Rundschreiben 06/2026 (BA)Deutschland

MaRisk (RS 06/2026)

Die MaRisk konkretisieren als Rundschreiben der Bafin die Anforderungen an das Risikomanagement nach § 25a KWG. Die 9. Novelle, Rundschreiben 06/2026 (BA), in Kraft seit dem 30. Juni 2026, ist stärker prinzipienbasiert, nimmt EZB-beaufsichtigte Banken aus und gewährt kleinen und sehr kleinen Instituten Erleichterungen.

Das Wichtigste

01
Aktuelle Fassung: Rundschreiben 06/2026 (BA) vom 30. Juni 2026 (9. Novelle), mit der Veröffentlichung in Kraft, mit Übergangsfrist bis zum 1. Januar 2027 für zusätzliche Anforderungen.
02
Als bedeutend eingestufte, direkt von der EZB beaufsichtigte Institute sind nicht Adressaten (AT 2.1); laut Bafin fallen sie damit ganz aus dem MaRisk-Regime heraus.
03
Kürzer und stärker prinzipienbasiert (laut Bafin von 122 auf rund 80 Seiten); eine grundsätzliche Absenkung des Anforderungsniveaus ist laut Bafin nicht erfolgt.
04
Definierte Grössenklassen: kleine Institute (SNCI nach Art. 4 Abs. 1 Nr. 145 CRR sowie CRD-Drittstaatenzweigstellen der Risikoklasse 2) und sehr kleine Institute (Bilanzsumme im Vierjahresdurchschnitt höchstens 1 Mrd. Euro) erhalten ausdrückliche Erleichterungen.
05
AT 4.3.4 regelt die Verwendung von Modellen, ausdrücklich auch automatisierte Modelle, technologiegestützte Innovation und künstliche Intelligenz.
06
AT 5 verlangt Organisationsrichtlinien, die in Textform dokumentiert sind; die frühere Formulierung lautete «schriftlich fixiert».

Status

Die 9. MaRisk-Novelle, Rundschreiben 06/2026 (BA) vom 30. Juni 2026, ist mit der Veröffentlichung in Kraft getreten. Soweit sich zusätzliche Anforderungen ergeben, gilt eine Übergangsfrist bis zum 1. Januar 2027; dasselbe Datum gilt für organisatorische Anpassungen, wo Institute die Hinweise der Aufsichtsmitteilung vom 26. November 2024, die nun in den Regelungstext überführt ist, dokumentiert abweichend ausgelegt hatten. Die Vorfassung war das Rundschreiben 06/2024 (BA) vom 29. Mai 2024 (8. Novelle).

Was verlangt wird

01
Internes Kontrollsystem (AT 4.3, AT 4.3.1)
Entsprechend Art, Umfang, Komplexität und Risikogehalt der Geschäftsaktivitäten trifft jedes Institut Regelungen zur Aufbau- und Ablauforganisation, richtet Risikosteuerungs- und -controllingprozesse ein und implementiert eine Risikocontrolling-Funktion und eine Compliance-Funktion. Miteinander unvereinbare Tätigkeiten werden von verschiedenen Mitarbeitern ausgeführt; Prozesse, Aufgaben, Kompetenzen, Verantwortlichkeiten und Kommunikationswege sind klar definiert und aufeinander abgestimmt.
02
Risikosteuerungs- und -controllingprozesse (AT 4.3.2)
Angemessene Prozesse zur Identifizierung, Beurteilung, Steuerung sowie Überwachung und Kommunikation der wesentlichen Risiken, eingebunden in die Gesamtbanksteuerung. Risiken und Risikokonzentrationen werden unter Berücksichtigung der Risikotragfähigkeit und des Risikoappetits wirksam begrenzt und überwacht.
03
Verwendung von Modellen (AT 4.3.4)
Gilt für Modelle in den von den MaRisk geregelten Prozessen, auch für automatisierte Modelle, technologiegestützte Innovation und künstliche Intelligenz; Modelle im Anwendungsbereich der CRR sind ausgenommen. Institute begründen die Annahmen, bewerten die Eignung vor dem Einsatz und regelmässig, sichern die Datenqualität, regeln die Verwendung der Ergebnisse einschliesslich Überschreibungen, validieren regelmässig und achten auf hinreichende Erklärbarkeit.
04
Organisationsrichtlinien (AT 5)
Die Geschäftsaktivitäten beruhen auf Organisationsrichtlinien, etwa Handbüchern, Arbeitsanweisungen oder Arbeitsablaufbeschreibungen, die sich als Prüfungsgrundlage der Internen Revision eignen, in Textform dokumentiert, den Mitarbeitern bekanntgemacht und zeitnah angepasst werden. Sie umfassen vor allem Regelungen zur Aufbau- und Ablauforganisation samt Übersicht nach § 25c Abs. 4a Nr. 8 KWG, zu den Risikoprozessen, zur Internen Revision, zur Einhaltung rechtlicher Vorgaben, zu Auslagerungen und, je nach Grösse, einen Verhaltenskodex.
05
Besondere Funktionen (AT 4.4)
Jedes Institut verfügt über eine Risikocontrolling-Funktion (AT 4.4.1), eine Compliance-Funktion, die grundsätzlich unmittelbar der Geschäftsleitung unterstellt ist (AT 4.4.2), und eine Interne Revision mit vollständigem und uneingeschränktem Informationsrecht, die direkt der Geschäftsleitung unterstellt ist (AT 4.4.3).
06
Dokumentation (AT 6)
Geschäfts-, Kontroll- und Überwachungsunterlagen sind für sachkundige Dritte nachvollziehbar abzufassen und fünf Jahre aufzubewahren. Wesentliche Handlungen und Festlegungen zur Einhaltung des Rundschreibens werden dokumentiert, auch die Fälle, in denen die Geschäftsleitung einzubinden ist.

Was es für Verwaltungsrat und Geschäftsleitung bedeutet

01
Alle Geschäftsleiter sind unabhängig von der internen Zuständigkeitsregelung für die ordnungsgemässe Geschäftsorganisation und deren Weiterentwicklung verantwortlich, einschliesslich einer angemessenen Risikokultur (AT 3.1).
02
Die Geschäftsleitung informiert das Aufsichtsorgan mindestens vierteljährlich in Textform über Geschäftslage und Risikosituation, mit einer Beurteilung (AT 3.2).
03
Mehr Prinzipien bedeuten mehr Ermessen: Wesentliche Festlegungen sind zu dokumentieren, auch die Fälle, in denen eine Entscheidung der Geschäftsleitung erforderlich ist (AT 6).
04
Die Wahl der Modelle liegt in der Verantwortung des Instituts (AT 4.3.4); bei Modellen mit Charakteristika künstlicher Intelligenz ist auf hinreichende Erklärbarkeit zu achten.

In MRM-Solution

Wie MRM-Solution unterstützt

01Weisungen aus den modellierten Prozessen erzeugen, damit Rollen und Verantwortlichkeiten im Text der gelebten Praxis entsprechen.
02Kontrollen an die Aktivitäten hängen, die sie absichern, Tests erfassen oder Ergebnisse im eigenen Tabellenformat importieren und Mängel bis zur Behebung verfolgen.
03Gremien, Kompetenzen und Eskalationswege einmal modellieren; die Struktur wird auf Lücken, Zyklen und die Unabhängigkeit der zweiten Linie geprüft.
04Einen unveränderbaren Audit Trail führen: wer was wann in welcher Rolle geändert hat, dazu ein Änderungsprotokoll pro Weisung.

Demo buchen

Fragen aus der Geschäftsleitung

Welche MaRisk-Fassung gilt heute, und bis wann müssen wir sie umsetzen?

Das Rundschreiben 06/2026 (BA) vom 30. Juni 2026, die 9. Novelle, ist mit der Veröffentlichung in Kraft getreten. Soweit sich zusätzliche Anforderungen ergeben, gewährt die Bafin eine Übergangsfrist bis zum 1. Januar 2027. Die Vorfassung war das Rundschreiben 06/2024 (BA) vom 29. Mai 2024.

Erfassen die MaRisk Modelle und künstliche Intelligenz?

Ja. AT 4.3.4 gilt für Modelle in den von den MaRisk geregelten Prozessen, auch für automatisierte Modelle, technologiegestützte Innovation und künstliche Intelligenz, unabhängig davon, ob sie intern oder von Dritten entwickelt wurden; CRR-Modelle sind ausgenommen. Verlangt werden begründete Annahmen, Datenqualität, Regeln zu Überschreibungen, regelmässige Validierung und hinreichende Erklärbarkeit, abgestuft nach Komplexität und Bedeutung des Modells.

Gelten die MaRisk für die Zweigstelle einer Schweizer Bank in Deutschland?

AT 2.1 nennt Institute gemäss § 53 Abs. 1 KWG und CRD-Drittstaatenzweigstellen nach § 53c KWG, Letztere nach Massgabe der §§ 53c bis 53cq KWG, und nimmt nur Zweigniederlassungen von EWR-Unternehmen nach § 53b KWG aus. Da eine CRD-Drittstaatenzweigstelle kein Aufsichtsorgan hat, bezieht sie stattdessen in angemessener Form ihre Unternehmenszentrale ein; Zweigstellen der Risikoklasse 2 gelten als kleine Institute.

Quellen

Zusammenfassung zur Orientierung, keine Rechtsberatung. Massgebend ist der offizielle Text.

Referenz: Rundschreiben 06/2026 (BA)
Offizieller Titel: Rundschreiben 06/2026 (BA) – Mindestanforderungen an das Risikomanagement – MaRisk
Herausgeber: Bundesanstalt für Finanzdienstleistungsaufsicht (Bafin)
Art: Rundschreiben
In Kraft seit: 30. Juni 2026
Gilt für: Institute gemäss § 1 Abs. 1b KWG bzw. § 53 Abs. 1 KWG, sofern sie nicht als bedeutende Institute der direkten Aufsicht der EZB unterliegen, sowie CRD-Drittstaatenzweigstellen nach § 53c KWG und Zweigniederlassungen deutscher Institute im Ausland; nicht Zweigniederlassungen von Unternehmen aus dem EWR nach § 53b KWG (AT 2.1).
Zuletzt geprüft: 13. Oktober 2026