WpI MaRisk 2026: Neue Anforderungen an Governance und Risikomanagement von Wertpapierinstituten
Mit dem Rundschreiben 09/2026 (WA) hat die BaFin erstmals eigenständige Mindestanforderungen an das Risikomanagement kleiner und mittlerer Wertpapierinstitute veröffentlicht. Die WpI MaRisk gelten ab dem 1. Januar 2027. Betroffene Institute sollten die verbleibende Zeit für eine dokumentierte Umsetzungs- und Lückenanalyse nutzen.
I. Die Kernaussage vorweg: Was ändert sich – und für wen?
Die WpI MaRisk konkretisieren die Anforderungen des Wertpapierinstitutsgesetzes an die ordnungsgemäße Geschäftsorganisation und das Risikomanagement. Sie schaffen einen eigenständigen Aufsichtsrahmen, der auf die Geschäftsmodelle und Risikostrukturen von Wertpapierinstituten zugeschnitten ist.
Erfasst werden:
Kleine Wertpapierinstitute im Sinne des § 2 Abs. 16 WpIG,
Mittlere Wertpapierinstitute im Sinne des § 2 Abs. 17 WpIG.
Große Wertpapierinstitute im Sinne des § 2 Abs. 18 WpIG fallen nicht in den unmittelbaren Anwendungsbereich. Für sie gelten aufgrund ihrer aufsichtsrechtlichen Einordnung andere Anforderungen.
Für kleine Institute bedeuten die WpI MaRisk nicht, dass sämtliche für mittlere Institute vorgesehenen Strukturen unverändert übernommen werden müssen. Der Proportionalitätsgrundsatz bleibt ein tragendes Element. Erleichterungen müssen jedoch anhand des konkreten Geschäftsmodells, der Größe, der Komplexität und des Risikoprofils begründet werden. „Klein“ bedeutet daher nicht „anforderungsfrei“.
Das Rundschreiben ist keine Rechtsverordnung und kein Parlamentsgesetz. Es beschreibt jedoch die Verwaltungspraxis der BaFin bei der Auslegung und Anwendung der gesetzlichen Organisationspflichten. Abweichende Lösungen sind damit nicht von vornherein ausgeschlossen. Das Institut muss aber nachvollziehbar darlegen können, dass seine alternative Ausgestaltung die gesetzlichen Anforderungen mindestens gleichwertig erfüllt.
II. Warum jetzt Handlungsbedarf besteht
Die WpI MaRisk gelten ab dem 1. Januar 2027. Die verbleibende Umsetzungszeit ist knapp, weil die Anforderungen nicht lediglich die Erstellung zusätzlicher Richtlinien betreffen. Betroffen sind Organisationsstrukturen, Verantwortlichkeiten, Risikodaten, Kontrollfunktionen, Berichtswege, Auslagerungsverträge und teilweise auch die IT-Unterstützung.
Nach dem Begleitschreiben der BaFin bleibt bis zum 31. Dezember 2026 grundsätzlich die sinngemäße Anwendung der MaRisk für Kreditinstitute in der Fassung der 8. Novelle maßgeblich. Die Änderungen der 9. MaRisk-Novelle müssen Wertpapierinstitute in diesem Übergangszeitraum nicht zwingend umsetzen. Daraus folgt allerdings keine Schonfrist über den 1. Januar 2027 hinaus.
Besonderer Handlungsbedarf besteht, wenn ein Institut bislang:
keine auf das WpIG zugeschnittene Risikoinventur durchführt,
Risiken für Kunden, Markt und Institut nicht systematisch zusammenführt,
über keine dokumentierte Kapitalplanung mit adverser Entwicklung verfügt,
Proportionalitätserleichterungen nur mit der Mitarbeiterzahl begründet,
Kontrollfunktionen personell oder organisatorisch nicht hinreichend getrennt hat,
Auslagerungen und IKT-Drittdienstleistungen nicht sauber voneinander abgrenzt,
vertraglich gebundene Vermittler nicht in das Risikomanagement einbezieht,
oder keine konsistente Verzahnung zwischen WpI MaRisk und DORA hergestellt hat.
Die BaFin wird künftig nicht nur prüfen können, ob einzelne Dokumente vorhanden sind. Entscheidend ist, ob die Regelungen im laufenden Betrieb tatsächlich angewendet, überwacht und bei Änderungen angepasst werden.
III. Fristen, Anwendungszeitpunkt und Übergangsregeln
Die finale Fassung wurde am 24. August 2026 als Rundschreiben 09/2026 (WA) veröffentlicht. Sie ist ab dem 1. Januar 2027 anzuwenden.
Für die Umsetzung bedeutet dies:
Bis zum 31. Dezember 2026 bleibt die sinngemäße Anwendung der für Kreditinstitute geltenden MaRisk in der Fassung der 8. Novelle maßgeblich.
Die Änderungen der 9. MaRisk-Novelle müssen Wertpapierinstitute in diesem Übergangszeitraum nach der Klarstellung der BaFin nicht zwingend berücksichtigen.
Ab dem 1. Januar 2027 erwartet die BaFin die Anwendung der WpI MaRisk.
Eine allgemeine nachgelagerte Umsetzungsfrist lässt sich dem Rundschreiben nicht entnehmen.
Bereits vor dem Stichtag bestehende Mängel der Geschäftsorganisation werden durch die Übergangsregelung nicht legitimiert.
Institute sollten deshalb nicht darauf setzen, dass eine nach dem 1. Januar 2027 noch laufende Projektplanung als ausreichende Umsetzung anerkannt wird. Zum Stichtag müssen zumindest die erforderlichen Strukturen, Verantwortlichkeiten, Methoden, Kontrollen und Berichtswege eingerichtet und funktionsfähig sein.
IV. Konkrete Pflichten und betroffene Funktionen
1. Risikoinventur und Gesamtrisikoprofil
Das Institut muss regelmäßig und anlassbezogen sein Gesamtrisikoprofil ermitteln und beurteilen, welche Risiken wesentlich sind. Einzubeziehen sind insbesondere:
Risiken für Kunden,
Risiken für den Markt,
Risiken für das Wertpapierinstitut,
sonstige wesentliche Risiken,
Liquiditätsrisiken,
IKT-Risiken,
ESG-Risiken als mögliche Risikotreiber.
Die Risikoinventur darf nicht bei einer abstrakten Risikoliste stehen bleiben. Sie muss das tatsächliche Geschäftsmodell, Produkte, Kundengruppen, Vertriebswege, Auslagerungen, technische Abhängigkeiten und geplante Veränderungen abbilden.
Für kleine Wertpapierinstitute bestehen proportionale Erleichterungen. Die Entscheidung, ein Risiko als unwesentlich zu behandeln, muss dennoch sachlich begründet, dokumentiert und regelmäßig überprüft werden.
2. Risikotragfähigkeit, Kapitalplanung und Stresstests
Die detaillierten Anforderungen an die Risikotragfähigkeit richten sich grundsätzlich an mittlere Wertpapierinstitute. Diese müssen Risiken und verfügbare Risikodeckungspotenziale in einer belastbaren Gesamtsicht zusammenführen.
Eine Kapitalplanung ist dagegen sowohl von kleinen als auch von mittleren Wertpapierinstituten vorzuhalten. Sie muss neben dem Planszenario mindestens ein adverses Szenario berücksichtigen. Das adverse Szenario sollte institutsspezifische Belastungen abbilden und darf nicht lediglich aus einer pauschalen Kürzung der Planzahlen bestehen.
Mittlere Wertpapierinstitute müssen zusätzlich regelmäßig Stresstests durchführen. Dabei sind auch Wechselwirkungen und Konzentrationen zu berücksichtigen. Ein isolierter Stresstest je Risikoart kann unzureichend sein, wenn sich beispielsweise Marktverluste, Liquiditätsabflüsse, Kundenentschädigungen und operative Störungen gegenseitig verstärken.
3. Geschäftsleitung und Aufsichtsorgan
Die Geschäftsleitung trägt die Gesamtverantwortung für eine ordnungsgemäße Geschäftsorganisation. Dazu gehören insbesondere:
Festlegung der Geschäfts- und Risikostrategie,
Einrichtung angemessener Risikosteuerungs- und Kontrollprozesse,
Festlegung klarer Zuständigkeiten,
angemessene personelle und technische Ausstattung,
Kenntnisnahme und Bewertung wesentlicher Risikoberichte,
rechtzeitige Reaktion auf Mängel und Eskalationen.
Aufgaben dürfen delegiert werden; die Gesamtverantwortung der Geschäftsleitung entfällt dadurch nicht. Geschäftsleiter müssen sich in einer ihrer Verantwortung entsprechenden Weise informieren und die Wirksamkeit der Organisation überwachen.
Das Aufsichtsorgan muss die Geschäftsleitung wirksam kontrollieren können. Dafür benötigt es rechtzeitige, verständliche und entscheidungsrelevante Informationen. Umfangreiche Berichte genügen nicht, wenn wesentliche Risiken, Grenzwertverletzungen oder Umsetzungsdefizite darin nicht erkennbar sind.
4. Compliance, Risikomanagement und Interne Revision
Eine Compliance-Funktion ist einzurichten. Ihre Aufgaben, Befugnisse, Informationsrechte und Berichtswege müssen eindeutig geregelt sein. Sie muss ihre Überwachungsaufgaben sachgerecht und mit ausreichender Unabhängigkeit wahrnehmen können.
Eine unabhängige Risikomanagement-Funktion und eine Interne Revision sind einzurichten, soweit dies unter Berücksichtigung von Art, Umfang und Komplexität der Geschäfte angemessen und verhältnismäßig ist. Der Verzicht auf eine eigenständige Funktion ist daher keine freie Organisationsentscheidung, sondern bedarf einer tragfähigen Proportionalitätsbegründung.
Wesentliche Aktivitäten und Prozesse sind durch die Interne Revision grundsätzlich innerhalb eines Dreijahreszyklus zu prüfen. Risikoreiche Sachverhalte können kürzere Prüfungsintervalle erfordern. Für Institute mit weniger als zehn Mitarbeitern beziehungsweise Vollzeitäquivalenten bestehen unter bestimmten Voraussetzungen Erleichterungen. Auch dann müssen Interessenkonflikte beherrscht und eine wirksame Kontrolle sichergestellt werden.
5. Auslagerungen und DORA
AT 9 der WpI MaRisk enthält Anforderungen an:
die Wesentlichkeits- und Risikoanalyse,
die Vertragsgestaltung,
die Steuerung und Überwachung,
Weiterverlagerungen,
Ausstiegs- und Notfallkonzepte,
das zentrale Auslagerungsmanagement.
Ausgelagerte oder fremdbezogene IKT-Dienstleistungen im Sinne des Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, werden nicht zusätzlich nach AT 9 behandelt. Diese Abgrenzung soll Doppelregulierung vermeiden, schafft aber keinen kontrollfreien Bereich.
Institute benötigen ein nachvollziehbares Klassifikationsverfahren:
Handelt es sich um eine IKT-Dienstleistung im Sinne der DORA?
Unterliegt sie dem IKT-Drittparteienrisikomanagement der Art. 28 bis 30 DORA?
Liegt daneben eine Auslagerung nicht-IKT-bezogener Aktivitäten oder Prozesse vor?
Welche Anforderungen gelten bei gemischten Vertrags- und Leistungsstrukturen?
Die Bezeichnung des Vertrags durch den Dienstleister ist nicht entscheidend. Maßgeblich sind Inhalt und tatsächliche Durchführung der bezogenen Leistung.
V. Praxisprobleme und absehbare Prüfungsfeststellungen
Da die finalen WpI MaRisk erst ab dem 1. Januar 2027 gelten, kann noch nicht von einer gefestigten Prüfungspraxis gesprochen werden. Aus den Anforderungen lassen sich jedoch besonders relevante Prüffelder ableiten:
unvollständige oder ausschließlich formale Risikoinventuren,
nicht dokumentierte Wesentlichkeitsentscheidungen,
unzureichende Berücksichtigung von Kunden- und Marktrisiken,
pauschale Behandlung von ESG-Risiken ohne institutsspezifische Analyse,
fehlende Integration von IKT-Risiken,
Kapitalplanung ohne plausibles adverses Szenario,
Stresstests ohne Wechselwirkungen und Konzentrationsrisiken,
fehlende Trennung unvereinbarer Aufgaben,
Kontrollfunktionen ohne ausreichende Ressourcen oder Informationsrechte,
verspätete oder unvollständige Berichte an Geschäftsleitung und Aufsichtsorgan,
nicht eingehaltene Revisionszyklen,
fehlende Überwachung vertraglich gebundener Vermittler,
unvollständige Auslagerungsregister,
fehlende Ausstiegs- und Notfallplanungen,
fehlerhafte Abgrenzung zwischen AT 9 und DORA,
Proportionalitätserleichterungen ohne belastbare Begründung.
Besonders angreifbar ist eine Organisation, die auf dem Papier angemessen erscheint, im tatsächlichen Betrieb aber keine nachweisbaren Kontrollen, Eskalationen oder Managemententscheidungen erkennen lässt.
Haftungs- und Sanktionsrisiken
Die WpI MaRisk enthalten keinen eigenen Bußgeldkatalog. Verstöße können jedoch auf eine Verletzung der gesetzlichen Organisationspflichten des WpIG hindeuten und aufsichtsrechtliche Maßnahmen auslösen.
Je nach Art und Schwere eines Mangels kommen insbesondere in Betracht:
Anordnungen zur Herstellung einer ordnungsgemäßen Geschäftsorganisation,
Beanstandungen im Rahmen von Prüfungen,
zusätzliche Eigenmittelanforderungen,
Anforderungen an Geschäftsleiter oder Kontrollfunktionen,
Einschränkungen des Geschäftsbetriebs,
Maßnahmen gegen Geschäftsleiter,
in schwerwiegenden Fällen Auswirkungen auf die Erlaubnis.
Die persönliche Verantwortlichkeit eines Geschäftsleiters entsteht nicht automatisch mit jeder Abweichung vom Rundschreiben. Maßgeblich sind die zugrunde liegende gesetzliche Pflicht, die konkrete Aufgabenverteilung, die Erkennbarkeit des Mangels, das Vertretenmüssen und gegebenenfalls ein eingetretener Schaden.
Gesellschaftsrechtlich können insbesondere § 43 GmbHG oder § 93 AktG einschlägig sein. Für Vorstandsmitglieder bestimmt § 93 Abs. 2 Satz 2 AktG, dass sie im Haftungsstreit darzulegen und zu beweisen haben, die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt zu haben. Eine ordnungsgemäße Dokumentation von Risikoentscheidungen, Ressourcenzuweisungen und Überwachungsmaßnahmen ist deshalb auch haftungsrechtlich relevant.
Die Business-Judgment-Rule des § 93 Abs. 1 Satz 2 AktG schützt unternehmerische Ermessensentscheidungen unter ihren Voraussetzungen. Sie rechtfertigt jedoch grundsätzlich keine bewusste Missachtung zwingender gesetzlicher oder aufsichtsrechtlicher Anforderungen. Bei der konkreten Ausgestaltung proportionaler Maßnahmen kann dagegen ein begründeter Entscheidungsspielraum bestehen.
Eine allgemeine Beweislastumkehr begründen die WpI MaRisk nicht. Praktisch trägt das Institut aber eine erhebliche Darlegungs- und Dokumentationslast: Wer eine Erleichterung, alternative Umsetzung oder Unwesentlichkeit eines Risikos in Anspruch nimmt, muss die zugrunde liegende Bewertung gegenüber der Aufsicht nachvollziehbar erklären können.
VI. Umsetzungsfahrplan: Was jetzt zu tun ist
Phase 1: Anwendungsbereich und Governance
Zunächst ist verbindlich festzustellen, ob das Institut als kleines oder mittleres Wertpapierinstitut einzuordnen ist. Anschließend sind Projektverantwortung, Geschäftsleitungszuständigkeit und Berichtswege festzulegen.
Phase 2: Gap-Analyse
Die vorhandene Organisation ist systematisch mit sämtlichen Modulen der WpI MaRisk abzugleichen. Die Analyse sollte nicht nur Richtlinien erfassen, sondern auch tatsächliche Prozesse, Daten, Kontrollen, Verträge und personelle Kapazitäten.
Phase 3: Risikoinventur und Methoden
Risikotaxonomie, Wesentlichkeitskriterien, Gesamtrisikoprofil und anlassbezogene Aktualisierung sind zu überarbeiten. Für mittlere Institute sind zusätzlich Risikotragfähigkeits- und Stresstestverfahren anzupassen.
Phase 4: Kontrollfunktionen
Mandat, Unabhängigkeit, Ressourcen und Vertretung von Compliance, Risikomanagement und Interner Revision sind zu prüfen. Etwaige Erleichterungen müssen einzeln begründet werden.
Phase 5: Auslagerungen und DORA-Abgrenzung
Sämtliche Fremdbezüge sind zu inventarisieren und als Auslagerung, IKT-Dienstleistung oder sonstiger Fremdbezug einzuordnen. Verträge, Risikoanalysen, Register, Überwachung und Exit-Pläne sind anschließend anzupassen.
Phase 6: Implementierung und Wirksamkeitstest
Überarbeitete Prozesse müssen vor dem 1. Januar 2027 praktisch getestet werden. Dazu gehören insbesondere Berichtswege, Eskalationen, Grenzwertverletzungen, Notfallverfahren und die Datenlieferung externer Dienstleister.
Phase 7: Managementfreigabe
Die Geschäftsleitung sollte sich nicht nur den Projektabschluss bestätigen lassen. Sie sollte eine zusammenfassende Bewertung der verbleibenden Risiken, offenen Maßnahmen und beanspruchten Proportionalitätserleichterungen beschließen und dokumentieren.
VII. Checkliste für Geschäftsleitung, Compliance und Projektleitung
Ist die Einordnung als kleines oder mittleres Wertpapierinstitut aktuell und dokumentiert?
Wurde der vollständige Anwendungsbereich der WpI MaRisk ermittelt?
Liegt eine belastbare Gap-Analyse vor?
Sind Geschäfts- und Risikostrategie konsistent?
Erfasst die Risikoinventur Kunden-, Markt-, Instituts-, Liquiditäts- und IKT-Risiken?
Werden ESG-Risiken als Risikotreiber berücksichtigt?
Sind Wesentlichkeitsentscheidungen nachvollziehbar begründet?
Verfügt das Institut über eine Kapitalplanung mit adverser Entwicklung?
Sind bei mittleren Instituten Risikotragfähigkeit und Stresstests angemessen ausgestaltet?
Sind Verantwortlichkeiten und unvereinbare Tätigkeiten klar geregelt?
Verfügen Kontrollfunktionen über ausreichende Ressourcen und Informationsrechte?
Sind beanspruchte Proportionalitätserleichterungen einzeln dokumentiert?
Deckt der Revisionsplan alle wesentlichen Aktivitäten grundsätzlich innerhalb von drei Jahren ab?
Sind vertraglich gebundene Vermittler in das Risikomanagement einbezogen?
Ist jeder relevante Fremdbezug als Auslagerung, IKT-Dienstleistung oder sonstiger Fremdbezug klassifiziert?
Sind WpI MaRisk und DORA ohne Lücken oder widersprüchliche Doppelprozesse verzahnt?
Bestehen belastbare Ausstiegs-, Notfall- und Eskalationsverfahren?
Kann die tatsächliche Durchführung der Kontrollen nachgewiesen werden?
Ist die vollständige Umsetzung zum 1. Januar 2027 realistisch abgesichert?
Hat die Geschäftsleitung die Umsetzung und verbleibende Risiken förmlich behandelt?
VIII. Fazit und nächster sinnvoller Schritt
Die WpI MaRisk machen das Proportionalitätsprinzip für Wertpapierinstitute konkret, schaffen aber keine pauschale Entlastung für kleine Häuser. Je schlanker die Organisation ist, desto wichtiger werden klare Zuständigkeiten, funktionierende Vertretungsregelungen und eine belastbare Begründung vereinfachter Strukturen.
Für die Geschäftsleitung liegt das wesentliche Risiko nicht in jeder einzelnen Abweichung von einem Detail des Rundschreibens. Kritisch wird es, wenn wesentliche Risiken nicht erkannt, Zuständigkeiten nicht geklärt, Kontrollfunktionen nicht wirksam ausgestattet oder bekannte Mängel nicht rechtzeitig behoben werden.
Der nächste sinnvolle Schritt ist eine dokumentierte WpI-MaRisk-Readiness-Analyse. Sie sollte neben dem Soll-Ist-Abgleich eine Entscheidungsmatrix zur Proportionalität, ein DORA-/AT-9-Mapping sowie einen von der Geschäftsleitung bestätigten Maßnahmenplan enthalten. Verantwortliche, Fristen, Abhängigkeiten und erforderliche Wirksamkeitsnachweise sollten darin verbindlich festgelegt werden.
Rechtsstand: 8. September 2026. Der Beitrag bietet einen allgemeinen Überblick und ersetzt keine Prüfung des konkreten Instituts und seiner Geschäftsorganisation.
Autorin: Emma Collins
Emma Collins treibt die Themen Leadership, Governance und strategische Transformation im S+P Leadership Hub voran. Ihr Ziel: Innovative Ansätze in greifbare Tools zu übersetzen, damit Führungskräfte auch in komplexen Szenarien handlungsfähig und strategisch sicher bleiben.
S+P Editorial Team
IX. Quellenverzeichnis
Verordnung (EU) 2022/2554 – DORA Verweisung: Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor (DORA):https://eur-lex.europa.eu/…:32022R2554, abgerufen am 08.09.2026.
§ 2 WpIG Verweisung: § 2 Begriffsbestimmungen, Gesetz zur Beaufsichtigung von Wertpapierinstituten (Wertpapierinstitutsgesetz – WpIG):https://www.gesetze-im-internet.de/…, abgerufen am 08.09.2026.
BaFin-Rundschreiben 09/2026 (WA) – WpI MaRisk Verweisung: Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin), Rundschreiben 09/2026 (WA) – Mindestanforderungen an das Risikomanagement von Wertpapierinstituten (WpI MaRisk):https://www.bafin.de/…, abgerufen am 08.09.2026.
Begleitschreiben der BaFin Verweisung: Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin), Begleitschreiben zum Rundschreiben 09/2026 (WA) – WpI MaRisk:https://www.bafin.de/…, abgerufen am 08.09.2026.
S+P Unternehmerforum GmbH mit Sitz in München ist ein führender Anbieter für praxisnahe, rollenbasierte Weiterbildung im deutschsprachigen Raum. Seit der Gründung im Jahr 2004 unterstützt S+P Fach- und Führungskräfte sowie C-Level-Manager:innen aus der Finanzwirtschaft und Industrie dabei, sich gezielt weiterzuentwickeln und regulatorisch sowie strategisch sicher zu handeln.
S+P bietet ein breites Portfolio an Online-Seminaren, E-Learnings, Zertifikatslehrgängen und Executive Education Programmen. Themenschwerpunkte sind unter anderem Compliance, Geldwäscheprävention, Risikomanagement, Projektmanagement, Finance, Leadership und digitale Transformation.
Ein Alleinstellungsmerkmal ist die S+P Tool Box – mit sofort einsetzbaren Arbeitshilfen wie Leitfäden, Checklisten, Gantt-Plänen und Risikochecks. Zusätzlich steht allen Teilnehmer:innen die digitale Lernplattform S+P Lounge zur Verfügung.
Mit dem Zertifikat S+P Certified und dem digitalen Karriere-Badge dokumentieren Absolvent:innen ihre Kompetenz sichtbar – für Arbeitgeber, Kunden und Netzwerke.
Teilnehmer bewerten S+P Seminare auf ProvenExpert mit 4,65 von 5 Sternen. Für jedes gebuchte Seminar pflanzt S+P im Rahmen des ESG-Projekts „Dein Seminar, dein Baum, deine Zukunft“ einen Baum in Deutschland.
Mehr Informationen unter: www.sp-unternehmerforum.de