiditätskennzahlen und der Refinanzierungspositionen“ aufzunehmen. Wer den Risikobericht als Entscheidungsgrundlage statt als Lieferpflicht versteht, findet hier den aufsichtlichen Mindestinhalt für die vorausschauende Komponente — Berichte ohne Vorschau sind damit auch formal nicht mehr ausreichend.

Zinsbuch und Einlagenmodellierung (BTR 2.3). Drei Präzisierungen: Beim Ausschluss von CET1- und sonstigen unbefristeten Eigenmittelinstrumenten aus der barwertigen Ermittlung verlangt die finale Fassung neben „zeitlich unbegrenzt“ nun auch, dass keine vertraglich festgelegten Kündigungs- oder Rückzahlungstermine bestehen (Tz. 4) — der Ausschlussbereich wird enger. Bei den Migrationsannahmen für Positionen mit unbestimmter Zinsbindung heißt es jetzt „Produktklassen“ statt „Assetklassen“ (Tz. 5). Und die Modellierbarkeit von Finanzkunden-Einlagen ist präzise auf operative Einlagen im Sinne von Art. 27 der Delegierten Verordnung (EU) 2015/61 eingegrenzt (Tz. 5/6) — statt des unschärferen „operationelle Einlagen gemäß Liquiditätsregulierung“. Die 5-Jahres-Grenze für die gewichtete durchschnittliche Zinsbindung und die 10-Jahres-Grenze für Stützstellen im Modell der gleitenden Durchschnitte bleiben unverändert.

Liquiditätspuffer (BTR 3 Tz. 4). Aus „müssen“ wird „können“: Neben Zentralbankgeld können die Puffer hochliquide, unbelastete und zentralbankfähige Vermögensgegenstände beinhalten. Zentralbankgeld bleibt als Komponente ausdrücklich genannt; die Zusammensetzung darüber hinaus wird flexibler. Für die Depot-A-Steuerung eine kleine, aber reale Erweiterung des Spielraums.

Weitere Präzisierungen in Kürze: Boundary Events sind jetzt als Schadensfälle „mit Markt- oder Kreditrisikobezug“ definiert (BTR 4 Tz. 1, Erläuterung). Das „Kreditnehmereinheitenlimit“ heißt CRR-konform „Limit je Gruppe verbundener Kunden“ (BTR 1 Tz. 2). Die Ausnahme von der täglichen Marktpreisrisiko-Berichterstattung hängt nicht mehr formal an Art. 94 Abs. 1 CRR, sondern prinzipienbasiert an Handelsaktivitäten, die „nicht komplex und gemessen am Geschäftsvolumen gering“ sind (BT 2.2 Tz. 4, Erläuterung). Im Auslagerungsmodul ist die Berichtspflicht des Auslagerungsunternehmens bei Weiterverlagerungen ausdrücklich klargestellt, und die Risikoanalyse bezieht die „maßgeblichen“ statt aller eingebundenen Organisationseinheiten ein (AT 9 Tz. 2/8). Die IKT-Strategie darf nun auch mit der Geschäftsstrategie in einem Dokument zusammengefasst werden (AT 4.2 Tz. 2). Beim Notfallmanagement knüpft der Schutzbereich an Aktivitäten und Prozesse an, die kritische oder wichtige Funktionen „darstellen“ statt „unterstützen“ (AT 7.3 Tz. 1) — die kritischen Funktionen selbst sind der Anker, ihre Unterstützungsprozesse sind mit umfasst.

Einordnung: Warum die Deltas die Steuerungs-Lesart bestätigen

Legt man die Triangulation — Führung, Team, Organisation — über die Änderungsliste, fällt ein Muster auf. Die finale Fassung hat fast nirgends Anforderungen inhaltlich verschärft oder abgeschwächt; sie hat Verantwortung präzisiert:

• Führung: Risikokultur als Entwicklungs- statt Genehmigungsaufgabe; Risikoappetit ausdrücklich mit Blick auf die Ertragslage; Textform statt Schriftform in der Gremienkommunikation. Die Änderungen beschreiben Führung als kontinuierliche Tätigkeit, nicht als Beschlusslage.
• Team: ESG-Methodenfreiheit gegen Begründungspflicht; Validierungstrennung nur für komplexe Methoden; präzisere Einlagenmodellierungs-Bezüge. Der operative Kern bekommt Spielraum — und trägt dafür die Beweislast der Angemessenheit.
• Organisation: RCF-Ansiedlung flexibilisiert bei gleichzeitig explizitem Kombinationsverbot; Compliance auf Kontrollimplementierung verpflichtet; Revisions-Zugriffsrecht; Weiterverlagerungs-Berichtspflicht. Die Strukturfragen — wer darf was mit wem kombinieren, wer kommt an welche Information — sind schärfer gefasst als im Entwurf.

Das ist exakt die Bewegung, die eine wirkungsorientierte MaRisk-Lesart erwartet: Das Regelwerk zieht sich aus der Methoden-Detailsteuerung zurück und investiert die gewonnene Präzision in Verantwortungs- und Übergabefragen. Wirksamkeit entsteht an den Übergängen — die finale Fassung hat genau dort nachgeschärft.

Fahrplan für die Praxis

Seit dem 30.06.2026 gilt: Erleichterungen sind sofort nutzbar — wer etwa die jährliche Strategie-Überwachung gegen den 2-PP-Puffer abwägen oder ESG-Analysen auf vereinfachte Methoden umstellen will, kann das jetzt entscheiden und dokumentieren. Neue und verschärfte Anforderungen (etwa die konkretisierten Berichtsinhalte in BT 2.2 und AT 4.4.3 oder das Wirksamkeitsmonitoring bei Forbearance) greifen zum 01.01.2027 und sind nicht Gegenstand der Jahresabschlussprüfung 2026. Der sinnvolle Ablauf bis Jahresende: Betroffenheit je Größenklasse klären, Erleichterungen bewusst entscheiden (jede genutzte Öffnungsklausel braucht eine dokumentierte, risikoorientierte Begründung — sie wird ab 2027 Prüfungsgegenstand), und die verschärften Berichts- und Governance-Punkte in die Umsetzungsplanung nehmen.

Häufige Fragen

Ist die finale Fassung strenger oder milder als der Konsultationsentwurf?
Weder noch — sie ist präziser. Methodische Vorgaben (ESG-Methodenkombination, 10-Jahres-Horizont) wurden zugunsten von Ermessensspielräumen mit Begründungspflicht gestrichen; Governance- und Berichtsanforderungen (Revisions-Zugriffsrecht, Berichtsinhalte, Kombinationsverbote) wurden geschärft. Die Grundausrichtung der Konsultation ist vollständig bestätigt.

Ab wann gelten die Änderungen?
Erleichterungen seit Veröffentlichung am 30.06.2026; neue und verschärfte Anforderungen nach der Übergangsfrist ab 01.01.2027. Die Jahresabschlussprüfung 2026 prüft die Neuerungen noch nicht.

Was ändert sich bei ESG konkret gegenüber dem Entwurf?
Die vorgeschriebene Methodenkombination und das 10-Jahres-Minimum für den langen Zeithorizont sind gestrichen. Es bleiben: plausible, wissenschaftlich fundierte Szenarien, kein alleiniges Abstellen auf Datenhistorien, Resilienzanalysen über einen langen Zeithorizont — mit vereinfachten Methoden für alle und qualitativen Ansätzen für kleine Institute.

Darf ein Geschäftsleiter jetzt die Risikocontrolling-Funktion leiten?
Ja — die finale Fassung lässt die Wahrnehmung der RCF-Leitung auf Geschäftsleitungsebene ausdrücklich zu, verlangt dann aber Maßnahmen zur Vermeidung von Interessenkonflikten. Nicht zulässig ist die gleichzeitige Wahrnehmung von RCF-Leitung, Marktfolge und Markt für nicht-risikorelevantes Kreditgeschäft durch einen Geschäftsleiter.

Muss der Gesamtrisikobericht jetzt mehr enthalten?
Ja: Ausdrücklich gefordert sind Prognosen zur Entwicklung der Kapital- und Liquiditätskennzahlen und der Refinanzierungspositionen. Die vorausschauende Komponente des Berichts ist damit Mindestinhalt, nicht mehr Kür.

Weiterführend

Die wirkungsorientierte Gesamteinordnung der 9. Novelle — Steuerungsrahmen statt Pflichtenheft, Proportionalität als Hebel, Triangulation — steht im MaRisk-Leitfaden (aktualisiert auf RS 06/2026). Begriffsgrundlagen im Glossar: MaRisk, ESG, DORA, Risikotragfähigkeit.

Datenhinweise

Grundlage dieses Beitrags ist der Textvergleich der finalen Fassung (Rundschreiben 06/2026 (BA) vom 30.06.2026, 84 Seiten) mit der Konsultationsfassung (Konsultation 02/2026 vom 01.04.2026) anhand der von der BaFin veröffentlichten Änderungsmodus-Fassung. Alle Textziffern-Angaben beziehen sich auf die finale Fassung. Der Beitrag ist eine Auswahl steuerungsrelevanter Änderungen, kein vollständiges Änderungsverzeichnis.