| MaRisk: Inkrafttreten und ÜbergangsfristMaßgeblich war die 8. MaRisk-Novelle (Rundschreiben 06/2024 (BA)). Sie galt für alle Institute nach § 1 Abs. 1b KWG, auch für bedeutende Institute unter direkter EZB-Aufsicht. |
Seit 30.06.2026 · Übergangsfrist bis 01.01.2027Die 9. MaRisk-Novelle (Rundschreiben 06/2026 (BA)) ist mit Veröffentlichung in Kraft getreten. Soweit sich daraus zusätzliche Anforderungen ergeben, gilt laut Übersendungsschreiben eine Übergangsfrist bis 01.01.2027; Erleichterungen sind sofort nutzbar. Bedeutende Institute nach Art. 6 SSM-Verordnung fallen aus dem Anwendungsbereich heraus (AT 2.1 Tz. 1). |
| Größenklassen und ErleichterungenErleichterungen für kleine Institute ergaben sich aus der Aufsichtsmitteilung vom 26.11.2024 und aus einzelnen Öffnungsklauseln, die das Institut jeweils selbst begründen musste. |
Seit 30.06.2026Kleine Institute im Sinne von AT 1 Tz. 3 sind SNCI nach Art. 4 Abs. 1 Nr. 145 CRR sowie CRD-Drittstaatenzweigstellen der Risikoklasse 2. Sehr kleine Institute und CRD-Drittstaatenzweigstellen überschreiten im Vierjahresdurchschnitt eine Bilanzsumme von 1 Mrd. € nicht; für Factoringinstitute gilt zusätzlich eine Grenze von 5 Mrd. € für das durchschnittliche jährliche Forderungsankaufsvolumen. Sehr kleine Institute dürfen die Erleichterungen für kleine Institute auch ohne Erfüllung der SNCI-Kriterien nutzen. Kleine Institute können auf inverse Stresstests verzichten (AT 4.3.3 Tz. 4). Sehr kleine Institute können risikoartenspezifische Stresstests nur entfallen lassen, wenn die betreffenden Risiken im Stresstest für das Gesamtrisikoprofil negativ beeinflusst werden (AT 4.3.3 Tz. 2). Die Aufsichtsmitteilung ist in den Regelungstext überführt. |
| Wesentlichkeit in der RisikoinventurDie MaRisk nannten keinen Schwellenwert. Jedes Institut legte die Wesentlichkeit seiner Risiken selbst fest und begründete sie im Rahmen der Risikoinventur. |
Seit 30.06.2026Adressenausfall-, Marktpreis-, Liquiditäts- und operationelle Risiken gelten grundsätzlich als wesentlich, eine gesonderte Wesentlichkeitsanalyse kann entfallen. Für die übrigen Risiken erkennt die BaFin in der ökonomischen Perspektive eine Schwelle von 5 % des Risikodeckungspotenzials an (AT 2.2 Tz. 1). Einzeln unwesentliche, zusammen wesentliche Risiken bleiben zu berücksichtigen (AT 4.1 Tz. 1). |
| ESG-RisikenESG-Risiken waren seit der 7. MaRisk-Novelle als Risikotreiber in den MaRisk verankert, ohne eigene gesetzliche Grundlage im KWG. |
Seit 01.04.2026 · gestaffelte Fristen§§ 26c und 26d KWG (BRUBEG, BGBl. 2026 I Nr. 81) konkretisieren seit 01.04.2026 das ESG-Risikomanagement und den ESG-Risikoplan für die jeweils erfassten Institute. Für die in § 26d Abs. 1 Satz 3 KWG genannten Institute beginnt die Pflicht zum ESG-Risikoplan nach § 64c Abs. 3 KWG erst am 11.01.2027; sie dürfen den Plan übergangsweise auf finanzielle Risiken aus Umweltrisiken, insbesondere Klimarisiken, beschränken. Davon getrennt gelten die EBA/GL/2025/01 seit 11.01.2026, für SNCI spätestens ab 11.01.2027. Die MaRisk konkretisieren die ESG-Anforderungen einschließlich langfristiger Resilienzanalysen nach AT 4.3.3 Tz. 7; die zulässigen Vereinfachungen richten sich nach der jeweiligen Vorschrift. |
| Schnittstelle MaRisk und DORASeit Geltung der VO (EU) 2022/2554 (DORA) am 17.01.2025 standen IKT-Drittdienstleister im Spannungsfeld zwischen dem Auslagerungsmodul AT 9 und dem IKT-Drittparteienrisikomanagement nach DORA. |
Seit 30.06.2026IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA, die dem Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, fallen nicht unter AT 9 (Erläuterung zu AT 9 Tz. 1). IKT-Risiken sind Teil der operationellen Risiken (AT 2.2 Tz. 1). IKT- und DOR-Strategie dürfen in einem Dokument stehen (AT 4.2 Tz. 2); die Compliance-Funktion kann mit der IKT-Risikokontrollfunktion nach Art. 6 Abs. 4 DORA kombiniert werden (AT 4.4.2 Tz. 3). |
| Modelle und künstliche IntelligenzBereits die MaRisk-Fassung 2024 enthielt mit AT 4.3.5 ein eigenes Modul zur Verwendung von Modellen. Es erfasste ausdrücklich auch automatisierte Modelle, technologiegestützte Innovation und künstliche Intelligenz. |
Fortgeführte Anforderungen unter AT 4.3.4In der Fassung 2026 sind die Modellanforderungen in AT 4.3.4 verortet. Sie betreffen weiterhin Annahmen, Datenqualität, Verwendung und Überschreibung von Ergebnissen, regelmäßige Validierung und hinreichende Erklärbarkeit. Die Ausgestaltung richtet sich nach Komplexität, Bedeutung und Risiken des Modells. Die Umnummerierung eröffnet keine neue Übergangsfrist für bereits bestehende Pflichten; Modelle im Anwendungsbereich der CRR sind von diesem Modul ausgenommen. |
