Was die 9. MaRisk-Novelle für Institute bedeutet
Am 30. Juni 2026 hat die BaFin die finale Fassung der 9. Novelle der Mindestanforderungen an das Risikomanagement (MaRisk) veröffentlicht. Wer die Publikationen der letzten Novellen kennt, erwartet reflexartig: mehr regulatorische Vorgaben, mehr Detailtiefe, mehr Papier und mehr Dokumentationspflichten. Doch diesmal ist alles anders. Die 9. Novelle markiert einen echten Paradigmenwechsel – weg von starrer Detailregulierung, hin zu einem prinzipienbasierten, proportionalen Ansatz. Dies bestätigte Nikolas Speer, Exekutivdirektorder BaFin-Bankenaufsicht, bereits im April 2026. Institute erhalten mehr Spielraum in Sachen Auslegung. Im Gegenzug übernehmen sie mehr Verantwortung dafür, diesen Spielraum sauber zu begründen.
Sichtbar wird das an zweizentralen Bausteinen, welche in Wechselwirkung zusammen betrachtet werden müssen: den neuen Größenklassen und den erweiterten Öffnungsklauseln.
1. Neue Größenklassen
Der Proportionalitätsgrundsatz der MaRisk existierte schon vorher, aber ohne klare Kriterien, wer davon in welchem Umfang profitieren darf. Die 9. Novelle schafft hier erstmalig Transparenz:
- Sehr kleine Institute (Bilanzsumme ≤ 1 Mrd. Euro): Zugang zu allen Öffnungsklauseln.
- Kleine, nicht komplexe Institute (SNCI nach Art. 4 Abs.1 Nr. 145 CRR, Bilanzsumme ≤ 5 Mrd. Euro): weitgehender Zugang zu Erleichterungen.
- Übrige weniger bedeutende Institute (LSI): allgemeine Proportionalitäts- und Öffnungsklauseln, aber ohne die SNCI-spezifischen Erleichterungen.
Schätzungsweise fallen rund drei Viertel der deutschen Kreditinstitute in die SNCI-Kategorie. Damit ist die Novelle in erster Linie eine Entlastung für die mittlere Institute, nicht für die Großbanken, die zukünftig nicht mehr zum Geltungsbereich der MaRisk gehören.
2. AT 9 und DORA
Die zweite Neuerung betrifft das Drittparteienmanagement und die Einschränkung des Anwendungsbereichs selbst. Mit Einführung der 9. MaRisk-Novelle zieht der Regulator in AT 9 erstmals eine klare Trennlinie zwischen Auslagerungsmanagement nach MaRisk und dem IKT-Drittparteienrisikomanagement nach DORA. Dabei fallen fremdbezogene IKT-Dienstleistungen im Sinne von Art. 3 Nr. 21 DORA, welche seit Einführung des DORA-Regelwerks gemäß Art. 28 bis 30 DORA dokumentiert, überwacht und gesteuert werden, zukünftig nicht mehr in den Geltungsbereich der MaRisk.
Wer hier jedoch eine Absenkung des Anforderungsniveaus vermutet, der liegt falsch.
Es handelt sich lediglich um eine Regimeabgrenzung. In der Praxis bedeutet dies, dass die Steuerung der IKT-Dienstleistungen ausschließlich nach DORA geschieht, während AT 9 nur noch für den nicht-IKT-bezogenen Dienstleistungsbezug gilt.
Dies wird durch die Streichung der bisherigen Aufzählung zum sonstigen Fremdbezug und den bisherigen Ausführungen zum isolierten Softwarebezug unterstrichen und verdeutlicht.
In der Praxis mündet diese Regimeabgrenzung in einer Zuordnungspflicht für Fremdbezüge: Institute müssen für jede einzelne Dienstleistungsbeziehung im Rahmen einer Leistungsklassifikation eindeutig entscheiden und dokumentieren, ob sie über die MaRisk AT 9 oder über DORA gesteuert wird. Die daraus folgenden Dokumentations-, Bewertungs- und Anzeigepflichten leiten sich aus vorangegangener Entscheidung ab.
3. TPRM zwischen MaRisk, DORA und der Konsultationsfassung der neuen EBA-Leitlinien
Parallel zur Veröffentlichung der 9. MaRisk-Novelle befindet sich die EBA-Leitlinie zum Management von Drittparteienrisiken in der Konsultationsphase. Damit steht eine Überarbeitung der bisherigen Outsourcing-Leitlinien von 2019 steht vor der Tür. Wer die Konsultationsfassung liest, entdeckt schnell, dass der Anwendungsbereich vom klassischen Auslagerungssachverhalt auf sämtliche Third-Party-Arrangements ausgeweitet werden soll.
Dies wirft jedoch neuen Diskussionsbedarf auf, da die 9. MaRisk-Novelle diese Änderung (noch) nicht mitgeht. Der Artikel 9 der MaRisk sieht die DORA-Abgrenzung vor, übernimmt den Vorschlag zur Ausweitung auf sämtliche Third-Party-Arrangements allerdings nicht.
Im Ergebnis ist die europäische Ebene der nationalen Ebene einen Schritt voraus. Für Institute, die ihre Governance und die Steuerung ihrer Dienstleistungen ausschließlich auf Basis der MaRisk aufbauen, folgt daraus in nicht allzu ferner Zukunft ein Mehraufwand. Diese müssen ihre Governance und Dienstleistersteuerung nämlich mit Veröffentlichung der finalen EBA-Fassung überarbeiten und Sachverhalte neu bewerten.
