Eine MaRisk-Novelle, die vieles grundlegend ändert
Am 1. April 2026 hat die BaFin den Entwurf zur 9. Novelle der Mindestanforderungen an das Risikomanagement (MaRisk) zur öffentlichen Konsultation gestellt. Die Stellungnahmefrist lief bis zum 8. Mai 2026. Was folgt, ist eine der weitreichendsten Überarbeitungen der MaRisk seit ihrer Einführung.
Die Botschaft der BaFin ist klar: Weg von der Checkbox-Compliance, hin zu echtem, prinzipienbasiertem Risikomanagement. Gleichzeitig sollen kleinere und weniger komplexe Institute spürbar entlastet werden. Und mit den neuen EBA-Leitlinien zu Klima-Szenarioanalysen kommen erstmals verbindliche Anforderungen zu klimabezogenen Risiken in die MaRisk.
Dieser Artikel erläutert die wichtigsten Änderungen – und was Ihr Institut jetzt vorbereiten sollte.
Der Kern der Reform: Prinzipien statt Prescriptions
Die bisherigen MaRisk waren über die Jahre zunehmend komplex geworden. Jede Novelle hatte neue Detailanforderungen hinzugefügt – mit dem Ergebnis, dass Compliance-Teams mehr Zeit mit der Dokumentation von Prozessdetails verbrachten als mit dem eigentlichen Risikomanagement.
Die 9. Novelle dreht diesen Trend um. Das Rundschreiben wird fundamentaler überarbeitet:
- Stärker prinzipienbasiert: Statt konkreter Prozessvorschriften formuliert die BaFin Ziele und Grundsätze. Die Institute erhalten mehr Spielraum bei der Ausgestaltung – müssen aber die Eignung ihrer gewählten Methoden begründen können.
- Deutlich reduzierte Komplexität: Redundante Anforderungen werden gestrichen, Formulierungen vereinfacht, die Struktur des Rundschreibens klarer gegliedert.
- Stärkere Proportionalität: Was für eine Großbank gilt, soll für eine Sparkasse mit regionaler Kundschaft angemessen modifiziert anwendbar sein.
Für Compliance-Teams bedeutet das: Weniger Copy-Paste aus dem Rundschreiben in interne Dokumentation – aber mehr konzeptionelle Arbeit bei der Begründung eigener Ansätze.
Proportionalität: Rund 950 Institute profitieren
Ein zentrales Versprechen der 9. Novelle ist die Entlastung kleiner und mittlerer Institute. Laut BaFin profitieren rund 950 Häuser – das entspricht etwa drei Viertel aller deutschen Kreditinstitute – von den geplanten Erleichterungen und Klarstellungen.
Konkret bedeutet das unter anderem:
- Vereinfachte Anforderungen an die Dokumentation von Risikosteuerungsprozessen für Institute unterhalb bestimmter Größen- und Komplexitätsschwellen
- Klarere Abgrenzung, welche AT-Abschnitte für welche Institutstypen verpflichtend bzw. empfohlen sind
- Reduzierter Begründungsaufwand bei Abweichungen vom Regelfall
Für größere und komplexere Institute bleibt der Anforderungsrahmen hingegen anspruchsvoll – mit dem zusätzlichen Aspekt der neuen Klimaanforderungen.
Neu: Klimabezogene Risiken werden Pflicht
Das wohl weitreichendste inhaltliche Novum der 9. MaRisk-Novelle ist die Integration der EBA-Leitlinien zur Umwelt-Szenarioanalyse (EBA/GL/2025/04) und zur Internen Governance.
Ab dem 1. Januar 2027 sind Kreditinstitute verpflichtet, klimabezogene Risiken systematisch in ihre Risikosteuerung einzubeziehen. Konkret bedeutet das:
- Klimarisikoanalyse als Pflichtbestandteil: Physische Risiken (Extremwetterereignisse, Naturkatastrophen) und Transitionsrisiken (regulatorische Verschärfungen, Marktveränderungen durch die Energiewende) müssen identifiziert, bewertet und dokumentiert werden.
- What-if-Szenarien zur Resilienz: Institute müssen Szenarien entwickeln, die zeigen, wie widerstandsfähig ihr Geschäftsmodell unter verschiedenen Klimaszenarien ist – zum Beispiel bei einem beschleunigten Kohleausstieg oder bei einem Anstieg physischer Schäden in bestimmten Regionen.
- Integration in das ICAAP: Klimarisiken müssen in den internen Kapitaladäquanzprozess (ICAAP) integriert werden.
Das ist eine erhebliche Anforderung – insbesondere für Institute, die bisher Klimarisiken vor allem als ESG-Kommunikationsthema behandelt haben. Die MaRisk macht daraus eine harte aufsichtsrechtliche Pflicht mit Prüfungsrelevanz.
Die neuen EBA-Leitlinien zur Internen Governance
Neben den Klimaanforderungen setzt die 9. MaRisk-Novelle auch die EBA-Leitlinien zur Internen Governance um. Diese betreffen insbesondere:
- Anforderungen an die Geschäftsleitung: Stärkere Verantwortung der Geschäftsleiter für das Risikomanagementsystem, verbesserte Aufsichtsratskompetenzen
- Risikomanagement-Funktion: Klärung der Rolle und Befugnisse des Chief Risk Officers (CRO) und der zugehörigen Einheit
- Risikokultur: Anforderungen an eine nachweisbare, gelebte Risikokultur im Institut – nicht nur auf dem Papier, sondern in der Praxis
Letzteres ist besonders interessant: Die BaFin wird künftig auch die tatsächlich gelebte Risikokultur bewerten – nicht nur die formale Dokumentation.
Was sich für die Prüfungspraxis ändert
Die 9. MaRisk-Novelle verändert auch, wie BaFin-Prüfungen ablaufen werden. Der prinzipienbasierte Ansatz bedeutet:
Mehr qualitative Prüfung. Prüfer werden nicht mehr nur abhaken, ob alle Prozesse nach Vorlage dokumentiert sind. Sie werden fragen: Warum haben Sie sich für diesen Ansatz entschieden? Wie stellen Sie sicher, dass er Ihrer Risikosituation gerecht wird?
Begründungspflicht für eigene Methoden. Institute, die von gängigen Marktpraktiken abweichen, müssen die Eignung ihrer Methoden substanziell begründen können.
Klima-Dokumentation wird Prüfungsgegenstand. Ab 2027 werden Prüfer explizit die Qualität der Klimarisikoanalysen bewerten – und nicht nur deren formale Existenz.
Für Compliance-Teams bedeutet das: Die Vorbereitung auf MaRisk-Prüfungen wird konzeptionell anspruchsvoller. Die Zeit, die bisher in Checkbox-Dokumentation floss, muss umgelenkt werden in inhaltliche Begründungsarbeit.
Zeitplan und nächste Schritte
Die finale Version der 9. MaRisk-Novelle wird nach Abschluss der Konsultation erwartet. Für die Umsetzung empfiehlt sich folgender Zeitplan:
Sofort (2026):
- Gap-Analyse gegen den Konsultationsentwurf durchführen
- Klimarisikoanalyse-Prozess konzipieren (Datenquellen, Szenarien, Governance)
- Proportionalitätseinschätzung vornehmen: Von welchen Erleichterungen kann Ihr Institut profitieren?
Bis Ende 2026:
- Interne Governance-Dokumentation an neue EBA-Anforderungen anpassen
- ICAAP-Prozess um Klimakomponente erweitern
- Schulungen für Geschäftsleitung und Risikocontrolling
Bis 1. Januar 2027:
- Vollständige Integration klimabezogener Risiken in die Risikosteuerung
- Prüffähige Dokumentation der What-if-Szenarien
Fazit
Die 9. MaRisk-Novelle ist keine inkrementelle Anpassung – sie ist eine grundlegende Reform des deutschen Risikomanagement-Rahmens. Prinzipienorientierung, Klimarisikointegration und neue Governance-Anforderungen stellen Compliance-Teams vor substanzielle konzeptionelle Arbeit.
Gleichzeitig bietet die Novelle eine echte Chance: Institute, die ihre Compliance bisher vor allem als Dokumentationsaufgabe verstanden haben, können die Reform nutzen, um ein Risikomanagement aufzubauen, das tatsächlich Mehrwert stiftet.
conformis bildet alle MaRisk-AT-Abschnitte direkt auf Ihre Policies und Kontrollen ab – und aktualisiert das Mapping automatisch, wenn neue Novellen erscheinen. So sind Sie mit jeder Überarbeitung sofort auf dem aktuellen Stand.