Die 9. MaRisk-Novelle: Was die BaFin-Reform 2026 für Ihr Risikomanagement bedeutet

Eine MaRisk-Novelle, die vieles grundlegend ändert

Am 1. April 2026 hat die BaFin den Entwurf zur 9. Novelle der Mindestanforderungen an das Risikomanagement (MaRisk) zur öffentlichen Konsultation gestellt. Die Stellungnahmefrist lief bis zum 8. Mai 2026. Was folgt, ist eine der weitreichendsten Überarbeitungen der MaRisk seit ihrer Einführung.

Die Botschaft der BaFin ist klar: weg von der Checkbox-Compliance, hin zu echtem, prinzipienbasiertem Risikomanagement. Gleichzeitig sollen kleinere und weniger komplexe Institute spürbar entlastet werden. Und mit den neuen EBA-Leitlinien zu Klima-Szenarioanalysen kommen erstmals verbindliche Anforderungen zu klimabezogenen Risiken in die MaRisk.

Dieser Beitrag erläutert die wichtigsten Änderungen und was Ihr Institut jetzt vorbereiten sollte.

Der Kern der Reform: Prinzipien statt Vorschriften

Die bisherigen MaRisk waren über die Jahre zunehmend komplex geworden. Jede Novelle hatte neue Detailanforderungen hinzugefügt, mit dem Ergebnis, dass Compliance-Teams mehr Zeit mit der Dokumentation von Prozessdetails verbrachten als mit dem eigentlichen Risikomanagement.

Die 9. Novelle dreht diesen Trend um. Das Rundschreiben wird fundamental überarbeitet:

• Stärker prinzipienbasiert: Statt konkreter Prozessvorschriften formuliert die BaFin Ziele und Grundsätze. Die Institute erhalten mehr Spielraum bei der Ausgestaltung, müssen aber die Eignung ihrer gewählten Methoden begründen können.
• Deutlich reduzierte Komplexität: Redundante Anforderungen werden gestrichen, Formulierungen vereinfacht, die Struktur des Rundschreibens klarer gegliedert.
• Stärkere Proportionalität: Was für eine Großbank gilt, soll für eine Sparkasse mit regionaler Kundschaft angemessen modifiziert anwendbar sein.

Für Compliance-Teams bedeutet das weniger Übernahme von Formulierungen aus dem Rundschreiben in die interne Dokumentation, aber mehr konzeptionelle Arbeit bei der Begründung eigener Ansätze.

Proportionalität: rund 950 Institute profitieren

Ein zentrales Versprechen der 9. Novelle ist die Entlastung kleiner und mittlerer Institute. Laut BaFin profitieren rund 950 Häuser, das entspricht etwa drei Vierteln aller deutschen Kreditinstitute, von den geplanten Erleichterungen und Klarstellungen.

Konkret bedeutet das unter anderem:

• Vereinfachte Anforderungen an die Dokumentation von Risikosteuerungsprozessen für Institute unterhalb bestimmter Größen- und Komplexitätsschwellen
• Klarere Abgrenzung, welche AT-Abschnitte für welche Institutstypen verpflichtend beziehungsweise empfohlen sind
• Reduzierter Begründungsaufwand bei Abweichungen vom Regelfall

Für größere und komplexere Institute bleibt der Anforderungsrahmen anspruchsvoll, mit dem zusätzlichen Aspekt der neuen Klimaanforderungen.

Neu: Klimabezogene Risiken werden Pflicht

Das wohl weitreichendste inhaltliche Novum der 9. MaRisk-Novelle ist die Integration der EBA-Leitlinien zur Umwelt-Szenarioanalyse (EBA/GL/2025/04) und zur internen Governance.

Ab dem 1. Januar 2027 sind Kreditinstitute verpflichtet, klimabezogene Risiken systematisch in ihre Risikosteuerung einzubeziehen. Konkret bedeutet das:

• Klimarisikoanalyse als Pflichtbestandteil: Physische Risiken wie Extremwetterereignisse und Naturkatastrophen sowie Transitionsrisiken wie regulatorische Verschärfungen und Marktveränderungen durch die Energiewende müssen identifiziert, bewertet und dokumentiert werden.
• What-if-Szenarien zur Resilienz: Institute müssen Szenarien entwickeln, die zeigen, wie widerstandsfähig ihr Geschäftsmodell unter verschiedenen Klimaszenarien ist, etwa bei einem beschleunigten Kohleausstieg oder einem Anstieg physischer Schäden in bestimmten Regionen.
• Integration in das ICAAP: Klimarisiken müssen in den internen Kapitaladäquanzprozess integriert werden.

Das ist eine erhebliche Anforderung, insbesondere für Institute, die bisher Klimarisiken vor allem als ESG-Kommunikationsthema behandelt haben. Die MaRisk macht daraus eine harte aufsichtsrechtliche Pflicht mit Prüfungsrelevanz.

Die neuen EBA-Leitlinien zur internen Governance

Neben den Klimaanforderungen setzt die 9. MaRisk-Novelle auch die EBA-Leitlinien zur internen Governance um. Diese betreffen insbesondere:

• Anforderungen an die Geschäftsleitung: stärkere Verantwortung der Geschäftsleiter für das Risikomanagementsystem, verbesserte Aufsichtsratskompetenzen
• Risikomanagement-Funktion: Klärung der Rolle und Befugnisse des Chief Risk Officers und der zugehörigen Einheit
• Risikokultur: Anforderungen an eine Risikokultur, die im Institut tatsächlich gelebt wird und nicht nur dokumentiert ist

Der letzte Punkt ist besonders bemerkenswert: Die BaFin wird künftig auch die tatsächlich gelebte Risikokultur bewerten, nicht nur die formale Dokumentation.

Was sich für die Prüfungspraxis ändert

Die 9. MaRisk-Novelle verändert auch, wie BaFin-Prüfungen ablaufen werden. Der prinzipienbasierte Ansatz bedeutet mehr qualitative Prüfung. Prüfer beschränken sich nicht auf das Abhaken dokumentierter Prozesse, sie fragen, warum sich ein Institut für einen bestimmten Ansatz entschieden hat und wie es sicherstellt, dass dieser der eigenen Risikosituation gerecht wird.

Institute, die von gängigen Marktpraktiken abweichen, müssen die Eignung ihrer Methoden substanziell begründen können. Ab 2027 wird die Klima-Dokumentation zudem expliziter Prüfungsgegenstand: Prüfer bewerten dann die Qualität der Klimarisikoanalysen, nicht nur deren formale Existenz.

Für Compliance-Teams bedeutet das: Die Vorbereitung auf MaRisk-Prüfungen wird konzeptionell anspruchsvoller. Die Zeit, die bisher in Checkbox-Dokumentation floss, muss in inhaltliche Begründungsarbeit umgelenkt werden.

Zeitplan und nächste Schritte

Die finale Version der 9. MaRisk-Novelle wird nach Abschluss der Konsultation erwartet. Für die Umsetzung empfiehlt sich folgender Zeitplan.

Sofort, noch 2026

• Gap-Analyse gegen den Konsultationsentwurf durchführen
• Klimarisikoanalyse-Prozess konzipieren: Datenquellen, Szenarien, Governance
• Proportionalitätseinschätzung vornehmen, um zu klären, von welchen Erleichterungen Ihr Institut profitieren kann

Bis Ende 2026

• Interne Governance-Dokumentation an neue EBA-Anforderungen anpassen
• ICAAP-Prozess um Klimakomponente erweitern
• Schulungen für Geschäftsleitung und Risikocontrolling durchführen

Bis 1. Januar 2027

• Vollständige Integration klimabezogener Risiken in die Risikosteuerung
• Prüffähige Dokumentation der What-if-Szenarien

Fazit

Die 9. MaRisk-Novelle ist keine inkrementelle Anpassung, sie ist eine grundlegende Reform des deutschen Risikomanagement-Rahmens. Prinzipienorientierung, Klimarisikointegration und neue Governance-Anforderungen stellen Compliance-Teams vor substanzielle konzeptionelle Arbeit.

Gleichzeitig bietet die Novelle eine echte Chance. Institute, die ihre Compliance bisher vor allem als Dokumentationsaufgabe verstanden haben, können die Reform nutzen, um ein Risikomanagement aufzubauen, das tatsächlich Mehrwert stiftet.

conformis bildet alle MaRisk-AT-Abschnitte direkt auf Ihre Policies und Kontrollen ab und aktualisiert das Mapping automatisch, wenn neue Novellen erscheinen. So sind Sie mit jeder Überarbeitung sofort auf dem aktuellen Stand.