Die 9. MaRisk-Novelle: weniger Seiten, verschobene Pflichten

Das hängt seit der 9. Novelle an der Aufsichtszuständigkeit. AT 2.1 nimmt bedeutende Institute im Sinne von Art. 6 der SSM-Verordnung ausdrücklich aus dem Anwenderkreis heraus – wer direkt von der EZB beaufsichtigt wird, wendet die MaRisk nicht mehr an. Für alle übrigen Institute nach § 1 Abs. 1b bzw. § 53 Abs. 1 KWG gilt sie weiter. Neu im Anwenderkreis sind CRD-Drittstaatenzweigstellen nach Maßgabe der §§ 53c bis 53cq KWG – eine Folge der CRD-VI-Umsetzung. Auf Zweigniederlassungen von Unternehmen mit Sitz im Europäischen Wirtschaftsraum nach § 53b KWG findet die MaRisk weiterhin keine Anwendung.

Das frühere Modul AT 4.3.4 „Datenmanagement, Datenqualität und Aggregation von Risikodaten" – die deutsche Umsetzung von BCBS 239 – ist ersatzlos gestrichen. Im neuen Modulbaum gibt es kein eigenes Datenaggregations-Modul mehr; AT 4.3.4 regelt jetzt die Verwendung von Modellen. Das ist konsistent, weil sich das alte Modul an bedeutende Institute richtete und genau diese nicht mehr MaRisk-Adressaten sind. Für sie gelten BCBS 239 und der EZB-RDARR-Leitfaden unmittelbar über die EZB-Aufsicht, die die Risikodatenaggregation in ihren Aufsichtsprioritäten 2026–2028 weiterhin als Schwerpunkt führt. Für kleinere Institute bleiben die allgemeinen Anforderungen maßgeblich: AT 4.3.2 zu den Risikosteuerungs- und -controllingprozessen und AT 7.2 zur technisch-organisatorischen Ausstattung verlangen weiterhin eine Dateninfrastruktur, die zeitnahe und korrekte Risikoberichte trägt.

Ja, ausdrücklich. AT 4.3.4 ist erstmals ein eigenes Modul für Modelle und gilt für alle Modelle, die in den vom Rundschreiben geregelten Prozessen eingesetzt werden – einschließlich automatisierter Modelle, technologiegestützter Innovation und künstlicher Intelligenz. Ein Modell ist dabei weit definiert: eine quantitative Methode, ein System oder ein Ansatz, der Daten zu quantitativen Schätzungen verarbeitet, unabhängig davon, ob es intern oder von einem Dritten entwickelt wurde. Die Anforderungstiefe richtet sich nach Komplexität und Bedeutung des Modells. Die Wahl des Modells bleibt Verantwortung des Instituts; die zugrundeliegenden Annahmen sind vor dem Einsatz zu bewerten und regelmäßig zu überprüfen, was hinreichende Kenntnisse über die Modellkonzeption voraussetzt.

Das Rundschreiben 06/2026 (BA) ist seit dem 30. Juni 2026 in Kraft. Die Fristenlogik ist zweigeteilt: Erleichterungen dürfen Institute sofort nutzen, für neue oder verschärfte Anforderungen gilt eine Übergangsfrist bis zum 1. Januar 2027. Praktische Folge: Die zusätzlichen Anforderungen sind nicht Gegenstand der Jahresabschlussprüfung 2026. Die ESG-Risikopläne nach § 26d KWG sind für kleine Institute ebenfalls erst ab 2027 verpflichtend.

Die Novelle konkretisiert das Proportionalitätsprinzip über Öffnungsklauseln für zwei Gruppen: „sehr kleine" Institute mit einer Bilanzsumme unter 1 Mrd. Euro und „kleine Institute" im Sinne von Art. 4 Abs. 1 Nr. 145 CRR. Konkret können Strategie und Kapitalplanung weiterhin nur einmal jährlich überprüft werden, sofern ausreichende Kapitalpuffer vorhanden sind; bei ESG dürfen sich kleine Institute auf Umweltrisiken beschränken und qualitativ bewerten; ein Auslagerungsbeauftragter ist nach AT 9 nicht mehr erforderlich, wenn keine wesentlichen Funktionen ausgelagert sind; für nicht wesentliche Aktivitäten erlaubt die Interne Revision Fünf-Jahres-Prüfzyklen. Wichtig: Die Inanspruchnahme einer Öffnungsklausel ist kein Automatismus. Institute müssen sie anhand ihres Geschäfts- und Risikoprofils begründen und dokumentieren – initial und erneut bei wesentlichen Änderungen.