Bafin veröffentlicht WpI MaRisk

Hintergrund

Seit Inkrafttreten des WpIG wurden die ursprünglich für Institute nach dem KWG entwickelten MaRisk auf kleine und mittlere Wertpapierinstitute weiterhin sinngemäß und unter Berücksichtigung des Proportionalitätsgrundsatzes angewandt. Bis zur Schaffung eines eigenständigen Regelwerks behalf sich die Aufsicht damit mit einer sinngemäßen Anwendung der MaRisk. In der Praxis führte dies jedoch immer wieder zu Unsicherheiten darüber, welche bankaufsichtlichen Anforderungen auf Wertpapierinstitute zu übertragen waren und in welchem Umfang dies zu geschehen hatte.

Mit den WpI MaRisk schafft die Bafin nun einen eigenständigen Regelungsrahmen für die Geschäftsorganisation und das Risikomanagement kleiner und mittlerer Wertpapierinstitute. Damit ändert sich nicht nur das anzuwendende Rundschreiben. Die WpI MaRisk lösen vielmehr den bisherigen Rückgriff auf ein für das KWG-Regime entwickeltes Regelwerk durch einen spezifisch auf das Aufsichtsregime des Wertpapierinstitutsgesetzes (WpIG) sowie von der Richtlinie (EU) 2019/2034 (IFD) und der Verordnung (EU) 2019/2033 (IFR) zugeschnittenen Ansatz ab.

Für große Wertpapierinstitute gilt dieser Regimewechsel nicht. Sie unterliegen weiterhin den MaRisk.

Konsultationsverfahren

Der Veröffentlichung war ein mehrstufiges Konsultationsverfahren vorausgegangen. Die Bafin hatte im August 2025 einen ersten Entwurf der WpI MaRisk veröffentlicht, der in Teilen der Finanzbranche auf deutliche Kritik stieß. Insbesondere wurde bemängelt, dass bankaufsichtliche Anforderungen zu weitgehend auf Wertpapierinstitute übertragen würden und der Entwurf dem eigenständigen und proportional ausgestalteten Aufsichtsregime nach der IFD, der IFR und dem WpIG nicht hinreichend Rechnung trage. Kritik betraf zudem den erwarteten Umsetzungsaufwand sowie einzelne Anforderungen etwa an Kapitalplanung und Stresstests, Kontrollfunktionen, Auslagerungsmanagement und die Bewertung des Risikos einer ungeordneten Abwicklung.

Im Mai 2026 veröffentlichte die Bafin daraufhin eine zweite, deutlich überarbeitete und gestraffte Konsultationsfassung. Sie griff einen erheblichen Teil der Kritik auf, reduzierte die Komplexität des Regelwerks und richtete die Anforderungen stärker auf die unterschiedlichen Geschäftsmodelle und Risikoprofile kleiner und mittlerer Wertpapierinstitute aus.

Die Bafin hat die Entwicklung der WpI MaRisk wiederholt als Beispiel für eine stärker proportionale Ausgestaltung der Aufsicht hervorgehoben. Die WpI MaRisk sind damit für die deutsche Finanzaufsicht zu einem Referenzprojekt für proportionale Regulierung geworden. Dieser Anspruch prägt auch die finale Fassung der WpI MaRisk. Proportionalität wirkt dabei auf mehreren Ebenen: Das Regelwerk unterscheidet zunächst zwischen kleinen und mittleren Wertpapierinstituten und sieht für kleine Wertpapierinstitute zahlreiche ausdrückliche Erleichterungen vor. Daneben richtet sich die Intensität einzelner Anforderungen nach Art, Umfang, Komplexität und Risikogehalt der jeweiligen Geschäftstätigkeit.

Die finale Fassung setzt damit den mit der zweiten Konsultation eingeschlagenen Weg zu einem stärker prinzipienorientierten und auf Wertpapierinstitute zugeschnittenen Regelwerk fort.

Wesentliche Anforderungen

Die WpI MaRisk enthalten insbesondere Vorgaben zur Risikoinventur, zur Geschäfts- und Risikostrategie, zur Kapitalplanung und zu den Risikomanagementprozessen sowie zu Risikomanagement- und Compliance-Funktion, Interner Revision und Risikoberichterstattung.

Hinzu kommen spezifische Anforderungen für Handelsgeschäfte, vertraglich gebundene Vermittler, Liquiditätsrisiken und Auslagerungen. Einen besonderen wertpapierinstitutsspezifischen Akzent setzt das Regelwerk mit Anforderungen an die Identifizierung und Steuerung des Risikos einer ungeordneten Abwicklung. Dabei hat die Bafin klargestellt, dass hiermit keine Verpflichtung zur Erstellung von Sanierungs- oder Abwicklungsplänen verbunden ist. Im Mittelpunkt stehen vielmehr insbesondere der für eine geordnete Abwicklung erforderliche Zeitraum und die hiermit verbundenen Kosten.

Bei der Abgrenzung von Auslagerungsregime und DORA folgt die WpI MaRisk der Systematik der aktuellen MaRisk nach Rundschreiben 06/2026 (BA). Ausgelagerte oder fremdbezogene IKT-Dienstleistungen im Sinne von Art. 3 Nr. 21 der Verordnung (EU) 2022/2554 (DORA), die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, fallen in beiden Regelwerken nicht in den Anwendungsbereich des AT 9. Damit wird eine parallele Anwendung der MaRisk-Auslagerungsanforderungen und des DORA-Regimes auf diese IKT-Dienstleistungen vermieden. Zugleich zeigt sich hier das Bestreben der Bafin, trotz der Schaffung eines eigenständigen WpI-Regelwerks die Systematik der verschiedenen aufsichtsrechtlichen Regelwerke soweit wie möglich aufeinander abzustimmen.

Ausblick

Auch wenn die WpI MaRisk gegenüber den bislang sinngemäß angewandten MaRisk stärker proportional und auf die Besonderheiten von Wertpapierinstituten zugeschnitten sind, werden sie für viele Institute Anpassungen bestehender Prozesse, Zuständigkeiten und Dokumentationen erforderlich machen.

Kleine und mittlere Wertpapierinstitute sollten die verbleibende Zeit bis zum Inkrafttreten daher für eine strukturierte Gap-Analyse nutzen. Im Mittelpunkt sollten dabei insbesondere die Einordnung des Instituts und die daraus folgenden Proportionalitätserleichterungen, Governance und Kontrollfunktionen, Kapital- und Liquiditätsplanung, die Anforderungen an das Risiko einer ungeordneten Abwicklung sowie die Abgrenzung zwischen dem Auslagerungsmanagement nach AT 9 und dem IKT-Drittparteienrisikomanagement nach DORA stehen.

Eine ausführliche Einordnung der neuen Anforderungen der WpI MaRisk folgt in Kürze.