> ## Content Index
> Fetch the complete content index at: https://www.waldvorlauternormen.com/llms.txt
> Use this file to discover other available public pages before exploring further.

# MaRisk 06/2026 – Die wesentlichen Änderungen und der konkrete Umsetzungsbedarf
- URL: https://www.waldvorlauternormen.com/marisk-06-2026-die-wesentlichen-anderungen-und-der-konkrete-umsetzungsbedarf/
- Published: 2026-08-14T07:53:11.000Z
- Updated: 2026-08-19T08:21:07.000Z
- Description: Mit der MaRisk-Reform überarbeitet die Bafin die Anforderungen an die Governance und das Risikomanagement von Kreditinstituten maßgeblich. Der Beitrag stellt die Änderungen dar und ordnet ihre Auswirkungen ein.
- Author: Dr. Martin Schulte, LL.M. (London)
- Tags: Bank- & Aufsichtsrecht, MaRisk

Die MaRisk 06/2026 verbinden eine umfassende systematische Neuordnung mit gezielten materiellen Änderungen. Wesentlicher Handlungsbedarf entsteht insbesondere bei den individuellen Verantwortlichkeitserklärungen, der Ausrichtung des Notfallmanagements auf kritische oder wichtige Funktionen, der Abgrenzung von Auslagerungen zu DORA, den Liquiditätspuffern sowie den neuen Erleichterungen für kleine und sehr kleine Institute.

Dieser Beitrag stellt die für die Umsetzung besonders relevanten Aspekte auf Grundlage der [Änderungsfassung der Bafin](https://www.bafin.de/SharedDocs/Downloads/DE/Rundschreiben/dl%5Frs%5F0626%5F9%5Fmarisk%5Fvergleichsfassung%5F8%5Fmarisk.pdf?%5F%5Fblob=publicationFile&v=2&ref=waldvorlauternormen.com) dar.

Ergänzend zu diesem Beitrag haben wir einen Umsetzungsleitfaden MaRisk 06/2026 erstellt, der die Module einzeln analysiert und daraus konkrete Umsetzungsempfehlungen in Form von „Action Points“ für Richtlinien, Prozesse, Systeme und Kontrollfunktionen ableitet.

## **Proportionalität: Neue Größenklassen, aber keine pauschale Befreiung**

Um das Proportionalitätsprinzip zu stärken, werden Erleichterungen für kleine und sehr kleineInstitute geschaffen. Diese betreffen Stresstests, die Überwachung von Strategie und Kapitalplanung, die Risikoberichterstattung, die Funktionstrennung und Validierung, die Compliance-Funktion, die Internen Revision und die Auslagerungssteuerung.

„**Kleine Institute**“ sind „Small and Non-Complex Institutions“ (SNCI) nach [Art. 4 Abs. 1 Nr. 145 CRR](https://judict.eu/de/hla/32013R0575-X/article-4?ref=waldvorlauternormen.com) sowie CRD-Drittstaatenzweigstellen der Risikoklasse 2\. Als „**sehr klein**“ gelten Institute und CRD-Drittstaatenzweigstellen, deren Bilanzsumme im Vierjahresdurchschnitt eine Milliarde Euro nicht überschreitet. Sie können die für kleine Institute vorgesehenen Erleichterungen auch dann in Anspruch nehmen, wenn sie die SNCI-Kriterien nicht erfüllen. Für **Factoring-Institute** gilt zusätzlich, dass das jährliche Forderungsankaufsvolumen im Vierjahresdurchschnitt fünf Milliarden Euro nicht überschreiten darf. Auch wenn die Erleichterungen in Anspruch genommen werden, ist allerdings ein wirksames Risikomanagement zu gewährleisten, was im Einzelfall bedeuten kann, den Umfang der Erleichterung wieder zu begrenzen.

## **EBA-Leitlinien: Gezielte Prüfung statt Vollabgleich**

Bislang war das Nebeneinander von MaRisk und EBA-Leitlinien oft Quelle von Unsicherheiten. AT 1 stellt das Verhältnis nun klarer dar: Zusätzliche Anforderungen aus den dort genannten EBA-Leitlinien sind nur zu prüfen, soweit die MaRisk ausdrücklich auf einen bestimmten Abschnitt verweisen. Weiterverweisungen innerhalb eines solchen Abschnitts und Verweise auf Anhänge können grundsätzlich unbeachtet bleiben. Im Übrigen gelten die von der Bafin benannten Leitlinien zu Stresstests, notleidenden und gestundeten Risikopositionen, Auslagerungen, Kreditvergabe und Überwachung, interner Governance, Zinsänderungs- und Kreditspreadrisiken sowie ESG-Risiken und Umwelt-Szenarioanalysen als durch die MaRisk umgesetzt. Damit entfällt eine vollständige Parallelprüfung; die verbleibenden ausdrücklichen Verweise müssen jedoch den betroffenen Regelwerken, Prozessen und Verantwortlichkeiten zugeordnet werden.

## **Risikoinventur: Prinzipielle Wesentlichkeit der Hauptrisiken**

Eine formelle Erleichterung folgt aus der grundsätzlichen Einstufung von Adressenausfall-, Marktpreis-, Liquiditäts- und operationellen Risiken als wesentlich. Für diese vier Risikoarten kann künftig eine gesondert dokumentierte Wesentlichkeitsanalyse entfallen. Für die übrigen Risiken erkennt die Bafin im Rahmen der ökonomischen Perspektive eine Wesentlichkeitsschwelle von 5 % des Risikodeckungspotenzials als angemessen an. Ein Risiko kann danach grundsätzlich als nicht wesentlich eingestuft werden, wenn sein Risikobetrag diese Schwelle nicht überschreitet. Qualitative Gesichtspunkte und die mögliche Wesentlichkeit mehrerer zusammengefasster, jeweils für sich genommen unwesentlicher Risiken bleiben unberührt.

## **ESG als Risikotreiber**

ESG-Risiken werden nicht als eigene Risikoart, sondern als Risikotreiber behandelt. Ihre Auswirkungen sind bei der Wesentlichkeitsbeurteilung, der Risikoinventur, dem internen Kontrollsystem, der Strategie und der Berichterstattung zu berücksichtigen. Die Beurteilung muss plausible Szenarien, wissenschaftliche Erkenntnisse und unterschiedliche Zeithorizonte einbeziehen. Entscheidend ist, dass eine **nachvollziehbare Verbindung** zwischen ESG-Risikotreiber, betroffenem Portfolio, Risikoart, Szenario, Bewertung, Steuerungsmaßnahme und Berichterstattung geschaffen wird.

## **Aufsichtsorgan und individuelle Verantwortlichkeiten**

AT 3.2 bündelt die Anforderungen an die Einbindung des Aufsichtsorgans des Instituts, also des nach Gesetz oder Satzung mit der Überwachung der Geschäftsleitung betrauten Gremiums wie dem Aufsichts- oder Verwaltungsrat. Die Geschäftsleitung muss mindestens **vierteljährlich** in Textform über Geschäftslage und Risikosituation informieren. Die Informationen müssen eine Beurteilung enthalten und auf **besondere Risiken** sowie **geplante Maßnahmen** eingehen. Wichtige Risikoinformationen sind unverzüglich weiterzuleiten. Strategien und Strategieänderungen sind dem Aufsichtsorgan zur Kenntnis zu geben und mit ihm zu erörtern.

Informationen können auch an einen **Ausschuss** geleitet werden, wenn ein wirksamer Errichtungsbeschluss besteht, der Ausschussvorsitzende das gesamte Aufsichtsorgan regelmäßig informiert und jedes Mitglied Einsicht in die Ausschussunterlagen nehmen kann. Geschäftsordnungen, Ausschusszuständigkeiten, Informationsrechte und Protokollierung sollten hierauf überprüft werden.

Eine besonders weitreichende Änderung enthält AT 5\. Für sämtliche Mitglieder der Geschäftsleitung sowie für die unmittelbar nachgelagerte Führungsebene einschließlich der Inhaber von Schlüsselfunktionen sind **personenspezifische Erklärungen** über Aufgaben und individuelle Verantwortlichkeiten zu erstellen. Die Zuordnung darf sich nicht in abstrakten Funktions- oder Stellenbeschreibungen erschöpfen. Erkennbar sein müssen insbesondere Entscheidungsbefugnisse, Kontrollpflichten, Berichtspflichten und Zuständigkeitsbereiche.

Daneben ist eine konsistente Gesamtübersicht erforderlich, die auch die Aufgaben und Verantwortlichkeiten der Mitglieder des Aufsichtsorgans sowie Berichtslinien und Zuständigkeitsbereiche erfasst. Das Institut muss regelmäßig prüfen, ob die übertragenen Aufgaben tatsächlich wahrgenommen werden, und bei Defiziten angemessene Maßnahmen ergreifen. Eine Zuständigkeitsmatrix genügt nur, wenn sie personenspezifisch sämtliche geforderten Aufgaben, Entscheidungsbefugnisse, Kontroll- und Berichtspflichten sowie Berichtslinien abbildet. Geschäftsverteilung, Organigramm, Stellenbeschreibungen, Kompetenzordnung, Berichtslinien und individuelle Verantwortlichkeitserklärungen sind daher als zusammenhängendes System zu behandeln.

## **Strategien und Stresstests: stärkere Verzahnung, gezielte Erleichterungen und neue Langfristanforderungen**

### **Geschäftsstrategie: von der Analyse zur Steuerung**

Die Strategieanforderungen werden grundlegend neu geordnet und ihre tatsächliche Steuerungswirkung in den Vordergrund gerückt. Die Geschäftsstrategie muss weiterhin auf einer zukunftsgerichteten Analyse des Geschäftsmodells beruhen. Entscheidend ist jedoch, dass wesentliche interne und externe Einflussfaktoren in **nachvollziehbare Annahmen, konkrete Ziele und umsetzbare Maßnahmen** übersetzt werden. Die strategischen Ziele müssen so bestimmt sein, dass sie in die Geschäfts- und Kapitalplanung überführt und ihre Erreichung später überprüft werden kann. Maßgeblich ist damit nicht die formale Fortschreibung eines Strategiedokuments, sondern die erkennbare Verbindung zwischen Geschäftsmodell, Planung und laufender Steuerung.

### **Risikostrategie und Risikoappetit: Konsistenz mit der operativen Steuerung**

Auch die Risikostrategie wird enger mit dem operativen Risikomanagement verzahnt. Sie muss mit der Geschäftsstrategie und dem Risikoprofil des Instituts übereinstimmen. Der definierte Risikoappetit muss konsistent in die tatsächliche Steuerung aller wesentlichen Risiken übertragen werden, etwa in Form von Limiten, Risikokennzahlen, Puffern, Besicherungsanforderungen oder Vorgaben zum Ausschluss bestimmter Geschäfte. Die Neufassung verlangt insoweit keine zusätzlichen Strategiepapiere, sondern eine konsistente Verbindung von Geschäftsmodell, Risikotragfähigkeit, Risikoappetit und operativen Entscheidungen.

### **IKT- und DOR-Strategie: Integration statt Doppelstrukturen**

Die MaRisk verlangen eine mit der Geschäftsstrategie konsistente und nachhaltige IKT-Strategie. Eine zusätzliche Strategie für die digitale operationale Resilienz (DOR-Strategie) ist erforderlich, wenn das Institut dem regulären IKT-Risikomanagementrahmen der DORA unterliegt. Die Einstufung als kleines oder sehr kleines Institut nach den MaRisk führt für sich genommen nicht zu einer Befreiung. Treffen beide Pflichten zusammen, können IKT- und DOR-Strategie abhängig von Größe und Gesamtrisikoprofil des Instituts in **einem Dokument** zusammengeführt werden. Auch eine Einbindung in die Geschäftsstrategie ist zulässig. Die Zusammenführung darf jedoch nicht zu inhaltlichen Lücken führen. Insbesondere müssen die strategischen Ziele für die IKT, die Umsetzung des IKT-Risikomanagementrahmens, die IKT-Risikotoleranz, die Informationssicherheitsziele, die digitale operationale Resilienz sowie die hierfür geltenden Verantwortlichkeiten und Genehmigungswege eindeutig erkennbar bleiben.

Gerade kleinere Institute können auf diese Weise parallele Strategiedokumente vermeiden. Voraussetzung ist eine klare Gliederung, aus der hervorgeht, welche Inhalte die MaRisk-Anforderungen an die IKT-Strategie und welche Inhalte die DORA-Anforderungen an die DOR-Strategie erfüllen.

### **Erleichterung bei der Strategieüberwachung**

Kleine Institute können unter bestimmten Voraussetzungen die Überwachung von Strategie und Kapitalplanung auf einen **jährlichen Turnus** beschränken, wenn sie zusätzlich zur aufsichtlich vorgeschriebenen und empfohlenen Kapitalausstattung einen Puffer von mindestens zwei Prozentpunkten an hartem Kernkapital vorhalten.

### **Stresstests: Vereinfachungen für kleine und sehr kleine Institute**

Bei den Stresstests eröffnet die Neufassung erstmals klar umrissene Vereinfachungen für kleine und sehr kleine Institute. Sehr kleine Institute können auf eigenständige **Stresstests für einzelne Risikoarten** verzichten, wenn diese Risiken im Stresstest für das Gesamtrisikoprofil hinreichend belastet werden. Kleine Institute müssen keine inversen Stresstests durchführen; unter den genannten Voraussetzungen kann ein schwerer konjunktureller Abschwung oder ein vergleichbares Stagflationsszenario als zentrales Gesamtbankszenario ausreichen. Damit lässt sich das Stresstestprogramm straffen. Wesentliche Risiken und Risikokonzentrationen dürfen jedoch nicht ausgeblendet werden. Werden Einzeltests zusammengeführt oder aufgegeben, muss nachvollziehbar sein, dass das verbleibende Szenario das institutsindividuelle Risikoprofil weiterhin vollständig und ausreichend schwer erfasst.

### **Umweltrisiken: langfristige Resilienz des Geschäftsmodells**

Zusätzlicher Handlungsbedarf entsteht bei Umweltrisiken. Wesentliche Umweltrisiken sind ausdrücklich in die Stresstests einzubeziehen. Ergänzend zu den kurzfristig ausgerichteten Stresstests sind langfristige Resilienzanalysen durchzuführen, deren Ergebnisse in die Geschäftsmodellanalyse und die Strategie einfließen müssen. Die Bafin verbindet damit die kurzfristige Widerstandsfähigkeit des Instituts mit der langfristigen Tragfähigkeit seines Geschäftsmodells. Szenarien, Zeithorizonte, Auswirkungen und strategische Folgerungen sollten deshalb in einem durchgängigen Analyse- und Entscheidungsprozess zusammengeführt werden.

## **Compliance-Funktion: mehr Spielraum bei der organisatorischen Anbindung**

Die organisatorischen Anbindungsmöglichkeiten der Compliance-Funktion werden neu gefasst und um weitere Beispiele ergänzt. Sie kann bei der Risikocontrolling-Funktion oder einer anderen geeigneten Funktion angesiedelt werden, sofern sie von Markt und Handel unabhängig bleibt und über eine unmittelbare Berichtslinie zur Geschäftsleitung verfügt.

Zulässige Funktionskombinationen werden breiter und konkreter beschrieben. Genannt werden unter anderem der Geldwäschebeauftragte, die IKT-Risikokontrollfunktion und der Datenschutzbeauftragte. Voraussetzung bleiben ausreichende Ressourcen, die Vermeidung von Interessenkonflikten und die Beachtung spezialgesetzlicher Vorgaben. Insbesondere dürfen die Funktionen des Geldwäschebeauftragten und des Datenschutzbeauftragten grundsätzlich nicht miteinander verbunden werden.

Die **Berichterstattung** ändert sich dagegen nur geringfügig. Der Compliance-Bericht ist weiterhin mindestens jährlich sowie anlassbezogen an die Geschäftsleitung zu richten, muss Defizite und Gegenmaßnahmen enthalten und an die Interne Revision weitergegeben werden. Das Aufsichtsorgan erhält den Bericht nun über die Regelung in AT 3.2.

## **Interne Revision: gebündelte Anforderungen und geänderte Berichtssystematik**

Die bislang in einem eigenen BT-Modul geregelten Anforderungen an die Interne Revision werden in AT 4.4.3 zusammengeführt. Am dreijährigen Regelturnus für die Prüfung sämtlicher Aktivitäten und Prozesse einschließlich ausgelagerter Tätigkeiten wird festgehalten. Für nicht wesentliche Prüfungsfelder wird nun ausdrücklich eine **Höchstfrist von fünf Jahren** festgelegt; besondere Risiken erfordern einen entsprechend kürzeren Turnus.

Nicht in gleicher Form fortgeführt wird die allgemeine Pflicht, wesentliche Projekte revisionsbegleitend zu prüfen. Die Neufassung stellt nur noch sicher, dass das uneingeschränkte Informations- und Zugriffsrecht der Internen Revision auch dann gilt, wenn sie ein wesentliches Projekt begleitet. Ob eine Begleitung erforderlich ist, ist damit risikoorientiert zu entscheiden; besondere Beteiligungspflichten, etwa bei wesentlichen Anpassungsprozessen, bleiben unberührt.

Zudem entfällt der gesonderte Jahresbericht. Der mindestens **vierteljährliche Revisionsbericht** wird dafür erweitert: Er muss neben den im Berichtsquartal durchgeführten Prüfungen und festgestellten wesentlichen Mängeln auch sämtliche noch nicht behobenen wesentlichen Mängel aus früheren Quartalen sowie eine Beurteilung der voraussichtlichen Einhaltung des Prüfungsplans enthalten.

## **Notfallmanagement: Ausrichtung auf kritische oder wichtige Funktionen**

AT 7.3 richtet das Notfallmanagement neu aus. Maßgeblich sind nicht mehr „zeitkritische Aktivitäten und Prozesse“, sondern Aktivitäten und Prozesse, die kritische oder wichtige Funktionen darstellen. Institute müssen ihre bisherige Einstufung daher inhaltlich überprüfen; eine bloße Umbenennung genügt nicht.

Ausgangspunkt ist eine vollständige **Übersicht** der Funktionen des Instituts. Die Auswirkungsanalyse muss erfassen, welche Folgen schwerwiegende Störungen kritischer oder wichtiger Funktionen haben können und welche Unterstützungsprozesse, IKT-Systeme, sonstigen Ressourcen und potenziellen Gefährdungen dabei zu berücksichtigen sind. Die bisher gesondert vorgesehene Risikoanalyse wird nicht fortgeführt; die Identifikation potenzieller Gefährdungen ist nun in die Auswirkungsanalyse eingebunden.

Das Notfallkonzept muss darauf abgestimmte Verantwortlichkeiten, Auslösekriterien und Maßnahmen zur Fortführung oder Wiederherstellung der betroffenen Funktionen und Unterstützungsprozesse festlegen. Geschäftsfortführungs- und Wiederherstellungspläne müssen auf plausiblen Szenarien und vernünftigen Annahmen beruhen. Für kritische oder wichtige Funktionen sind Angemessenheit und Wirksamkeit des Notfallkonzepts mindestens jährlich zu überprüfen. Bei Auslagerungen müssen die Notfallkonzepte des Instituts und des Dienstleisters aufeinander abgestimmt sein.

Der Umsetzungsbedarf liegt damit vor allem im Abgleich von Funktionsübersicht, Prozesslandkarte, Auswirkungsanalyse, Wiederanlaufplanung, Testkonzept und Auslagerungssteuerung.

## **Auslagerungen und DORA: klare Abgrenzung und risikoorientierte Berichterstattung**

AT 9 zieht erstmals eine ausdrückliche Grenze zum DORA-Regime. IKT-Dienstleistungen im Sinne von Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, sind nicht mehr nach AT 9 zu behandeln. Die aufsichtsrechtlichen Anforderungen entfallen damit nicht, sondern richten sich nach DORA.

Institute müssen ihre Fremdbezüge deshalb eindeutig als MaRisk-Auslagerung, sonstigen Fremdbezug oder IKT-Drittdienstleistung nach DORA einordnen. Diese Einstufung muss in Risikoanalysen, Verträgen, laufender Überwachung und Berichterstattung ebenso konsistent abgebildet sein wie im Auslagerungsregister und im DORA-Informationsregister. Abweichende Zuordnungen zwischen Fachbereichen, Auslagerungsmanagement und IKT-Drittparteienrisikomanagement bergen die Gefahr von Doppelprüfungen oder Kontrolllücken.

Auch die Berichterstattung des zentralen Auslagerungsmanagements an die Geschäftsleitung wird stärker risikoorientiert. Der bisherige jährliche Mindestturnus für wesentliche Auslagerungen entfällt; künftig ist regelmäßig und anlassbezogen zu berichten. Das Institut muss daher selbst einen angemessenen **Turnus festlegen**, der insbesondere Bedeutung und Veränderung des Auslagerungsportfolios, Leistungsstörungen, Konzentrationsrisiken und wesentliche Änderungen bei Dienstleistern berücksichtigt.

Die organisatorischen Anforderungen werden flexibler gefasst. Die bisherige allgemeine Pflicht, einen zentralen Auslagerungsbeauftragten zu benennen, entfällt. Künftig ist abhängig von Art, Umfang und Komplexität der Auslagerungsaktivitäten ein **zentrales Auslagerungsmanagement** einzurichten. Ihm werden nun unmittelbar die Pflege der Auslagerungsdokumentation einschließlich des Auslagerungsregisters, die Unterstützung der Fachbereiche, die Koordination und Überprüfung der Risikoanalysen sowie die Berichterstattung über wesentliche Auslagerungen zugewiesen. Bestehende Auslagerungsbeauftragtenrollen können organisatorisch fortgeführt werden, sind nach den MaRisk aber nicht mehr allgemein vorgeschrieben. Unberührt bleiben besondere Beauftragtenpflichten bei der vollständigen Auslagerung besonderer Funktionen.

## **Kreditgeschäft: präzisere Entscheidungsprozesse, automatisierte Modelle und Frühwarnung**

### **Kreditvergabe und automatisierte Entscheidungen**

BTO 1 macht mehrere bislang vor allem in den Erläuterungen oder über EBA-Verweise enthaltene Vorgaben verbindlicher und nimmt sie in den Anforderungstext auf. Die Verfahren zur Bestimmung des Kreditrisikos müssen insbesondere Genehmigungsstufen, Kreditvergabekriterien, Maßnahmen zur Risikominderung, den Umgang mit Abweichungen sowie Dokumentations- und Aufzeichnungspflichten regeln. Genehmigungsstufen sind mit Kreditrisikoappetit und Kreditlimiten abzustimmen. Ebenfalls unmittelbar geregelt werden Kontrollen zur Begrenzung interner und externer Betrugsrisiken und zur Überwachung verdächtigen Verhaltens.

Stärker in den Vordergrund rückt auch der Einsatz **automatisierter Modelle**. Institute müssen festlegen, bei welchen Produkten, Kundensegmenten und Limiten automatisierte Entscheidungen zulässig sind. Zugleich sind Entwicklung, Einsatz, Überwachung und die damit verbundenen Modellrisiken zu regeln. Die besonderen Vorgaben des Kreditprozesses sind dabei mit den allgemeinen Modellanforderungen nach AT 4.3.4 zu verzahnen.

### **Marktfolge und Sicherheitenbewertung**

Beim Zwei-Voten-Prinzip wird die Rolle der Marktfolge präzisiert. Sie muss die vom Markt vorgenommene Kreditbearbeitung und Risikobeurteilung nicht vollständig wiederholen. Ihr eigenes, marktunabhängiges Votum muss jedoch auf einer **materiellen Plausibilitätsprüfung** beruhen: Die zugrunde gelegten Annahmen und Bewertungen sind auf Nachvollziehbarkeit und die vorgeschlagene Kreditentscheidung auf Vertretbarkeit zu prüfen. Hierfür muss die Marktfolge auf alle wesentlichen Kreditunterlagen zugreifen können.

Auch die Vorgaben zur Sicherheitenbewertung werden teilweise neu kalibriert. Bewertungsverfahren sind regelmäßig, bei kleinen Instituten mindestens alle zwei Jahre, zu überprüfen. Anforderungen an fortgeschrittene statistische Bewertungsmodelle, die bislang vor allem über EBA-Verweise einzubeziehen waren, werden nun im MaRisk-Text ausformuliert. Sie betreffen insbesondere Standortbezug, Genauigkeit, Rückvergleiche, repräsentative Stichproben, aktuelle Daten, ausreichende Modellkenntnisse und eine aktuelle Dokumentation.

### **Frühwarnindikatoren und Beobachtungslisten**

Die bislang vor allem über EBA-Verweise einzubeziehenden Anforderungen an Frühwarnindikatoren und Beobachtungslisten werden unmittelbar in BTO 1.3.1 geregelt. Wird ein Frühwarnindikator ausgelöst, ist das betroffene Engagement zu überprüfen und bei Bedarf in eine **Beobachtungsliste** aufzunehmen. Die Geschäftsleitung ist regelmäßig über deren Stand und die ergriffenen Maßnahmen zu informieren. Zudem müssen die Indikatoren regelmäßig überprüft und an Veränderungen des Risikoumfelds und der Marktbedingungen angepasst werden.

Wird das Risikoklassifizierungsverfahren zugleich zur Früherkennung eingesetzt, muss es Risiken nicht nur punktuell bewerten, sondern auch über einen bestimmten Zeitraum beobachten und einen geregelten Prozess für Folgemaßnahmen auslösen. Ein Rating- oder Scoring-Ergebnis allein genügt hierfür nicht.

### **Problemkredite und Rettungserwerbe**

Für Institute mit hohem NPL-Bestand wird die bisher in den Erläuterungen enthaltene Soll-Vorgabe zu spezialisierten NPE-Abwicklungseinheiten verbindlich und in den Anforderungstext übernommen. Die Einheiten müssen der Größe, Art, Komplexität und dem Risikoprofil des Instituts entsprechen, grundsätzlich vom Kreditvergabeprozess getrennt und außerhalb des Bereichs Markt angesiedelt sein; eine Zuordnung zur Problemkreditbearbeitung bleibt möglich. Lassen sich personelle Überschneidungen mit der Kreditvergabe nicht vermeiden, müssen Interessenkonflikte vermieden werden. Bei der Ausgestaltung sind die Besonderheiten der jeweiligen NPE-Portfolios zu berücksichtigen; für deren Analyse sind spezialisierte und hinreichend qualifizierte Mitarbeiter heranzuziehen.

Auch bei Immobilien aus Rettungserwerben liegt keine materielle Neuerung vor. Die bereits 2024 in den Erläuterungen enthaltene Regelung steht nun im Anforderungstext: Immobilien, die im Rahmen eines Rettungserwerbs erworben werden, gelten als Immobiliengeschäfte. Werden die Schwellen nach BTO 3 überschritten, sind die Anforderungen des BTO 3.2.2 zur Weiterbearbeitung und Überwachung zu beachten.

### **Handels- und Immobiliengeschäft: verbindlicher Audit Trail und höhere Schwellenwerte**

Im Handelsgeschäft bleiben die elektronische Abwicklung und die Nutzung vorhandener Abwicklungssysteme unverändert. Neu ist vor allem die stärkere Verankerung bestehender Vorgaben im Anforderungstext: Fehlende oder unvollständige Gegenbestätigungen sind weiterhin unverzüglich zu reklamieren. Kann eine Gegenbestätigung nicht eingeholt werden, sind Existenz und Inhalt des Geschäfts auf andere geeignete Weise zu verifizieren. Bei OTC-Derivaten kann unter den genannten Voraussetzungen eine Bestätigung nach EMIR genügen. Bei komplexen Produkten wird die bisherige Soll-Vorgabe verbindlich: Die Ad-hoc-Bestätigung muss die wesentlichen Abschlussdaten enthalten.

Auch die Kontrollausnahme bei automatischer, vom Händler nicht mehr beeinflussbarer Weiterleitung der Abschlussdaten wird in den Anforderungstext übernommen. Materiell verschärft wird dagegen der Audit Trail: Bestand und Veränderungen von Positionen und Zahlungsströmen müssen künftig nachvollziehbar sein; bislang war dies nur als mögliche Ausgestaltung angemessener Abstimmungsprozesse beschrieben.

Im Immobiliengeschäft steigen die Schwellenwerte für die Anwendung von BTO 3 von 30 Millionen Euro und 2 % auf 40 Millionen Euro und 4 % der Bilanzsumme. Neu ist zudem die Möglichkeit, Immobilienbuchwerte gemeinschaftlich beherrschter Unternehmen und von Tochterunternehmen nach § 290 HGB anteilig anzurechnen, sofern keine Anhaltspunkte für Umgehungsgeschäfte bestehen.

### **Zinsänderungsrisiken im Anlagebuch: unmittelbare Vorgaben statt pauschaler EBA-Verweise**

Die Anforderungen an Zinsänderungsrisiken im Anlagebuch werden deutlich konkreter. Zentrale Vorgaben, die bislang vor allem über Verweise auf die EBA-Leitlinien einzubeziehen waren, stehen nun unmittelbar in BTR 2.3\. Dies betrifft insbesondere den einzubeziehenden Positionsumfang, die barwertige und ergebnisbezogene Perspektive, Zinskurven und Zinsänderungsszenarien, die Behandlung von Margen sowie die Erfassung von Gap-, Basis- und Optionsrisiken.

Notleidende Risikopositionen sind nach Abzug der Wertberichtigungen und unter Berücksichtigung ihrer erwarteten Zahlungsströme einzubeziehen. Gleiches gilt für unmittelbare Pensionsverpflichtungen, soweit deren Risiken nicht bereits anderweitig erfasst werden.

Besonders relevant sind die konkretisierten Modellierungsvorgaben für Positionen mit unbestimmter Kapital- oder Zinsbindung. Institute müssen Veränderungen der Stabilitätsannahmen, unterschiedliche Zinsszenarien, Änderungen des wirtschaftlichen Umfelds und mögliche Wechsel zwischen Produktklassen berücksichtigen. Einlagen von Finanzkunden dürfen nur modelliert werden, wenn sie als operative Einlagen im liquiditätsaufsichtlichen Sinne einzustufen sind.

Für Einlagen ohne feste Kapital- oder Zinsbindung gelten konkretisierte Modellierungsvorgaben. Einlagen von Finanzkunden dürfen nur modelliert werden, wenn sie als operative Einlagen im Sinne von [Art. 27 der Delegierten Verordnung (EU) 2015/61](https://judict.eu/de/sla/32013R0575/32015R0061-X/article-27?ref=waldvorlauternormen.com) einzustufen sind. Nicht operative Anlage- oder Überschussliquidität ist ausgeschlossen. Für operative Einlagen von Finanzkunden und für Einlagen von Nicht-Finanzkunden darf die angenommene gewichtete durchschnittliche Zinsbindung höchstens fünf Jahre betragen. Die Grenze gilt für das aggregierte Portfolio und gesondert für jede Währung.

Der Anpassungsbedarf betrifft damit vor allem die Abgrenzung des Positionsbestands, die Modellannahmen, die Produkt- und Währungssegmentierung sowie die zugehörige Methodik- und Modelldokumentation.

### **Kreditspreadrisiken im Anlagebuch: Positionsumfang und Methoden werden konkretisiert**

BTR 5 ersetzt den bisherigen pauschalen Verweis auf die EBA-Leitlinien durch unmittelbar formulierte Vorgaben. Zum beizulegenden Zeitwert bewertete Positionen der Aktivseite sind einzubeziehen, notleidende Risikopositionen dagegen auszunehmen. Ein Ausschluss allein wegen Handelbarkeit oder Haltedauer ist nicht zulässig. Vereinfachte Entscheidungen über die Nichtberücksichtigung bleiben insbesondere bei Krediten ohne Kreditspreadrisikosensitivität, Einlagen und bestimmten Derivaten möglich, müssen sich aber aus der tatsächlichen Risikosensitivität ergeben und nachvollziehbar dokumentiert werden.

Bei kleinen Handelsbüchern nach [Art. 94 CRR](https://judict.eu/de/hla/32013R0575-X/article-94?ref=waldvorlauternormen.com) sind Handels- und Anlagebuch integriert zu betrachten, sofern das Kreditspreadrisiko des Handelsbuchs nicht bereits anderweitig erfasst wird. Schuldner- oder instrumentspezifische Risikokomponenten dürfen nur konservativ und nachvollziehbar begründet einbezogen werden. Interne Risikotransfers müssen künftig nicht nur dokumentiert werden, sondern auch mit den risikopolitischen Vorgaben des Instituts im Einklang stehen.

### **Liquiditätsrisiken: Einmonats-Puffer gilt künftig für alle Institute**

BTR 3 wird vollständig neu geordnet: Die bisherigen Sonderanforderungen für kapitalmarktorientierte Institute gehen in einem einheitlichen Regelungsrahmen auf. Die wichtigste Änderung betrifft die **Liquiditätspuffer**: Alle Institute müssen den im Stresstest ermittelten Liquiditätsbedarf über einen am Risikoappetit ausgerichteten Zeitraum von mindestens einem Monat abdecken. Der Puffer muss tatsächlich nutzbar sein; rechtliche, regulatorische, technische oder operationelle Hindernisse dürfen seiner Verwertung nicht entgegenstehen.

Zahlreiche Detailvorgaben zur Zusammensetzung und Staffelung der Puffer entfallen. Dies erlaubt eine stärker institutsindividuelle Ausgestaltung, nicht aber einen ungeprüften Abbau bestehender Kontrollen. Die Kosten der Liquiditätspuffer sind im internen Verrechnungssystem zu berücksichtigen. Kleine Institute müssen nur das regelmäßig schwerwiegendste Liquiditätsstressszenario untersuchen. Der Refinanzierungsplan ist künftig zwingend für einen mehrjährigen Zeitraum aufzustellen.

### **Operationelle Risiken: Straffung und verbindliche Aggregation zusammengehöriger Schadensfälle**

BTR 4 wird deutlich gestrafft. Entfallen sind vor allem die ausführlichen Definitionen von Boundary Events und Beinaheverlusten, die besondere Vorgabe einer Ereignisdatenbank für größere Institute, der Katalog der für potenzielle Ereignisse heranzuziehenden Erkenntnisquellen und die ausdrückliche Pflicht zur Überwachung beschlossener Maßnahmen. In der Erläuterung zum Umgang mit Schadensfällen mit Markt- oder Kreditrisikobezug, Beinaheverlusten und zusammenhängenden Ereignissen wird die bisherige Soll-Formulierung durch eine Muss-Formulierung ersetzt.

Neu im Anforderungstext ist die Pflicht, einzeln erfasste Schadensfälle, die demselben Ereignis zugeordnet werden können, zusammengefasst weiterzuverarbeiten. Bestehende Ereignisdatenbanken und Ursachenanalysen sollten trotz des Wegfalls der besonderen Detailvorgaben beibehalten werden, soweit sie für eine vollständige Beurteilung und wirksame Steuerung der operationellen Risiken erforderlich sind.

### **Risikoberichterstattung: mehr Spielraum bei Turnus und Berichtsinhalten**

Das bisherige BT 3 wird als BT 2 fortgeführt. Der mindestens vierteljährliche Gesamtrisikobericht bleibt bestehen. Für kleine Institute werden jedoch ausdrückliche Erleichterungen eingeführt: Bei unveränderten Sachverhalten kann auf frühere Berichte verwiesen werden, bei stabilen Risiken kann die unterjährige Berichterstattung entfallen und Stresstests dürfen rollierend aktualisiert werden.

Zugleich werden die **Mindestinhalte der Berichte** über Adressenausfall-, Marktpreis-, Liquiditäts- und operationelle Risiken gestrafft. Der monatliche Mindestturnus für die Liquiditätsrisikoberichte bedeutender oder kapitalmarktorientierter Institute entfällt. Über weitere wesentliche Risiken ist nicht mehr zwingend vierteljährlich, sondern regelmäßig zu berichten. Die Institute müssen Turnus und Detailtiefe daher stärker am jeweiligen Risiko ausrichten. Bisherige Inhalte sollten nur entfallen, wenn sie für die Beurteilung und Steuerung der Risikolage tatsächlich nicht wesentlich sind.

## **Fazit**

Die MaRisk 06/2026 erfordern vor allem Anpassungen bei der Zuordnung individueller Verantwortlichkeiten, der Einstufung kritischer oder wichtiger Funktionen, der Abgrenzung von Auslagerungen zu DORA und der Steuerung von Liquiditätsrisiken. Hinzu kommen konkretere Vorgaben für automatisierte Kreditentscheidungen, Frühwarnverfahren, NPE-Abwicklungseinheiten, Zinsänderungs- und Kreditspreadrisiken sowie die Nachvollziehbarkeit von Positionen und Zahlungsströmen im Handelsgeschäft.

Kleine und sehr kleine Institute können die ausdrücklich vorgesehenen Erleichterungen insbesondere bei Stresstests, Validierung, Risikoberichterstattung und Kontrollfunktionen nutzen, sofern die jeweiligen Voraussetzungen erfüllt sind. Berichtsturnusse und Berichtsinhalte sind an die Neufassung anzupassen; bestehende Informationen sollten nur entfallen, wenn sie für Risikoprofil und Steuerung nicht wesentlich sind.

Bei bloßen Verlagerungen oder Straffungen genügen regelmäßig die Anpassung interner Verweise und die Prüfung, ob die bestehenden Verfahren weiterhin angemessen und wirksam sind.

👉

Hier gehts zum [Umsetzungsleitfaden](https://www.waldvorlauternormen.com/umsetzungsleitfaden-marisk-06-2026-ba-anderungen-und-handlungsbedarf/)