Wertpapierinstitute · Governance und Risikomanagement
Das Rundschreiben 09/2026 (WA) gilt ab dem 1. Januar 2027 und löst die bisherige sinngemäße Anwendung der MaRisk für Kreditinstitute ab. Wer die WpI MaRisk umsetzen will, braucht bis dahin keine neue Richtliniensammlung, sondern funktionierende Strukturen, Methoden und Nachweise.
Der Stichtag ist kein Projektmeilenstein, sondern ein Wirksamkeitstermin: Zum 1. Januar 2027 müssen Zuständigkeiten, Methoden, Kontrollen und Berichtswege eingerichtet und funktionsfähig sein. Für die Zeit bis dahin gilt nach dem Anschreiben der BaFin die sinngemäße Anwendung der KWG MaRisk (8. Novelle); Änderungen aus der 9. Novelle sind nicht zwingend zu berücksichtigen.
Rechtsstand 17.09.2026
Regelwerk Rundschreiben 09/2026 (WA)
Geltung ab 01.01.2027
Lesezeit 9 Minuten
Einordnung im S+P LeistungsmodellDie Umsetzungsarbeit zur WpI MaRisk gehört zu den 1st Line Services, Cluster Regulatory Data und Governance Operations sowie Outsourcing und Third-Party Operations. Es handelt sich um operative Bearbeitung nach den Vorgaben deines Instituts; Bewertung, Freigabe und Organisationsentscheidung bleiben bei dir.
Vier Punkte bestimmen, wie viel Arbeit bis zum Stichtag tatsächlich anfällt.
Adressiert sind Kleine und Mittlere Wertpapierinstitute nach § 2 Abs. 16 und Abs. 17 WpIG. Große Wertpapierinstitute nach § 2 Abs. 18 WpIG wenden weiterhin die MaRisk für Kreditinstitute an. Die Einstufung ist keine Formalie: Sie entscheidet, welches Regelwerk überhaupt gilt.
Bis zum Geltungsbeginn gilt nach dem Anschreiben der BaFin die sinngemäße Anwendung der KWG MaRisk in der Fassung der 8. Novelle. Änderungen aus der 9. Novelle sind in diesem Zeitraum nicht zwingend zu berücksichtigen. Eine Frist nach dem Stichtag ergibt sich daraus nicht.
Der größte operative Block liegt bei den Fremdbezügen. Jeder Vertrag ist einzuordnen: Auslagerung nach dem Auslagerungsmodul AT 9 oder IKT-Dienstleistung im Regime der Verordnung (EU) 2022/2554 (DORA). Die Bezeichnung im Vertrag entscheidet das nicht.
Das Rundschreiben ist prinzipienorientiert angelegt. Der Spielraum kostet Begründung: Wer eine Erleichterung in Anspruch nimmt, trägt die Darlegungslast gegenüber der Aufsicht. Zum Stichtag zählt, ob Prozesse tatsächlich laufen, nicht ob Richtlinien existieren.
Die WpI MaRisk konkretisieren nach Angaben der BaFin die gesetzlichen Vorgaben der §§ 38 ff. WpIG unter Berücksichtigung der Richtlinie 2014/65/EU in Verbindung mit der Delegierten Verordnung (EU) 2017/565. Das Rundschreiben ist keine Rechtsverordnung. Es beschreibt die Verwaltungspraxis der Aufsicht bei der Auslegung der gesetzlichen Organisationspflichten. Abweichende Lösungen sind damit nicht ausgeschlossen, verlangen aber eine nachvollziehbare Darlegung, dass sie die gesetzlichen Anforderungen erfüllen.
Adressiert sind Kleine und Mittlere Wertpapierinstitute. Die Einstufung folgt aus § 2 Abs. 16 WpIG, der auf Artikel 12 Abs. 1 der Verordnung (EU) 2019/2033 verweist, und aus § 2 Abs. 17 WpIG für die mittleren Häuser. Große Wertpapierinstitute nach § 2 Abs. 18 WpIG wenden weiterhin die MaRisk für Kreditinstitute an. Diese Zuordnung ist kein Wahlrecht, sondern eine Rechtsfolge, und sie kann sich mit dem Geschäft ändern.
Die BaFin hat das Rundschreiben mit einem Anschreiben veröffentlicht, das fünf Punkte ausdrücklich adressiert. Sie sind für die Umsetzungsplanung wichtiger als der Umfang des Regelwerks:
Rot markiert sind die Punkte, die noch vor dir liegen.
Die Tabelle hält fest, was zum Stichtag je Funktion stehen muss und woran sich das belegen lässt. Sie ersetzt nicht die Prüfung deiner konkreten Organisation.
| Funktion | Was zum Stichtag stehen muss | Woran es sich belegen lässt | Bezug |
|---|---|---|---|
| Geschäftsleitung | Was zum Stichtag stehen mussGesamtverantwortung für die ordnungsgemäße Geschäftsorganisation, Festlegung der Zuständigkeiten und der Ressourcen, Kenntnisnahme und Bewertung der Risikoberichte. | Woran es sich belegen lässtBeschlüsse, Protokolle, Ressourcenentscheidungen und die dokumentierte Befassung mit offenen Maßnahmen. | Bezug5. Kapitel Abschnitt 1 WpIG |
| Compliance-Funktion | Was zum Stichtag stehen mussWahrnehmung der Aufgaben über die Wohlverhaltenspflichten hinaus. Die BaFin grenzt die Compliance-Aufgaben zwischen Wohlverhaltens- und Solvenzpflichten bewusst nicht ab und ermöglicht damit eine einheitliche Compliance-Funktion. | Woran es sich belegen lässtMandat, Informationsrechte, Berichtswege und ein Überwachungsplan, der beide Bereiche abdeckt. | BezugAnschreiben, Ziffer I |
| Risikomanagement-Funktion | Was zum Stichtag stehen mussEinrichtung nach Art, Umfang und Komplexität der Geschäfte. Der Verzicht auf eine eigenständige Einheit ist keine freie Organisationsentscheidung, sondern begründungspflichtig. | Woran es sich belegen lässtProportionalitätsbegründung je Funktion, Vertretungsregelung, Nachweis der Unabhängigkeit. | BezugWpI MaRisk, Allgemeiner Teil |
| Interne Revision | Was zum Stichtag stehen mussDas Rundschreiben arbeitet mit Regelbeispielen, bei denen die Aufsicht von erhöhten Anforderungen ausgeht. Vertreibt ein Institut komplexe Produkte, ist eine unabhängige Revisionseinheit in der Regel angemessen. | Woran es sich belegen lässtPrüfungsplanung, Abweichungen vom Regelbeispiel mit Begründung im Einzelfall. | BezugAnschreiben, Ziffer IV |
| Auslagerungsmanagement | Was zum Stichtag stehen mussKlassifikation sämtlicher Fremdbezüge, Risikoanalyse, Überwachung, Weiterverlagerungen und der Nachweis, dass Steuerungs- und Kontrollfähigkeit im Institut verbleiben. | Woran es sich belegen lässtAuslagerungsregister, Risikoanalysen, Vertragsrechte, Ausstiegsvorkehrungen. | BezugAT 9 WpI MaRisk, Art. 28 ff. DORA |
Die Bezugsspalte nennt die Fundstelle, aus der die Anforderung hergeleitet ist. Wo das Rundschreiben selbst zitiert wird, ist die Modulbezeichnung angegeben; wo die Klarstellung aus dem Anschreiben stammt, dessen Ziffer.
Eine gefestigte Prüfungspraxis gibt es noch nicht, weil das Regelwerk erst ab dem 1. Januar 2027 gilt. Die folgenden Punkte ergeben sich aus dem Zuschnitt der Anforderungen und aus dem, was die Aufsicht im Anschreiben betont.
Das Anschreiben regelt nur den Zeitraum bis zum Geltungsbeginn. Eine nachgelagerte Umsetzungsfrist nach dem 1. Januar 2027 ergibt sich daraus nicht. Wer den Stichtag als Projektende statt als Wirksamkeitstermin plant, steht zum Jahreswechsel mit laufenden Arbeitspaketen da.
Ob ein Institut klein oder mittel ist, folgt aus § 2 Abs. 16 und Abs. 17 WpIG in Verbindung mit Artikel 12 Abs. 1 der Verordnung (EU) 2019/2033. Die Einstufung entscheidet über den Umfang der Anforderungen und verändert sich mit dem Geschäft. Ohne aktuelle, nachvollziehbare Ableitung fehlt der Umsetzung die Basis.
Die Aufgaben der Compliance-Funktion sind auch in der MaComp beschrieben, dort aber bezogen auf die Wohlverhaltenspflichten nach dem WpHG. Das Rundschreiben ergänzt die Anforderungen außerhalb dieser Pflichten. Ein Mandat, das nur die Wohlverhaltensseite abdeckt, bleibt unvollständig.
Fremdbezüge müssen einzeln zugeordnet werden: Auslagerung nach AT 9 oder IKT-Dienstleistung im Regime der Verordnung (EU) 2022/2554. Wie der Dienstleister seinen Vertrag nennt, trägt die Einordnung nicht. Ohne Klassifikationsverfahren entstehen Doppelprozesse an der einen und Lücken an der anderen Stelle.
Wertpapierinstitute arbeiten häufig mit schlanker, stark ausgelagerter Organisation. Damit rückt die Frage in den Vordergrund, welches Wissen und welche Kontrollfähigkeit im Institut verbleiben. Ein Institut, das ausgelagerte Leistungen nicht beurteilen kann, erfüllt seine Überwachungspflicht nicht.
Der prinzipienorientierte Zuschnitt eröffnet Spielraum, nimmt aber keine Begründung ab. Wer eine Erleichterung, eine abweichende Ausgestaltung oder die Unwesentlichkeit eines Risikos in Anspruch nimmt, muss die Bewertung gegenüber der Aufsicht erklären können. Die Mitarbeiterzahl allein trägt das nicht.
Wähle je Prüffeld den Zustand, der auf dein Haus zutrifft. Die Empfehlung erscheint darunter. Die Auswahl wird nicht gespeichert und nicht übertragen.
Der Quick-Check ist eine Selbsteinschätzung und ersetzt keine Gap-Analyse gegen das vollständige Rundschreiben.
Diese sechs Maßnahmen wirken unabhängig davon, wie dein Haus die Proportionalität am Ende ausgestaltet. Sie erzeugen keine Arbeit, die später zurückgebaut werden muss.
Ableitung nach § 2 WpIG mit Datenstand, Kriterien und Entscheidung. Das Ergebnis bestimmt den Umfang aller weiteren Arbeitspakete und gehört an den Anfang, nicht in die Dokumentation am Ende.
Abgleich je Modul entlang der tatsächlichen Abläufe, Daten, Kontrollen, Verträge und Kapazitäten. Ein Abgleich, der nur Richtlinien zählt, übersieht genau die Lücken, auf die es zum Stichtag ankommt.
Ein nachvollziehbares Verfahren, das jeden Vertrag AT 9 oder DORA zuordnet, gemischte Strukturen auflöst und bei Neuverträgen automatisch greift. Das Verfahren ist wichtiger als die einmalige Sortierung.
Benannte Verantwortliche, ausreichendes Fachwissen und Kontrollen, mit denen ausgelagerte Leistungen beurteilt werden können. Dokumentiere, woran die Beurteilung im Regelbetrieb tatsächlich hängt.
Eine Begründung pro beanspruchter Vereinfachung, zurückgeführt auf Geschäftsmodell, Größe, Komplexität und Risikoprofil. Sammelbegründungen halten der Nachfrage im Prüfungsgespräch nicht stand.
Berichtswege, Eskalationen, Grenzwertverletzungen und die Datenlieferung externer Dienstleister mindestens einmal durchspielen. Der Test liefert den Nachweis, den die Aufsicht ab dem 1. Januar 2027 erwartet.
Die WpI MaRisk umsetzen heißt nicht, ein Regelwerk für Kreditinstitute zu kopieren. Das Rundschreiben ist prinzipienorientiert zugeschnitten und lässt Gestaltungsspielraum. Der Preis dafür ist Begründungsarbeit: Jede Vereinfachung, die dein Haus in Anspruch nimmt, muss aus Geschäftsmodell, Größe, Komplexität und Risikoprofil hergeleitet und dokumentiert sein.
Der Engpass liegt selten im Verständnis der Anforderungen, sondern in der Vorlaufzeit. Klassifikation der Fremdbezüge, Vertragsanpassungen und der Nachweis, dass Steuerungsfähigkeit im Institut verbleibt, sind nicht in wenigen Wochen zu erledigen. Wer erst im vierten Quartal 2026 beginnt, verlagert Arbeit über den Stichtag hinaus.
Der nächste sinnvolle Schritt ist eine dokumentierte Gap-Analyse gegen das vollständige Rundschreiben, verbunden mit einer Entscheidungsmatrix zur Proportionalität und einem Mapping zwischen Auslagerungsmodul und DORA. Daraus ergibt sich der Maßnahmenplan, den die Geschäftsleitung vor dem 1. Januar 2027 förmlich behandeln sollte.
Die Antworten geben den Stand vom 17.09.2026 wieder und ersetzen keine Prüfung deines Instituts.
Die BaFin hat die finale Fassung am 24. August 2026 als Rundschreiben 09/2026 (WA) veröffentlicht. Die WpI MaRisk gelten ab dem 1. Januar 2027 und lösen die bisherige sinngemäße Anwendung der MaRisk für Kreditinstitute ab. Eine allgemeine Umsetzungsfrist nach diesem Stichtag ist nicht vorgesehen.
Adressiert sind Kleine und Mittlere Wertpapierinstitute im Sinne von Paragraf 2 Absatz 16 und Absatz 17 WpIG. Große Wertpapierinstitute nach Paragraf 2 Absatz 18 WpIG wenden weiterhin die MaRisk für Kreditinstitute in der jeweils geltenden Fassung an. Die Einstufung folgt aus dem Gesetz und ist kein Wahlrecht des Instituts.
Nach dem Anschreiben der BaFin zum Rundschreiben gilt für den Zeitraum bis zum Geltungsbeginn die sinngemäße Anwendung der KWG MaRisk in der Fassung der 8. Novelle. Änderungen, die sich aus der 9. Novelle der KWG MaRisk ergeben, sind in diesem Zeitraum nicht zwingend zu berücksichtigen.
Der prinzipienorientierte Zuschnitt eröffnet Gestaltungsspielraum, nimmt aber keine Begründung ab. Wer eine Erleichterung oder eine abweichende Ausgestaltung in Anspruch nimmt, muss deren Angemessenheit gegenüber der Aufsicht nachvollziehbar erklären können. Je schlanker die Organisation, desto wichtiger werden klare Zuständigkeiten und belegte Vertretungsregelungen.
Jeder Fremdbezug wird einzeln eingeordnet: als Auslagerung nach dem Auslagerungsmodul AT 9 oder als IKT-Dienstleistung im Regime der Verordnung (EU) 2022/2554. Maßgeblich sind Inhalt und tatsächliche Durchführung der Leistung, nicht die Bezeichnung im Vertrag. Bei gemischten Verträgen braucht es eine dokumentierte Aufteilung, damit weder Doppelprozesse noch Lücken entstehen.
S+P Compliance arbeitet hier als 1st Line Service: Bestandsaufnahme, Gap-Analyse, Klassifikation der Fremdbezüge, Aufbau von Auslagerungsregister und Nachweisdokumentation sowie die Vorbereitung der Unterlagen für Geschäftsleitung und Prüfung. Die Bewertung von Wesentlichkeit und Proportionalität, die Freigabe von Methoden und die Entscheidung über die Organisation bleiben beim Institut.
Primärquellen zuerst. Alle Verweise wurden am 17.09.2026 abgerufen.
Hinweis zum Rechtsstand: Diese Seite gibt den Stand vom 17.09.2026 wieder und ersetzt keine Rechtsberatung und keine Prüfung des konkreten Instituts. Gleiche sämtliche Angaben zu Normen, Anwendungsbereichen und Zeitpunkten vor internen Freigaben gegen die jeweils aktuelle amtliche Fassung ab. Die Modulbezeichnungen des Rundschreibens sind der Gliederung entnommen; maßgeblich ist der Wortlaut der veröffentlichten Fassung.
Die Umsetzung greift in bestehende Prozesse ein. Diese Bausteine schließen an.
Operative Bearbeitung datenintensiver und fristgebundener Fachprozesse nach Vorgaben deines Instituts. Der Rahmen, in dem die Umsetzungsarbeit zur WpI MaRisk läuft.
Aufbau und Pflege des Informationsregisters zu IKT-Drittdienstleistern. Direkte Schnittstelle zur Klassifikation der Fremdbezüge.
Zuschnitt von Verantwortlichkeiten zwischen Fachbereich, Kontrollfunktionen und Revision. Grundlage für die Begründung schlanker Strukturen.
Bestellung, Vertretung und Ausfallsicherheit der Funktion mit dokumentiertem Mandat und geregelter Eskalation.
Übernahme der Revisionsleistung dort, wo eine eigenständige Einheit nicht verhältnismäßig ist, mit Prüfungsplanung und Berichtsformat.
Governance-, Maßnahmen- und Evidenzregister an einem Ort, in deiner bestehenden Microsoft- oder SharePoint-Umgebung.
Wer die WpI MaRisk umsetzen will, ohne im Januar 2027 mit offenen Arbeitspaketen dazustehen, beginnt mit drei Dingen: der belegten Einstufung, der Gap-Analyse gegen das vollständige Rundschreiben und der Klassifikation sämtlicher Fremdbezüge.
S+P Compliance übernimmt diese Bearbeitung als 1st Line Service, dokumentiert jeden Schritt und hält die Entscheidungen dort, wo sie hingehören: in deinem Institut.
Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.
LinkedIn-Profil →Wir verwenden Cookies und ähnliche Technologien, um Ihre Erfahrung auf unserer Website zu verbessern. Weitere Informationen in unserer Datenschutzerklärung.