WpI MaRisk: Bafin veröffentlicht MaRisk für Kleine und Mittlere Wertpapierinstitute

Die Bundesanstalt für Finanzdienstleistungsaufsicht (Bafin) hat am 24. August 2026 die finalen Mindestanforderungen an das Risikomanagement von Wertpapierinstituten (WpI MaRisk) als Rundschreiben 09/2026 (WA) veröffentlicht. Damit erhalten Kleine und Mittlere Wertpapierinstitute einen eigenständigen, auf das Gesetz zur Beaufsichtigung von Wertpapierinstituten (WpIG) zugeschnittenen Rahmen für die Geschäftsorganisation und das Risikomanagement. Große Wertpapierinstitute bleiben dagegen im Anwendungsbereich der allgemeinen MaRisk.

Die finale Fassung knüpft eng an die Konsultationsfassung vom 6. Mai 2026 an. Ein grundlegender Umbau ist ausgeblieben. An einigen für die Praxis wichtigen Stellen hat die Bafin jedoch nachgeschärft oder Anforderungen präzisiert – insbesondere bei Compliance, Auslagerungen und vertraglich gebundenen Vermittlern.

Was hat sich gegenüber der Konsultationsfassung geändert?

Compliance: klarere Aufgaben und erweiterte Eskalation

Die Anforderungen an die Compliance-Funktion wurden sprachlich und inhaltlich klarer gefasst. Während die Konsultationsfassung noch eher allgemein auf die Überwachung wesentlicher rechtlicher Risiken abhob, verlangt die finale Fassung ausdrücklich, dass die Compliance-Funktion

"auf wirksame Verfahren und Kontrollen zur Einhaltung der wesentlichen rechtlichen Vorgaben hinwirkt."

Zugleich muss sie im Rahmen eines strukturierten Prozesses sicherstellen, dass die jeweils betroffenen Bereiche deren Einhaltung überwachen.

Neu ist zudem die Eskalation gegenüber dem Aufsichtsorgan: Über schwerwiegende Feststellungen gegen Geschäftsleiter ist dessen Vorsitzender künftig nicht nur bei Feststellungen der Internen Revision, sondern ausdrücklich auch bei solchen der Compliance-Funktion unverzüglich zu informieren. In der Mai-Fassung war an dieser Stelle ausschließlich die Interne Revision genannt.

Die Geschäftsleiter informieren den Vorsitzenden des Aufsichtsorgans unverzüglich über schwerwiegende Feststellungen der Internen Revision und Compliance-Funktion gegen Geschäftsleiter

In der Konsultationsfassung vom Mai lautete AT 3.2 Tz. 2 dagegen noch:

Die Geschäftsleiter informieren den Vorsitzenden des Aufsichtsorgans unverzüglich über schwerwiegende Feststellungen der Internen Revision gegen Geschäftsleiter.

Auslagerungen: weniger Formalismus, mehr Blick auf Auslagerungsketten

Bei den Auslagerungsanforderungen (AT 9) enthält die finale Fassung Änderungen in beide Richtungen:

• Einerseits wird die Vertragsform präzisiert: Für wesentliche Auslagerungen verlangt die Bafin nun einen „in Textform dokumentierten“ Auslagerungsvertrag; die Konsultationsfassung sprach noch von einem „schriftlich dokumentierten“ Vertrag.
• Zudem entfällt die zusätzliche Erläuterung aus dem Mai-Entwurf, wonach der konkrete Ort der Leistungserbringung – etwa Stadt oder gegebenenfalls genaue Anschrift – dem Institut jederzeit bekannt sein musste. Die Pflicht zur Angabe der relevanten Regionen oder Länder bleibt bestehen.
• Andererseits verschärft die Bafin den Blick auf Weiterverlagerungen:
  Bei einer Weiterverlagerung muss sichergestellt sein, dass der Auslagerungsdienstleister gegenüber dem Institut berichtspflichtig bleibt. Außerdem ist in der Risikoanalyse künftig ausdrücklich das Risiko zu berücksichtigen, dass lange und komplexe Auslagerungsketten die wirksame Überwachung durch das Institut beeinträchtigen.

Auch die Anforderungen an die Interne Revision werden präzisiert (AT 9 Tz. 4):

• In der finalen Fassung heißt es in AT 9 Tz. 4:

Die Interne Revision des auslagernden Wertpapierinstituts kann auf eigene Prüfungshandlungen verzichten, sofern anderweitig eine Revisionstätigkeit durchgeführt wird, die den aufsichtsrechtlichen Anforderungen genügt und die relevanten Prüfungsergebnisse weitergegeben werden. Die Interne Revision des auslagernden Instituts muss sich regelmäßig von der Einhaltung dieser Voraussetzungen überzeugen.

In der Konsultationsfassung vom Mai dagegen noch:

Die Interne Revision des auslagernden Wertpapierinstituts kann auf eigene
Prüfungshandlungen verzichten, sofern anderweitig eine Revisionstätigkeit
durchgeführt wird, die den aufsichtsrechtlichen Anforderungen genügt. Die
Interne Revision des auslagernden Wertpapierinstituts muss sicherstellen, dass die Voraussetzungen eingehalten und die relevanten Prüfungsergebnisse an die Interne Revision des auslagernden Wertpapierinstituts weitergegeben werden.

Vertraglich gebundene Vermittler: jeder Vermittler als eigene Auslagerung

BTV Tz. 1 stellt nun ausdrücklich klar, dass die Tätigkeit jedes einzelnen vertraglich gebundenen Vermittlers als eigenständige Auslagerung gilt. Die Konsultationsfassung hatte lediglich allgemein von der Tätigkeit der vertraglich gebundenen Vermittler als Auslagerung gesprochen.

Die finale Fassung lautet:

Die Tätigkeit jedes einzelnen vertraglich gebundenen Vermittlers gemäß § 3 Absatz 2 WpIG gilt als eigenständige Auslagerung.

In der Konsultationsfassung vom Mai hieß es dagegen lediglich:

Die Tätigkeit der vertraglich gebundenen Vermittler gemäß § 3 Absatz 2 WpIG gilt als Auslagerung.

Für Institute mit einer größeren Vermittlerorganisation dürfte dies insbesondere Auswirkungen auf Risikoanalyse, Auslagerungsdokumentation und laufende Überwachung haben.

Notfallmanagement: engerer Bezug zu kritischen Funktionen

Auch AT 7.3 wurde punktuell angepasst:

• Der Mai-Entwurf verlangte ein Notfallkonzept für Aktivitäten und Prozesse, die kritische oder wichtige Funktionen unterstützen.
• Die finale Fassung stellt darauf ab, dass die Aktivitäten und Prozesse selbst kritische oder wichtige Funktionen darstellen

Der Wortlaut ist damit enger gefasst. Für die Praxis dürfte dies insbesondere die Abgrenzung des notfallrelevanten Prozessumfangs erleichtern: Nicht jeder lediglich unterstützende Prozess fällt bereits als solcher unmittelbar unter AT 7.3.

Abhängigkeiten, die für die Aufrechterhaltung einer kritischen oder wichtigen Funktion erforderlich sind, bleiben bei der Ausgestaltung eines wirksamen Notfallmanagements jedoch zu berücksichtigen.

Die wichtigsten Punkte der finalen WpI MaRisk

• Adressaten: Die WpI MaRisk gelten für Kleine und Mittlere Wertpapierinstitute. Große Wertpapierinstitute bleiben weiterhin den KWG-MaRisk unterworfen.
• Proportionalität bleibt Leitprinzip: Umfang und Intensität der Anforderungen richten sich nach Größe, Geschäftsmodell und Risikoprofil. Für Kleine Wertpapierinstitute bestehen zahlreiche ausdrückliche Erleichterungen; beispielsweise kann die Wesentlichkeitsbeurteilung von Risiken regelmäßig qualitativ erfolgen.
• Governance und Risikomanagement werden systematisiert: Geschäfts- und Risikostrategie, Risikoinventur, Kapitalplanung, Kontrollfunktionen, Organisationsrichtlinien und Auslagerungsmanagement werden in einem einheitlichen aufsichtsrechtlichen Rahmen zusammengeführt.
• DORA und WpI-MaRisk werden abgegrenzt: IKT-Dienstleistungen, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, fallen nicht zusätzlich unter AT 9 WpI MaRisk.
• Auslagerungen bleiben ein Schwerpunkt: Neben Risikoanalyse und Auslagerungsregister stehen insbesondere Steuerbarkeit, Kontrollrechte, Weiterverlagerungen und der Erhalt ausreichender eigener Kenntnisse im Institut im Fokus.

Ausblick: Umsetzung bis zum 1. Januar 2027

• Die WpI MaRisk gelten ab dem 1. Januar 2027. An diesem Zeitplan hat sich gegenüber der Konsultationsfassung nichts geändert.
  Damit verbleiben den betroffenen Instituten gut vier Monate für die finale Umsetzung.
• Wer seine Geschäftsorganisation bereits an der Mai-Fassung ausgerichtet hat, muss dabei nicht von vorne beginnen. Im Vordergrund sollte vielmehr eine gezielte Delta- bzw. Gap-Analyse stehen: Compliance-Prozesse und Eskalationswege, Auslagerungsverträge und -risikoanalysen, Weiterverlagerungsketten sowie die Behandlung vertraglich gebundener Vermittler sollten nochmals an der finalen Fassung gespiegelt werden.
• Die Veröffentlichung der finalen WpI MaRisk markiert damit weniger einen regulatorischen Neustart als den Übergang von der Konzeptions- in die konkrete Umsetzungsphase.