Bafin veröffentlicht WpI MaRisk: Neuer Aufsichtsrahmen für kleine und mittlere Wertpapierinstitute

Mit der Veröffentlichung eines eigenständigen Rundschreibens 09/2026 (WA) zu den Mindestanforderungen an das Risikomanagement von Wertpapierinstituten (WpI MaRisk) am 24. August 2026 hat die Bafin einen lang erwarteten Schritt vollzogen.

Die neuen Vorgaben richten sich spezifisch an Kleine und Mittlere Wertpapierinstitute im Sinne des Wertpapierinstitutsgesetzes (WpIG). Die kleinen und mittelgroßen Wertpapierinstitute haben unter der Berücksichtigung des Proportionalitätsprinzips und gewährter Öffnungsklauseln die Anforderungen aus der neuen WpI MaRisk bis zum 1. Januar 2027 umzusetzen. Sie beenden zum Umsetzungsstichtag die bisherige Praxis, nach der diese Institute die primär auf das klassische Bank- und Kreditgeschäft zugeschnittenen MaRisk für Kreditinstitute lediglich „sinngemäß“ anzuwenden hatten.

Kleine und Mittlere Wertpapierinstitute profitieren künftig von einem eigenständigen Regelwerk, das Geschäftsmodellen im Wertpapierbereich und dem Proportionalitätsprinzip (§ 40 WpIG) passgenau Rechnung trägt.

Neben der Konkretisierung des Proportionalitätsprinzips für kleine und mittelgroße Wertpapierinstitute wurde der Umgang der Wertpapierinstitute mit den besonderen Risiken für die Kunden, für den Markt sowie Liquiditätsrisiken im Einklang mit § 45 WpIG definiert. Beispielsweise muss ein mittelgroßes Wertpapierinstitut einen internen Prozess zur Sicherstellung der Risikotragfähigkeit einrichten, während von den kleinen Wertpapierinstituten kein Prozess zur Sicherung der Risikotragfähigkeit gefordert wird.

Für das Risikomanagement in den großen Wertpapierinstitute besteht durch die WpI MaRisk kein Anpassungsbedarf, da für diese unverändert weiterhin die Anforderungen aus dem Rundschreiben 06/2026 „Mindestanforderungen an das Risikomanagement – MaRisk“ vom 30. Juni 2026 gelten.

Risikoinventur als Ausgangspunkt für die Risikosteuerung

Die Risikoinventur gilt als Ausgangspunkt für die Ausgestaltung der Risikotragfähigkeits- und Risikosteuerungsprozesse des Wertpapierinstituts in WpI MaRisk. Hierbei sollen die Risiken analog zur MaRisk hinsichtlich deren Einfluss auf die Vermögens-, Ertrags- oder Liquiditätslage beurteilt werden und eine Bewertung von ESG-Risikotreiber und Risikokonzentrationen durch Wertpapierinstitute erfolgen. Von den kleinen und mittelgroßen Wertpapierinstituten wird gemäß WpI MaRisk erwartet, dass sie sich im Rahmen der Risikoinventur mit den

• Risiken auslaufender Tätigkeit (d.h.
  • Risiken für die Kunden („RtC“),
  • Risiken für den Markt („RtM“),
  • Risken für das Wertpapierinstitut („RtF“),
• Liquiditätsrisiken und
• sonstigen Risiken

auseinandersetzen, wobei in WpI MaRisk im Gegensatz zu MaRisk keine Risiken grundsätzlich als wesentlich für die Wertpapierinstitute festgelegt werden. Darüber hinaus sind die Informations- und Kommunikationstechnologierisiken (IKT-Risiken) explizit in die Risikoinventur einzubeziehen.

Darüber hinaus müssen mittlere Wertpapierinstitute das Risiko einer ungeordneten Abwicklung unter Berücksichtigung der Rechtsform, des Geschäftsmodells, der Geschäfts- und Risikostrategie sowie des Umfangs und Komplexität der Tätigkeit im Rahmen der Risikoinventur betrachten.

Während die kleinen Wertpapierinstitute die Beurteilung der Wesentlichkeit qualitativ ausgestalten können, kann für mittlere Wertpapierinstitute einen merkbaren Anpassungsbedarf der Prozesse und Methoden innerhalb der Risikoinventur unter anderem durch eine explizite Berücksichtigung des Risikos einer ungeordneten Abwicklung, der ESG-Risikotreiber sowie Informations- und Kommunikationstechnologierisiken (IKT-Risiken) entstehen.

Das Wertpapierinstitut muss zudem auch den operationellen Risiken durch ein angemessenes Risikomanagement (z. B. durch Erfassung von Schadensfällen) angemessen Rechnung tragen. Somit kann für einzelne Wertpapierinstitute ein Umsetzungsaufwand hinsichtlich der Risikomanagementprozesse entstehen.

Spezifikation der Anforderungen an Risikotragfähigkeit, Kapitalplanung und Stressszenarien

Während die Planung des zukünftigen Kapitalbedarfs für einen mehrjährigen Zeitraum in einem Planszenario und einem adversen Szenario sowohl für kleine als auch mittlere Wertpapierinstitute aufzustellen ist, sind die Anforderungen an die laufende Abdeckung der Risikotragfähigkeit sowie regelmäßigen Stresstests (insbesondere für wesentliche Risiken und Wechselwirkungen zwischen den Risiken) ausschließlich für mittlere Wertpapierinstitute verpflichtend.

Aufstellung besonderer Funktionen und die Verantwortung der Geschäftsleitung ist ähnlich zu MaRisk ausgestaltet

In WpI MaRisk wurde die Gesamtverantwortung der Geschäftsleitung im Hinblick auf die Risikokultur, den Risikoappetit, das Risikomanagement sowie die Einrichtung angemessener Kontroll- und Überwachungsprozesse bei kleinen und mittelgroßen Wertpapierinstituten analog zur MaRisk konkretisiert worden. Auch die Informationspflicht der Geschäftsleitung gegenüber dem Vorsitzenden des Aufsichtsorgan über Geschäftslage, die Geschäfts- und Risikostrategie sowie Risikosituation sowie schwerwiegende Feststellungen der Internen Revision und Compliance-Funktion wurde in der WpI MaRisk analog zu den aktuellen Regelungen in der MaRisk Novelle vom 30. Juni 2026 ausgestaltet.

Darüber hinaus wird in der WpI MaRisk die Einrichtung einer angemessenen und verhältnismäßigen Risikocontrolling-Funktion, einer Compliance-Funktion sowie der internen Revision in Abhängigkeit der Art, Umfang, Komplexität und Risikogehalt der betriebenen Geschäfte erwartet. Die Einrichtung, Rechte, Zuständigkeiten und Pflichten der besonderen Funktionen wird in WpI MaRisk analog zu MaRisk Anforderungen und unter Berücksichtigung der Besonderheiten der jeweiligen Wertpapierinstituts erwartet.

Schließlich wurden die Anforderungen an wesentliche Auslagerungen an Wertpapierinstitute in WpI MaRisk analog zur MaRisk konkretisiert und es wurde ebenfalls explizit aufgenommen, dass ausgelagerte oder fremdbezogene IKT-Dienstleistungen gemäß Art. 3 Nr. 21 DORA nicht in den Anwendungsbereich der WpI MaRisk fallen.

Erwartungen an Kontrollmechanismen und Kontrollsystem der Wertpapierinstitute

Im Hinblick auf interne Kontrollsysteme werden die Erwartungen an Wertpapierinstitute in WpIG MaRisk hinsichtlich der Ausgestaltung der internen Kontrollmechanismen der Handelsgeschäfte, Anbindung vertraglich gebundener Vermittler sowie Ausgestaltung der Risikomanagementprozesse wesentlicher Risiken sowie das Risiko einer ungeordneten Abwicklung explizit dargestellt.

Für die kleinen und mittleren Wertpapierinstitute wird eine aufbauorganisatorische Funktionstrennung zwischen dem Handel, Risikomanagement sowie Abwicklung und Kontrolle bis einschließlich der Ebene der Geschäftsleiter analog den MaRisk erwartet. Hierbei wurden in WpI MaRisk Erleichterungen für die Funktionstrennung spezifiziert, falls Handelsaktivitäten gemessen am Geschäftsvolumen gering sind und deren Struktur nicht komplex ist.

In WpIG MaRisk wird es von denjenigen Wertpapierinstituten erwartet, welche vertraglich gebundener Vermittler einsetzen, dass jeder Vermittler auf fachliche Eignung und Zuverlässigkeit überprüft wird und dies dokumentiert wird. Darüber hinaus sind Strategien und Verfahren zu entwickeln, welche die Tätigkeit seiner vertraglich gebundenen Vermittler systematisch überwacht.

Bei der Steuerung der Liquiditätsrisiken der Wertpapierinstitute wurde in der WpI MaRisk konkretisiert, dass eine Steuerung des untertägigen Liquiditätsrisikos bei Wertpapierinstituten, die den Handel auf eigene Rechnung oder das Emissionsgeschäft betreiben, grundsätzlich erwartet wird.

Umsetzungsaufwände ergeben sich insbesondere aus der Eignungs- und Zuverlässigkeitsprüfung der vertraglich gebundenen Vermittler und aus der Einbeziehung des Risiko einer ungeordneten Abwicklung.

Fazit

Mit den WpI MaRisk vom 24. August 2026 konkretisiert die Bafin die Anwendung des Proportionalitätsprinzips für kleine und mittlere Wertpapierinstitute. Für große Wertpapierinstitute ergibt sich kein Änderungsbedarf, da für sie weiterhin die Anforderungen der 9. MaRisk-Novelle gelten.

Für kleine Wertpapierinstitute, die bislang die MaRisk-Anforderungen erfüllen mussten, ergeben sich spürbare Entlastungen, insbesondere bei der Wesentlichkeitsbeurteilung im Rahmen der Risikoinventur, der Risikotragfähigkeit und den Stresstests. Diese Erleichterungen sind jedoch unter Berücksichtigung von Geschäftsmodell und Risikoprofil zu begründen.

Für mittlere Wertpapierinstitute können zusätzliche Umsetzungsaufwände und laufende Kosten entstehen, soweit die bisherigen MaRisk-Anforderungen nicht vollständig umgesetzt wurden. Dies betrifft insbesondere Prozesse zur Beurteilung einer geordneten Abwicklung sowie den Umgang mit ESG-Risikotreibern und IKT-Risiken.

Erforderliche Handlungsfelder umfassen unter anderem:

• Gap-Analyse: Abgleich der bestehenden Risikomanagement-Dokumentation, Richtlinien und Prozessbeschreibungen mit den neuen WpI-MaRisk-Modulen.
• Risiko-Governance & Kontrollfunktionen: Überprüfung der internen Kontrollsysteme, der Unabhängigkeit von Überwachungsfunktionen und der Angemessenheit von Auslagerungsstrukturen (unter Berücksichtigung von Schnittstellen zu DORA).
• Risikotragfähigkeit & Stresstests: Anpassung institutsspezifischer Risikotragfähigkeitskonzepte auf Wertpapierdienstleistungen nach dem WpIG.

Wie wir Sie unterstützen können

Als spezialisierte Wirtschaftsprüfungs- und Beratungsgesellschaft für Financial Services begleiten wir Sie bei der institutsspezifisch und ressourceneffizienten Umsetzung:

• Strukturierte Gap-Analysen & Readiness Checks zur Identifikation von Handlungsbedarfen
• Überarbeitung und Harmonisierung des internen Regelwerks (Organisationshandbuch, Risikostrategien, IKS)
• Implementierung von Prozessen und Methoden
• Begleitung von Auslagerungs- und Governance-Reviews
• Unterstützung bei der Vorbereitung auf und Begleitung von aufsichtlichen Prüfungen und Sonderprüfungen

Sprechen Sie unsere Expertinnen und Experten an – wir unterstützen Sie gerne dabei, die neuen Anforderungen frühzeitig und rechtssicher in Ihre Institutspraxis zu integrieren.