Größenklasse, Auslagerungen, DORA-Abgrenzung – und was jetzt zu tun ist
Blog
April 7, 2026
Die BaFin hat am 1. April 2026 den Konsultationsentwurf zur 9. Novelle der Mindestanforderungen an das Risikomanagement (MaRisk) veröffentlicht. Die Konsultationsfrist läuft bis zum 8. Mai 2026. Die Novelle verändert nicht nur den Text – sie verändert die Logik des Regelwerks. Für jedes betroffene Institut stellt sich jetzt eine ganz konkrete Frage: Wo stehe ich? Was gilt für mich? Und was muss ich tatsächlich tun?
Die bisherigen MaRisk-Novellen haben das Regelwerk in der Regel erweitert – um neue Anforderungen, zusätzliche Module, weitere Konkretisierungen. Die 9. Novelle geht den umgekehrten Weg: Sie kürzt, konsolidiert und verschlankt. Der Umfang der Konsultationsfassung sinkt von 148 Seiten (Vergleichsversion) auf 82 Seiten.
Das ist kein kosmetischer Eingriff. Die Novelle führt regulatorische Entwicklungen zusammen, die bisher parallel und teilweise überlappend liefen: die Aufsichtsmitteilung vom 26. November 2024 zur Stärkung der Proportionalität, das am 30. März 2026 veröffentlichte BRUBEG zur nationalen Umsetzung der CRD VI sowie die fortschreitende Verzahnung mit DORA und den aktuellen EBA-Leitlinien.
Gleichzeitig vollzieht die BaFin einen Paradigmenwechsel: weniger Detailsteuerung, mehr Prinzipienorientierung. Für die Institute bedeutet das mehr Gestaltungsspielraum – aber auch mehr Eigenverantwortung bei der Auslegung. Denn wo bisher eine Checkliste stand, steht künftig ein Grundsatz, der eigenständig interpretiert und dokumentiert werden muss.
Nein, wenn es sich bei dem Institut um ein bedeutendes Institut (Significant Institutions, SIs) handelt. Denn diese werden künftig vollständig aus dem Anwendungsbereich der MaRisk herausgenommen und für sie gelten ausschließlich die EBA-Leitlinien unter direkter EZB-Aufsicht. Ziel ist die konsequente Vermeidung von Doppelregulierung.
Für alle Less Significant Institutions (LSIs) bleibt die MaRisk der zentrale aufsichtliche Rahmen – differenziert nun aber deutlich stärker nach Institutsgröße. Was das konkret bedeutet, zeigt die neue Institutsklassifizierung.
Die neue Klassifizierung ist der Kern der Novelle – und der Ausgangspunkt für alle weiteren Fragen zur Anwendung. Die BaFin unterscheidet künftig drei Kategorien innerhalb der LSIs (vgl. AT 1 Tz. 3):
Praxishinweis: Die Einordnung ist keine Formalität. Sie bestimmt unmittelbar, welche Erleichterungen ein Institut nutzen darf – und welche nicht. Wer die falsche Größenklasse annimmt, handelt entweder nicht regelkonform oder verschenkt Effizienzpotenziale. Die Klassifizierung sollte aktiv geprüft, berechnet und schriftlich dokumentiert werden.
Auf Basis dieser Einordnung lassen sich die wesentlichen Änderungen der Novelle gezielt bewerten. Im Folgenden wird auf Schwerpunktthemen eingegangen, die für die meisten Institute unmittelbaren Handlungsbedarf erzeugen und auch im direkten Zusammenhang mit der Verordnung (EU) 2022/2554 (DORA) stehen.
Der AT 9 wird in der Konsultationsfassung erheblich gestrafft. Viele Detailregelungen und Aufzählungen entfallen. Die entscheidende Frage lautet: Werden dadurch auch die Anforderungen geringer? Die kurze Antwort: Nein – aber die Art der Anforderung verändert sich.
Die bisherige Aufzählung der im Einzelnen zu analysierenden Aspekte in der Risikoanalyse (AT 9 Tz. 2) wird gestrichen. Was bleibt, ist der Grundsatz: „Alle im Zusammenhang mit der Auslagerung für das Institut relevanten Aspekte" sind zu berücksichtigen. Die Risikoanalyse ist mindestens jährlich, bei sehr kleinen Instituten alle zwei bis drei Jahre zu überprüfen und bei wesentlichen Änderungen der Risikosituation anzupassen (AT 9 Tz. 2).
In der Praxis ist die Durchführung strukturierter Risikoanalysen bereits heute eine der größten Herausforderungen im Auslagerungsmanagement. Die Streichung der konkreten Aspekt-Aufzählung macht es nicht einfacher – im Gegenteil: Institute müssen künftig eigenverantwortlich bestimmen, welche Aspekte in ihrer spezifischen Situation relevant sind, und diese Entscheidung dokumentieren. Wer bisher „nach Liste" gearbeitet hat, braucht jetzt einen institutsspezifischen Rahmen für die Risikoanalyse, der die eigene Geschäfts- und Risikostruktur abbildet.
Die Anforderung, die Leistung des Auslagerungsunternehmens anhand vorzuhaltender Kriterien zu überwachen – etwa Key Performance Indicators (KPIs) und Key Risk Indicators (KRIs) – bleibt unverändert bestehen (AT 9 Tz. 9). Auch die Anforderung an vertraglich vereinbarte Informationspflichten des Dienstleisters gilt weiter.
Institute, die ihre KPI-/KRI-Systematik bisher nicht sauber aufgesetzt haben, sollten die Novelle als Anlass nehmen, das nachzuholen. Denn die prinzipienorientierte Formulierung gibt Prüfern mehr Spielraum bei der Bewertung, ob die Steuerung „angemessen" ist.
Die bedeutendste inhaltliche Änderung im AT 9 betrifft die Abgrenzung zu DORA. Ausgelagerte oder fremdbezogene IKT-Dienstleistungen gemäß Art. 3 Nr. 21 der Verordnung (EU) 2022/2554 (DORA), die dem IKT-Drittparteienrisikomanagement gemäß Art. 28–30 DORA unterliegen, fallen künftig nicht mehr in den Anwendungsbereich des AT 9 (AT 9 Tz. 1, Erläuterungen).
Das ist konsequent und erleichtert das Handling in der Praxis erheblich. Denn bisher mussten Institute IKT-Dienstleistungen doppelt behandeln: einerseits als (wesentliche) Auslagerung oder sonstigen Fremdbezug nach MaRisk, andererseits als IKT-Drittdienstleistung nach DORA. Diese Doppelbehandlung entfällt.
Voraussetzung dafür ist allerdings, dass das Institut eine klare Abgrenzung zwischen IKT- und Non-IKT-Dienstleistungen vornimmt. Nur wenn diese Trennlinie sauber gezogen ist, kann eine einheitliche und konsistente Behandlung jeder Dienstleistung sichergestellt werden. In der Praxis bedeutet das:
Die explizite Anforderung zur Bestellung eines zentralen Auslagerungsbeauftragten wird aus AT 9 Tz. 12 gestrichen. Das heißt aber nicht, dass die Funktion entfällt. Denn die Novelle verlangt weiterhin ein zentrales Auslagerungsmanagement mit klar definierten Aufgaben (AT 9 Tz. 10): Implementierung und Weiterentwicklung des Auslagerungsmanagements, Erstellung und Pflege einer vollständigen Dokumentation aller Auslagerungen, Berichterstattung an die Geschäftsleitung sowie die Steuerung und Überwachung der Auslagerungsunternehmen.
Ein Auslagerungsmanagement braucht eine verantwortliche Person. Faktisch wird es in den meisten Instituten daher weiterhin einen Auslagerungsbeauftragten geben – auch ohne formale Pflicht. Bei sehr kleinen Instituten kann die Aufgabe im Rahmen einer Vorstandssitzung wahrgenommen werden, was eine spürbare Erleichterung darstellt.
Wichtig: Die Rolle des Auslagerungsbeauftragten nach MaRisk bezieht sich künftig ausschließlich auf Non-IKT-Dienstleistungen. Für das Management von IKT-Drittparteienrisiken verlangt DORA weiterhin eine eigenständige Steuerung durch den Third-Party-Risk Manager. Diese Funktion ist nicht identisch mit dem Auslagerungsbeauftragten, auch wenn sie in kleineren Instituten personell zusammenfallen kann. Entscheidend ist, dass die Verantwortlichkeiten klar getrennt und dokumentiert sind: Der Auslagerungsbeauftragte steuert Non-IKT-Auslagerungen nach MaRisk AT 9, der Third-Party-Risk Manager verantwortet das IKT-Drittparteienrisikomanagement nach Art. 28–30 DORA.
Die Regelungen zum Auslagerungsregister in AT 9 Tz. 14 werden vollständig gestrichen. Die Pflicht zur Führung eines Registers ergibt sich jedoch weiterhin aus den EBA-Leitlinien zu Auslagerungen (EBA/GL/2019/02) und – für IKT-Drittdienstleistungen – aus dem Informationsregister nach Art. 28 Abs. 3 DORA.
Die Empfehlung: ein konsolidiertes Register für IKT- und Non-IKT-Dienstleistungen, das sich nach beiden Kategorien filtern lässt. So kann je nach Anwendungs- und Meldepflicht differenziert werden – für die DORA-Meldung auf Basis des Informationsregisters ebenso wie für die aufsichtliche Berichterstattung nach MaRisk. Voraussetzung dafür ist wiederum die bereits erwähnte klare Abgrenzung zwischen IKT- und Non-IKT-Dienstleistungen.
Ein Register zum Managen der Drittdienstleister muss in jedem Fall vorhanden sein – unabhängig davon, ob die MaRisk es explizit fordern oder nicht. Für die BaFin stellt ein Register mehr dar als nur eine Datenbank – es soll als Risikomanagementsystem verstanden werden.
Die Novelle bringt für kleinere Institute spürbare Erleichterungen im Bereich Auslagerung:
Die Novelle streicht die bisherigen MaRisk-Anforderungen zu IT-Berechtigungen, IT-Systemen und IT-Risiken aus AT 7.2. Der Grund: DORA regelt diese Bereiche seit dem 17. Januar 2025 unmittelbar und detailliert. Damit vermeidet die BaFin eine Doppelregulierung – und vollzieht das gleiche Prinzip wie bei AT 9 für IKT-Dienstleistungen.
AT 7.2 wird auf seinen Kern reduziert: Umfang und Qualität der technisch-organisatorischen Ausstattung sind an den internen Erfordernissen, den Geschäftsaktivitäten und der Risikosituation auszurichten (AT 7.2 Tz. 1). Für die Generierung von Daten und Informationen zu wesentlichen Risikoarten sind angemessene Kapazitäten vorzuhalten und effektive Prozesse zur Sicherstellung der Datenqualität einzurichten (AT 7.2 Tz. 2).
Gleichzeitig bleibt das allgemeine Notfallkonzept in AT 7.3 vollständig bestehen. Hier entsteht in der Praxis eine echte Herausforderung, die auf den ersten Blick nicht offensichtlich ist.
Ausgangslage bisher: AT 7.3 der bisherigen MaRisk regelte IT und Notfallmanagement als zusammenhängendes Themenfeld. In vielen Instituten lag die Verantwortung für beides in derselben Organisationseinheit, die gleichen Dokumente deckten IT-Sicherheit und Notfallmanagement ab, und in Prüfungen wurde beides gemeinsam betrachtet.
Neue Lage: Durch die Streichung der IT-Anforderungen aus AT 7.2 und die Verlagerung auf DORA entstehen zwei getrennte regulatorische Verantwortungsbereiche:
In der Praxis bedeutet das:
Erleichterung für das Notfallmanagement: Für kritische oder wichtige Funktionen ist die Wirksamkeit des Notfallkonzepts jährlich zu überprüfen (AT 7.3 Tz. 3). Die Geschäftsleitung ist mindestens quartalsweise und anlassbezogen über den Zustand des Notfallmanagements zu informieren. Wichtig ist hier, dass die MaRisk nun auch von kritischen oder wichtigen Funktionen spricht und nicht wie bisher von zeitkritischen Aktivitäten und Prozessen. Damit übernimmt die MaRisk die DORA-Begrifflichkeit und auch Definition in ihre Verwaltungspraxis. Für Institute, die DORA bereits vollständig implementiert haben, ergibt sich hier eine Möglichkeit zur Verzahnung: DORA-Testergebnisse können als Input für die MaRisk-Berichterstattung dienen – sofern die Abgrenzung sauber dokumentiert ist.
| Bereich | Sehr kleine Institute | Kleine Institute (SNCI) | Sonstige LSIs |
|---|---|---|---|
| Risikoanalyse – Überprüfungsturnus | Alle 2–3 Jahre | Jährlich | Jährlich |
| Auslagerung Compliance-Funktion/Interne Revision | Vollständige Auslagerung möglich | Nur eingeschränkt möglich (zusätzliche Proportionalitätsanforderungen) | Nicht möglich |
| Auslagerungs-management | Vollständige Übertragung auf zentrale Gruppenstelle möglich | Zentrale Stelle möglich | Eigenverantwortung |
| Auslagerungsbericht an die Geschäftsleitung | Im Rahmen einer Vorstandssitzung ausreichend | Jährlich + anlassbezogen | Jährlich + anlassbezogen |
| Ausstiegs-strategie bei gruppeninternen Auslagerungen | Verzicht möglich | Verzicht möglich | Verzicht möglich |
| IKT- vs. Non-IKT-Abgrenzung | Erforderlich | Erforderlich | Erforderlich |
| Register (MaRisk) | Formale Pflicht gestrichen – faktisch weiterhin über EBA-Leitlinien und DORA-Informationsregister erforderlich | Formale Pflicht gestrichen – faktisch weiterhin über EBA-Leitlinien und DORA-Informationsregister erforderlich | Formale Pflicht gestrichen – faktisch weiterhin über EBA-Leitlinien und DORA-Informationsregister erforderlich |
Wichtig: Die Nutzung von Öffnungsklauseln ist kein Automatismus. Sie erfordert eine institutsspezifische Risikobewertung und eine nachvollziehbare Dokumentation, aus der hervorgeht, warum die Erleichterung im konkreten Fall angemessen ist.
Die Novelle ist noch in der Konsultationsphase (Frist: 8. Mai 2026). Die Finalisierung ist für die zweite Jahreshälfte 2026 geplant. Da es sich überwiegend um Erleichterungen handelt, ist davon auszugehen, dass die Novelle mit Inkrafttreten unmittelbar und ohne Übergangsfristen wirksam wird.
Die BaFin hat am 1. April 2026 den Konsultationsentwurf zur 9. Novelle der Mindestanforderungen an das Risikomanagement (MaRisk) veröffentlicht. Die Konsultationsfrist läuft bis zum 8. Mai 2026. Die Novelle verändert nicht nur den Text – sie verändert die Logik des Regelwerks. Für jedes betroffene Institut stellt sich jetzt eine ganz konkrete Frage: Wo stehe ich? Was gilt für mich? Und was muss ich tatsächlich tun?
Die bisherigen MaRisk-Novellen haben das Regelwerk in der Regel erweitert – um neue Anforderungen, zusätzliche Module, weitere Konkretisierungen. Die 9. Novelle geht den umgekehrten Weg: Sie kürzt, konsolidiert und verschlankt. Der Umfang der Konsultationsfassung sinkt von 148 Seiten (Vergleichsversion) auf 82 Seiten.
Das ist kein kosmetischer Eingriff. Die Novelle führt regulatorische Entwicklungen zusammen, die bisher parallel und teilweise überlappend liefen: die Aufsichtsmitteilung vom 26. November 2024 zur Stärkung der Proportionalität, das am 30. März 2026 veröffentlichte BRUBEG zur nationalen Umsetzung der CRD VI sowie die fortschreitende Verzahnung mit DORA und den aktuellen EBA-Leitlinien.
Gleichzeitig vollzieht die BaFin einen Paradigmenwechsel: weniger Detailsteuerung, mehr Prinzipienorientierung. Für die Institute bedeutet das mehr Gestaltungsspielraum – aber auch mehr Eigenverantwortung bei der Auslegung. Denn wo bisher eine Checkliste stand, steht künftig ein Grundsatz, der eigenständig interpretiert und dokumentiert werden muss.
Nein, wenn es sich bei dem Institut um ein bedeutendes Institut (Significant Institutions, SIs) handelt. Denn diese werden künftig vollständig aus dem Anwendungsbereich der MaRisk herausgenommen und für sie gelten ausschließlich die EBA-Leitlinien unter direkter EZB-Aufsicht. Ziel ist die konsequente Vermeidung von Doppelregulierung.
Für alle Less Significant Institutions (LSIs) bleibt die MaRisk der zentrale aufsichtliche Rahmen – differenziert nun aber deutlich stärker nach Institutsgröße. Was das konkret bedeutet, zeigt die neue Institutsklassifizierung.
Die neue Klassifizierung ist der Kern der Novelle – und der Ausgangspunkt für alle weiteren Fragen zur Anwendung. Die BaFin unterscheidet künftig drei Kategorien innerhalb der LSIs (vgl. AT 1 Tz. 3):
Praxishinweis: Die Einordnung ist keine Formalität. Sie bestimmt unmittelbar, welche Erleichterungen ein Institut nutzen darf – und welche nicht. Wer die falsche Größenklasse annimmt, handelt entweder nicht regelkonform oder verschenkt Effizienzpotenziale. Die Klassifizierung sollte aktiv geprüft, berechnet und schriftlich dokumentiert werden.
Auf Basis dieser Einordnung lassen sich die wesentlichen Änderungen der Novelle gezielt bewerten. Im Folgenden wird auf Schwerpunktthemen eingegangen, die für die meisten Institute unmittelbaren Handlungsbedarf erzeugen und auch im direkten Zusammenhang mit der Verordnung (EU) 2022/2554 (DORA) stehen.
Der AT 9 wird in der Konsultationsfassung erheblich gestrafft. Viele Detailregelungen und Aufzählungen entfallen. Die entscheidende Frage lautet: Werden dadurch auch die Anforderungen geringer? Die kurze Antwort: Nein – aber die Art der Anforderung verändert sich.
Die bisherige Aufzählung der im Einzelnen zu analysierenden Aspekte in der Risikoanalyse (AT 9 Tz. 2) wird gestrichen. Was bleibt, ist der Grundsatz: „Alle im Zusammenhang mit der Auslagerung für das Institut relevanten Aspekte" sind zu berücksichtigen. Die Risikoanalyse ist mindestens jährlich, bei sehr kleinen Instituten alle zwei bis drei Jahre zu überprüfen und bei wesentlichen Änderungen der Risikosituation anzupassen (AT 9 Tz. 2).
In der Praxis ist die Durchführung strukturierter Risikoanalysen bereits heute eine der größten Herausforderungen im Auslagerungsmanagement. Die Streichung der konkreten Aspekt-Aufzählung macht es nicht einfacher – im Gegenteil: Institute müssen künftig eigenverantwortlich bestimmen, welche Aspekte in ihrer spezifischen Situation relevant sind, und diese Entscheidung dokumentieren. Wer bisher „nach Liste" gearbeitet hat, braucht jetzt einen institutsspezifischen Rahmen für die Risikoanalyse, der die eigene Geschäfts- und Risikostruktur abbildet.
Die Anforderung, die Leistung des Auslagerungsunternehmens anhand vorzuhaltender Kriterien zu überwachen – etwa Key Performance Indicators (KPIs) und Key Risk Indicators (KRIs) – bleibt unverändert bestehen (AT 9 Tz. 9). Auch die Anforderung an vertraglich vereinbarte Informationspflichten des Dienstleisters gilt weiter.
Institute, die ihre KPI-/KRI-Systematik bisher nicht sauber aufgesetzt haben, sollten die Novelle als Anlass nehmen, das nachzuholen. Denn die prinzipienorientierte Formulierung gibt Prüfern mehr Spielraum bei der Bewertung, ob die Steuerung „angemessen" ist.
Die bedeutendste inhaltliche Änderung im AT 9 betrifft die Abgrenzung zu DORA. Ausgelagerte oder fremdbezogene IKT-Dienstleistungen gemäß Art. 3 Nr. 21 der Verordnung (EU) 2022/2554 (DORA), die dem IKT-Drittparteienrisikomanagement gemäß Art. 28–30 DORA unterliegen, fallen künftig nicht mehr in den Anwendungsbereich des AT 9 (AT 9 Tz. 1, Erläuterungen).
Das ist konsequent und erleichtert das Handling in der Praxis erheblich. Denn bisher mussten Institute IKT-Dienstleistungen doppelt behandeln: einerseits als (wesentliche) Auslagerung oder sonstigen Fremdbezug nach MaRisk, andererseits als IKT-Drittdienstleistung nach DORA. Diese Doppelbehandlung entfällt.
Voraussetzung dafür ist allerdings, dass das Institut eine klare Abgrenzung zwischen IKT- und Non-IKT-Dienstleistungen vornimmt. Nur wenn diese Trennlinie sauber gezogen ist, kann eine einheitliche und konsistente Behandlung jeder Dienstleistung sichergestellt werden. In der Praxis bedeutet das:
Die explizite Anforderung zur Bestellung eines zentralen Auslagerungsbeauftragten wird aus AT 9 Tz. 12 gestrichen. Das heißt aber nicht, dass die Funktion entfällt. Denn die Novelle verlangt weiterhin ein zentrales Auslagerungsmanagement mit klar definierten Aufgaben (AT 9 Tz. 10): Implementierung und Weiterentwicklung des Auslagerungsmanagements, Erstellung und Pflege einer vollständigen Dokumentation aller Auslagerungen, Berichterstattung an die Geschäftsleitung sowie die Steuerung und Überwachung der Auslagerungsunternehmen.
Ein Auslagerungsmanagement braucht eine verantwortliche Person. Faktisch wird es in den meisten Instituten daher weiterhin einen Auslagerungsbeauftragten geben – auch ohne formale Pflicht. Bei sehr kleinen Instituten kann die Aufgabe im Rahmen einer Vorstandssitzung wahrgenommen werden, was eine spürbare Erleichterung darstellt.
Wichtig: Die Rolle des Auslagerungsbeauftragten nach MaRisk bezieht sich künftig ausschließlich auf Non-IKT-Dienstleistungen. Für das Management von IKT-Drittparteienrisiken verlangt DORA weiterhin eine eigenständige Steuerung durch den Third-Party-Risk Manager. Diese Funktion ist nicht identisch mit dem Auslagerungsbeauftragten, auch wenn sie in kleineren Instituten personell zusammenfallen kann. Entscheidend ist, dass die Verantwortlichkeiten klar getrennt und dokumentiert sind: Der Auslagerungsbeauftragte steuert Non-IKT-Auslagerungen nach MaRisk AT 9, der Third-Party-Risk Manager verantwortet das IKT-Drittparteienrisikomanagement nach Art. 28–30 DORA.
Die Regelungen zum Auslagerungsregister in AT 9 Tz. 14 werden vollständig gestrichen. Die Pflicht zur Führung eines Registers ergibt sich jedoch weiterhin aus den EBA-Leitlinien zu Auslagerungen (EBA/GL/2019/02) und – für IKT-Drittdienstleistungen – aus dem Informationsregister nach Art. 28 Abs. 3 DORA.
Die Empfehlung: ein konsolidiertes Register für IKT- und Non-IKT-Dienstleistungen, das sich nach beiden Kategorien filtern lässt. So kann je nach Anwendungs- und Meldepflicht differenziert werden – für die DORA-Meldung auf Basis des Informationsregisters ebenso wie für die aufsichtliche Berichterstattung nach MaRisk. Voraussetzung dafür ist wiederum die bereits erwähnte klare Abgrenzung zwischen IKT- und Non-IKT-Dienstleistungen.
Ein Register zum Managen der Drittdienstleister muss in jedem Fall vorhanden sein – unabhängig davon, ob die MaRisk es explizit fordern oder nicht. Für die BaFin stellt ein Register mehr dar als nur eine Datenbank – es soll als Risikomanagementsystem verstanden werden.
Die Novelle bringt für kleinere Institute spürbare Erleichterungen im Bereich Auslagerung:
Die Novelle streicht die bisherigen MaRisk-Anforderungen zu IT-Berechtigungen, IT-Systemen und IT-Risiken aus AT 7.2. Der Grund: DORA regelt diese Bereiche seit dem 17. Januar 2025 unmittelbar und detailliert. Damit vermeidet die BaFin eine Doppelregulierung – und vollzieht das gleiche Prinzip wie bei AT 9 für IKT-Dienstleistungen.
AT 7.2 wird auf seinen Kern reduziert: Umfang und Qualität der technisch-organisatorischen Ausstattung sind an den internen Erfordernissen, den Geschäftsaktivitäten und der Risikosituation auszurichten (AT 7.2 Tz. 1). Für die Generierung von Daten und Informationen zu wesentlichen Risikoarten sind angemessene Kapazitäten vorzuhalten und effektive Prozesse zur Sicherstellung der Datenqualität einzurichten (AT 7.2 Tz. 2).
Gleichzeitig bleibt das allgemeine Notfallkonzept in AT 7.3 vollständig bestehen. Hier entsteht in der Praxis eine echte Herausforderung, die auf den ersten Blick nicht offensichtlich ist.
Ausgangslage bisher: AT 7.3 der bisherigen MaRisk regelte IT und Notfallmanagement als zusammenhängendes Themenfeld. In vielen Instituten lag die Verantwortung für beides in derselben Organisationseinheit, die gleichen Dokumente deckten IT-Sicherheit und Notfallmanagement ab, und in Prüfungen wurde beides gemeinsam betrachtet.
Neue Lage: Durch die Streichung der IT-Anforderungen aus AT 7.2 und die Verlagerung auf DORA entstehen zwei getrennte regulatorische Verantwortungsbereiche:
In der Praxis bedeutet das:
Erleichterung für das Notfallmanagement: Für kritische oder wichtige Funktionen ist die Wirksamkeit des Notfallkonzepts jährlich zu überprüfen (AT 7.3 Tz. 3). Die Geschäftsleitung ist mindestens quartalsweise und anlassbezogen über den Zustand des Notfallmanagements zu informieren. Wichtig ist hier, dass die MaRisk nun auch von kritischen oder wichtigen Funktionen spricht und nicht wie bisher von zeitkritischen Aktivitäten und Prozessen. Damit übernimmt die MaRisk die DORA-Begrifflichkeit und auch Definition in ihre Verwaltungspraxis. Für Institute, die DORA bereits vollständig implementiert haben, ergibt sich hier eine Möglichkeit zur Verzahnung: DORA-Testergebnisse können als Input für die MaRisk-Berichterstattung dienen – sofern die Abgrenzung sauber dokumentiert ist.
| Bereich | Sehr kleine Institute | Kleine Institute (SNCI) | Sonstige LSIs |
|---|---|---|---|
| Risikoanalyse – Überprüfungsturnus | Alle 2–3 Jahre | Jährlich | Jährlich |
| Auslagerung Compliance-Funktion/Interne Revision | Vollständige Auslagerung möglich | Nur eingeschränkt möglich (zusätzliche Proportionalitätsanforderungen) | Nicht möglich |
| Auslagerungs-management | Vollständige Übertragung auf zentrale Gruppenstelle möglich | Zentrale Stelle möglich | Eigenverantwortung |
| Auslagerungsbericht an die Geschäftsleitung | Im Rahmen einer Vorstandssitzung ausreichend | Jährlich + anlassbezogen | Jährlich + anlassbezogen |
| Ausstiegs-strategie bei gruppeninternen Auslagerungen | Verzicht möglich | Verzicht möglich | Verzicht möglich |
| IKT- vs. Non-IKT-Abgrenzung | Erforderlich | Erforderlich | Erforderlich |
| Register (MaRisk) | Formale Pflicht gestrichen – faktisch weiterhin über EBA-Leitlinien und DORA-Informationsregister erforderlich | Formale Pflicht gestrichen – faktisch weiterhin über EBA-Leitlinien und DORA-Informationsregister erforderlich | Formale Pflicht gestrichen – faktisch weiterhin über EBA-Leitlinien und DORA-Informationsregister erforderlich |
Wichtig: Die Nutzung von Öffnungsklauseln ist kein Automatismus. Sie erfordert eine institutsspezifische Risikobewertung und eine nachvollziehbare Dokumentation, aus der hervorgeht, warum die Erleichterung im konkreten Fall angemessen ist.
Die Novelle ist noch in der Konsultationsphase (Frist: 8. Mai 2026). Die Finalisierung ist für die zweite Jahreshälfte 2026 geplant. Da es sich überwiegend um Erleichterungen handelt, ist davon auszugehen, dass die Novelle mit Inkrafttreten unmittelbar und ohne Übergangsfristen wirksam wird.
Am 1. April 2026 hat die BaFin den Konsultationsentwurf zur 9. Novelle der Mindestanforderungen an das Risikomanagement (MaRisk) veröffentlicht. Was auf den ersten Blick wie eine Verschlankung des Regelwerks wirkt ist tatsächlich ein grundlegender Systemwechsel: Die Novelle überführt bisher detailliert geregelte Anforderungen in Prinzipien, die Institute eigenverantwortlich auslegen und dokumentieren müssen. Gleichzeitig führt sie eine dreistufige Institutsklassifizierung ein, die unmittelbar bestimmt, welche Erleichterungen ein Institut nutzen darf. Und sie vollzieht die regulatorische Konsequenz aus DORA: IKT-Dienstleistungen fallen künftig nicht mehr unter AT 9 MaRisk – die bisherige Doppelbehandlung entfällt.
