Mit dem Rundschreiben 09/2026 (WA) hat die BaFin am 24. August 2026 die finalen Mindestanforderungen an das Risikomanagement von Wertpapierinstituten (WpI MaRisk) veröffentlicht. Damit erhalten kleine und mittlere Wertpapierinstitute erstmals ein eigenständiges aufsichtsrechtliches Regelwerk für Geschäftsorganisation, Governance und Risikomanagement. Die Anforderungen gelten ab dem 1. Januar 2027.
Die WpI MaRisk lösen die bisherige Orientierung an den bankaufsichtlichen MaRisk ab. Bis zum Inkrafttreten gilt weiterhin die sinngemäße Anwendung der KWG MaRisk in ihrer achten Novelle; die Änderungen aus der neunten Novelle müssen in diesem Übergangszeitraum nach BaFin-Angaben noch nicht zwingend berücksichtigt werden.
Die finale Fassung folgt auf das im Mai 2026 eingeleitete zweite Konsultationsverfahren. Nach Auswertung der Stellungnahmen und Beratungen im Arbeitskreis Wertpapierinstitute und -firmen hat die BaFin nach eigener Aussage noch einzelne Anpassungen vorgenommen, um ihre Erwartungen klarer und transparenter zu formulieren. Zugleich wurde das Regelwerk gezielt an die Ergebnisse des KWG-MaRisk-Reviews angeglichen.
Proportionalität bedeutet Gestaltungsspielraum – und Begründungsbedarf
Ein tragendes Prinzip der WpI MaRisk ist die Verhältnismäßigkeit. Umfang, Tiefe und konkrete organisatorische Ausgestaltung der Anforderungen sollen sich an Größe, Komplexität, Geschäftsmodell und Risikoprofil des jeweiligen Wertpapierinstituts orientieren.
Das eröffnet insbesondere kleineren Instituten Spielräume, etwa bei der Ausgestaltung des Risikotragfähigkeitskonzepts und der Durchführung von Stresstests. Diese Flexibilität ist jedoch nicht mit einem geringeren aufsichtsrechtlichen Anspruch gleichzusetzen. Institute müssen nachvollziehbar darlegen können, weshalb die gewählte Ausgestaltung ihrer Prozesse, Kontrollen, Funktionen und Berichtswege angemessen ist. Eigenverantwortung, belastbare Entscheidungsgrundlagen und eine konsistente Dokumentation rücken damit stärker in den Mittelpunkt.
Für mittlere Wertpapierinstitute wächst insbesondere der Umsetzungsdruck bei der inhaltlichen Verzahnung von Risikoinventur, Risikotragfähigkeit, Kapitalplanung und Geschäfts- bzw. Risikostrategie.
Neue Risikotaxonomie als Ausgangspunkt
Kern der WpI MaRisk ist eine an der Investment Firm Regulation (IFR) und dem Wertpapierinstitutsgesetz (WpIG) ausgerichtete Risikotaxonomie. Statt an der bisherigen, stärker bankaufsichtlich geprägten Trennung zwischen finanziellen und nichtfinanziellen Risiken anzuknüpfen, soll das Risikoprofil künftig insbesondere entlang der Kategorien
- Risiken für Kunden,
- Risiken für den Markt und
- Risiken für das Wertpapierinstitut
erfasst und gesteuert werden.
Daneben sind sonstige Risiken und Liquiditätsrisiken zu berücksichtigen. Auch ESG- und IKT-Risikotreiber sind in die Analyse einzubeziehen, soweit sie für das Institut relevant sind. Dies betrifft nicht nur die Risikoinventur, sondern auch Wesentlichkeitsbeurteilungen, Steuerungsprozesse, Limite, Berichterstattung und die Kapitalplanung.
Eine bloß formale Übertragung bestehender bankaufsichtlicher Risikokategorien wird daher regelmäßig nicht genügen. Institute sollten prüfen, ob ihre Risikoinventur die neue Systematik vollständig, widerspruchsfrei und nachvollziehbar abbildet.
Risikotragfähigkeit und Kapitalplanung
Für mittlere Wertpapierinstitute sehen die WpI MaRisk bei der Beurteilung der Risikotragfähigkeit ausdrücklich Methodenfreiheit vor. Entscheidend ist somit nicht die Übernahme eines bestimmten, aus der Bankenaufsicht bekannten Modells, sondern eine sachgerechte, institutsspezifische Herleitung und eine konsistente Anwendung.
Erforderlich ist zudem eine integrierte Kapitalplanung, die mit Geschäftsstrategie und Risikosteuerung abgestimmt ist. Neben einem Planszenario ist mindestens ein adverses Szenario zu berücksichtigen. Die Geschäftsleitung muss die wesentlichen Elemente des Risikotragfähigkeitskonzepts genehmigen.
Die BaFin stellt zugleich klar, dass Begriffe wie „Risikoinventur“, „Risikotragfähigkeit“, „Risikodeckungspotenzial“, „Kapitalplanung“ und „Anlagebuch“ im Kontext der WpI MaRisk nicht automatisch mit denselben inhaltlichen Erwartungen verbunden sind wie im Kreditinstitutsaufsichtsrecht. Allein die Verwendung dieser Begriffe führt daher nicht zu einer Übertragung bankaufsichtlicher Anforderungen auf Wertpapierinstitute.
Ungeordnete Abwicklung, Compliance und Interne Revision
Neu ist die ausdrückliche Behandlung des Risikos einer ungeordneten Abwicklung. Mittlere Wertpapierinstitute müssen analysieren, in welchem Zeitraum eine geordnete Einstellung der Geschäftstätigkeit möglich wäre und welche Kosten hierfür anzusetzen sind. Nach der Klarstellung der BaFin begründet dies jedoch keine Pflicht zur Erstellung von Sanierungs- oder Abwicklungsplänen.
Praktisch verlangt die Anforderung dennoch belastbare Annahmen zur Abwicklungsdauer, zum Ressourcenbedarf, zu laufenden Vertrags- und Kundenbeziehungen, zu Auslagerungen sowie zur Kapitalausstattung. Diese Überlegungen sollten eng mit der Kapitalplanung und der Risikosteuerung verbunden werden.
Weitere Klarstellungen der finalen Fassung betreffen unter anderem:
- Compliance-Funktion: Die WpI MaRisk enthalten ergänzende Vorgaben für Compliance-Aufgaben außerhalb der Wohlverhaltenspflichten nach WpHG. Die BaFin will damit ermöglichen, dass diese Aufgaben grundsätzlich durch eine einheitliche Compliance-Funktion wahrgenommen werden können.
- Erlaubnisfreie Geschäfte: Die Anforderungen können auch erlaubnisfreie Geschäfte erfassen, sofern diese Auswirkungen auf die Risiken des Wertpapierinstituts oder auf die Erbringung von Wertpapierdienstleistungen, Wertpapiernebendienstleistungen oder Nebengeschäften haben. Eine Beschränkung auf ertrags- und aufwandsrelevante Tätigkeiten reicht häufig nicht aus.
- Interne Revision: Die BaFin konkretisiert ihre Erwartungen anhand von Regelbeispielen. Bei komplexen Produkten geht sie grundsätzlich davon aus, dass eine unabhängige Interne Revisionseinheit angemessen ist. Als Regelbeispiele lassen diese Vorgaben jedoch Raum für begründete institutsspezifische Abweichungen.
Was Institute jetzt tun sollten
Die verbleibende Zeit bis zum 1. Januar 2027 sollte für eine strukturierte Umsetzung genutzt werden. Aus unserer Sicht stehen insbesondere vier Schritte im Vordergrund:
- Anwendungsbereich und Proportionalität bestimmen: Institutsstatus, einschlägige Anforderungen und mögliche Erleichterungen sollten verbindlich eingeordnet werden.
- Gap-Analyse durchführen: Governance, Strategien, Risikoinventur, Risikotragfähigkeit, Kapitalplanung, Compliance, Interne Revision, Auslagerungen und Berichtswege sollten systematisch mit der finalen WpI MaRisk abgeglichen werden.
- Zielbild und Entscheidungen dokumentieren: Institute sollten ihre Methoden, Wesentlichkeitsgrenzen, Rollen, Kontrollen und Abweichungen nachvollziehbar begründen und dokumentieren.
- Umsetzung priorisieren: Kritische Lücken in Richtlinien, Prozessen, Datenhaushalt, Steuerungsinstrumenten und Reporting sollten rechtzeitig geschlossen werden.
Unverbindlich Erstgespräch vereinbaren: +49 89 45 70 90 0
Ihr Ansprechpartner bei drrp Rechtsanwälte PartmbB in München: Dr. Philipp Hendel – spezialisiert auf Bank- und Kapitalmarktrecht.
Fazit
Die WpI MaRisk schaffen einen eigenständigen, stärker am Geschäftsmodell von Wertpapierinstituten orientierten Aufsichtsrahmen. Der prinzipienbasierte Ansatz eröffnet Gestaltungsspielräume, erhöht aber zugleich den Bedarf an einer nachvollziehbaren institutsspezifischen Ausgestaltung.
Wertpapierinstitute sollten die Übergangsphase daher nicht allein als Anpassung bestehender MaRisk-Dokumentation verstehen. Erforderlich ist vielmehr eine belastbare Neuordnung der Governance- und Risikomanagementarchitektur entlang der WpIG- und IFR-Systematik.
