> ## Content Index > Fetch the complete content index at: https://www.waldvorlauternormen.com/llms.txt > Use this file to discover other available public pages before exploring further. # WpI MaRisk: Bafin veröffentlicht MaRisk für Kleine und Mittlere Wertpapierinstitute - URL: https://www.waldvorlauternormen.com/wpi-marisk-bafin-veroffentlicht-marisk-fur-kleine-und-mittlere-wertpapierinstitute/ - Published: 2026-08-26T09:27:16.000Z - Updated: 2026-08-26T09:27:16.000Z - Description: Die Bafin hat die finalen WpI MaRisk (Rundschreiben 09/2026) veröffentlicht mit Änderungen bei Compliance, Auslagerungen und vertraglich gebundenen Vermittlern. - Author: Jonas Philipp Burckgard - Tags: Bank- & Aufsichtsrecht, Wertpapierinstitute, WpI-MaRisk Die Bundesanstalt für Finanzdienstleistungsaufsicht (Bafin) hat am 24\. August 2026 die finalen **Mindestanforderungen an das Risikomanagement von Wertpapierinstituten (WpI MaRisk)** als [Rundschreiben 09/2026 (WA)](https://www.bafin.de/SharedDocs/Downloads/DE/Rundschreiben/dl%5Frs%5F0926%5Fwpi%5Fmarisk.html?nn=150446&ref=waldvorlauternormen.com) veröffentlicht. Damit erhalten Kleine und Mittlere Wertpapierinstitute einen eigenständigen, auf das Gesetz zur Beaufsichtigung von Wertpapierinstituten (WpIG) zugeschnittenen Rahmen für die Geschäftsorganisation und das Risikomanagement. Große Wertpapierinstitute bleiben dagegen im Anwendungsbereich der allgemeinen MaRisk. Die finale Fassung knüpft eng an die [Konsultationsfassung vom 6\. Mai 2026](https://www.bafin.de/SharedDocs/Downloads/DE/Konsultation/2026/dl%5Fkon%5F05%5F2026%5Frs%5Fwpi%5Fmarisk.pdf?%5F%5Fblob=publicationFile&v=8&ref=waldvorlauternormen.com) an. Ein grundlegender Umbau ist ausgeblieben. An einigen für die Praxis wichtigen Stellen hat die Bafin jedoch nachgeschärft oder Anforderungen präzisiert – insbesondere bei Compliance, Auslagerungen und vertraglich gebundenen Vermittlern. ## **Was hat sich gegenüber der Konsultationsfassung geändert?** ### **Compliance: klarere Aufgaben und erweiterte Eskalation** Die Anforderungen an die Compliance-Funktion wurden sprachlich und inhaltlich klarer gefasst. Während die Konsultationsfassung noch eher allgemein auf die Überwachung wesentlicher rechtlicher Risiken abhob, verlangt die finale Fassung ausdrücklich, dass die Compliance-Funktion > "auf wirksame Verfahren und Kontrollen zur Einhaltung der wesentlichen rechtlichen Vorgaben hinwirkt." Zugleich muss sie im Rahmen eines strukturierten Prozesses sicherstellen, dass die jeweils betroffenen Bereiche deren Einhaltung überwachen. Neu ist zudem die Eskalation gegenüber dem Aufsichtsorgan: Über schwerwiegende Feststellungen gegen Geschäftsleiter ist dessen Vorsitzender künftig nicht nur bei Feststellungen der Internen Revision, sondern ausdrücklich auch bei solchen der **Compliance-Funktion** unverzüglich zu informieren. In der Mai-Fassung war an dieser Stelle ausschließlich die Interne Revision genannt. > Die Geschäftsleiter informieren den Vorsitzenden des Aufsichtsorgans unverzüglich über schwerwiegende Feststellungen der Internen Revision **und Compliance-Funktion** gegen Geschäftsleiter In der Konsultationsfassung vom Mai lautete AT 3.2 Tz. 2 dagegen noch: > Die Geschäftsleiter informieren den Vorsitzenden des Aufsichtsorgans unverzüglich über schwerwiegende Feststellungen der **Internen Revision** gegen Geschäftsleiter. ### **Auslagerungen: weniger Formalismus, mehr Blick auf Auslagerungsketten** Bei den Auslagerungsanforderungen (AT 9) enthält die finale Fassung Änderungen in beide Richtungen: - Einerseits wird die Vertragsform präzisiert: Für wesentliche Auslagerungen verlangt die Bafin nun einen **„in Textform dokumentierten“ Auslagerungsvertrag**; die Konsultationsfassung sprach noch von einem „schriftlich dokumentierten“ Vertrag. - Zudem entfällt die zusätzliche Erläuterung aus dem Mai-Entwurf, wonach der konkrete Ort der Leistungserbringung – etwa Stadt oder gegebenenfalls genaue Anschrift – dem Institut jederzeit bekannt sein musste. Die Pflicht zur Angabe der relevanten Regionen oder Länder bleibt bestehen. - Andererseits verschärft die Bafin den Blick auf **Weiterverlagerungen**: Bei einer Weiterverlagerung muss sichergestellt sein, dass der Auslagerungsdienstleister gegenüber dem Institut berichtspflichtig bleibt. Außerdem ist in der Risikoanalyse künftig ausdrücklich das Risiko zu berücksichtigen, dass lange und komplexe Auslagerungsketten die wirksame Überwachung durch das Institut beeinträchtigen. Auch die Anforderungen an die Interne Revision werden präzisiert (AT 9 Tz. 4): - In der **finalen Fassung** heißt es in **AT 9 Tz. 4**: > Die Interne Revision des auslagernden Wertpapierinstituts kann auf eigene Prüfungshandlungen verzichten, sofern anderweitig eine Revisionstätigkeit durchgeführt wird, die den aufsichtsrechtlichen Anforderungen genügt **und die relevanten Prüfungsergebnisse weitergegeben werden**. Die Interne Revision des auslagernden Instituts muss sich **regelmäßig von der Einhaltung dieser Voraussetzungen überzeugen.** In der **Konsultationsfassung vom Mai** dagegen noch: > Die Interne Revision des auslagernden Wertpapierinstituts kann auf eigene > Prüfungshandlungen verzichten, sofern anderweitig eine Revisionstätigkeit > durchgeführt wird, die den aufsichtsrechtlichen Anforderungen genügt. Die > Interne Revision des auslagernden Wertpapierinstituts muss **sicherstellen, dass die Voraussetzungen eingehalten und die relevanten Prüfungsergebnisse an die Interne Revision des auslagernden Wertpapierinstituts weitergegeben werden.** ### **Vertraglich gebundene Vermittler: jeder Vermittler als eigene Auslagerung** BTV Tz. 1 stellt nun ausdrücklich klar, dass die Tätigkeit jedes einzelnen vertraglich gebundenen Vermittlers als eigenständige Auslagerung gilt. Die Konsultationsfassung hatte lediglich allgemein von der Tätigkeit *der vertraglich gebundenen Vermittler* als Auslagerung gesprochen. Die finale Fassung lautet: > Die Tätigkeit **jedes einzelnen vertraglich gebundenen Vermittlers** gemäß § 3 Absatz 2 WpIG gilt als **eigenständige Auslagerung.** In der Konsultationsfassung vom Mai hieß es dagegen lediglich: > Die Tätigkeit **der vertraglich gebundenen Vermittler** gemäß § 3 Absatz 2 WpIG gilt als Auslagerung. Für Institute mit einer größeren Vermittlerorganisation dürfte dies insbesondere Auswirkungen auf Risikoanalyse, Auslagerungsdokumentation und laufende Überwachung haben. ### **Notfallmanagement: engerer Bezug zu kritischen Funktionen** Auch AT 7.3 wurde punktuell angepasst: - Der Mai-Entwurf verlangte ein Notfallkonzept für Aktivitäten und Prozesse, die kritische oder wichtige Funktionen **unterstützen.** - Die finale Fassung stellt darauf ab, dass die Aktivitäten und Prozesse selbst kritische oder wichtige Funktionen **darstellen** Der Wortlaut ist damit enger gefasst. Für die Praxis dürfte dies insbesondere die Abgrenzung des notfallrelevanten Prozessumfangs erleichtern: Nicht jeder lediglich unterstützende Prozess fällt bereits als solcher unmittelbar unter AT 7.3\. Abhängigkeiten, die für die Aufrechterhaltung einer kritischen oder wichtigen Funktion erforderlich sind, bleiben bei der Ausgestaltung eines wirksamen Notfallmanagements jedoch zu berücksichtigen. ## **Die wichtigsten Punkte der finalen WpI MaRisk** - **Adressaten:** Die WpI MaRisk gelten für Kleine und Mittlere Wertpapierinstitute. Große Wertpapierinstitute bleiben weiterhin den KWG-MaRisk unterworfen. - **Proportionalität bleibt Leitprinzip:** Umfang und Intensität der Anforderungen richten sich nach Größe, Geschäftsmodell und Risikoprofil. Für Kleine Wertpapierinstitute bestehen zahlreiche ausdrückliche Erleichterungen; beispielsweise kann die Wesentlichkeitsbeurteilung von Risiken regelmäßig qualitativ erfolgen. - **Governance und Risikomanagement werden systematisiert:** Geschäfts- und Risikostrategie, Risikoinventur, Kapitalplanung, Kontrollfunktionen, Organisationsrichtlinien und Auslagerungsmanagement werden in einem einheitlichen aufsichtsrechtlichen Rahmen zusammengeführt. - **DORA und WpI-MaRisk werden abgegrenzt:** IKT-Dienstleistungen, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, fallen nicht zusätzlich unter AT 9 WpI MaRisk. - **Auslagerungen bleiben ein Schwerpunkt:** Neben Risikoanalyse und Auslagerungsregister stehen insbesondere Steuerbarkeit, Kontrollrechte, Weiterverlagerungen und der Erhalt ausreichender eigener Kenntnisse im Institut im Fokus. ## **Ausblick: Umsetzung bis zum 1\. Januar 2027** - Die WpI MaRisk gelten **ab dem 1\. Januar 2027**. An diesem Zeitplan hat sich gegenüber der Konsultationsfassung nichts geändert. Damit verbleiben den betroffenen Instituten gut vier Monate für die finale Umsetzung. - Wer seine Geschäftsorganisation bereits an der Mai-Fassung ausgerichtet hat, muss dabei nicht von vorne beginnen. Im Vordergrund sollte vielmehr eine gezielte Delta- bzw. Gap-Analyse stehen: Compliance-Prozesse und Eskalationswege, Auslagerungsverträge und -risikoanalysen, Weiterverlagerungsketten sowie die Behandlung vertraglich gebundener Vermittler sollten nochmals an der finalen Fassung gespiegelt werden. - Die Veröffentlichung der finalen WpI MaRisk markiert damit weniger einen regulatorischen Neustart als den Übergang von der Konzeptions- in die konkrete Umsetzungsphase.