Die WpI MaRisk 2026 sind final. Die BaFin hat das Rundschreiben 09/2026 (WA) am 24. August 2026 veröffentlicht, anzuwenden ist es ab dem 1. Januar 2027.
Frühere Fassungen dieses Beitrags beruhten auf der Konsultation 05/2026. Dieser Stand ist überholt. Maßgeblich ist das Rundschreiben 09/2026 (WA). Haftung entsteht nicht aus jeder Abweichung vom Rundschreiben, sondern aus der Verletzung der zugrunde liegenden gesetzlichen Organisationspflicht.
Vier Punkte, die über den Zuschnitt deines Umsetzungsprojekts entscheiden.
Maßgeblich ist seit dem 24. August 2026 das Rundschreiben 09/2026 (WA). Die im Mai 2026 veröffentlichte Konsultation 05/2026 war ein Entwurf, kein Rundschreiben. Wer noch mit der Entwurfsfassung arbeitet, plant gegen einen Text, den die BaFin nach Auswertung der Stellungnahmen geändert hat.
Adressaten sind Kleine und Mittlere Wertpapierinstitute nach § 2 Abs. 16 und 17 WpIG, einschließlich ihrer ausländischen Zweigniederlassungen. Die Einstufung folgt Art. 12 Abs. 1 der Verordnung (EU) 2019/2033. Große Wertpapierinstitute bleiben beim Regime der §§ 25a, 25b KWG.
Nach dem Anschreiben der BaFin gilt bis zum Geltungsbeginn die sinngemäße Anwendung der KWG-MaRisk in der Fassung der 8. Novelle. Änderungen aus der 9. Novelle sind in diesem Zeitraum nicht zwingend zu berücksichtigen. Eine Schonfrist über den 1. Januar 2027 hinaus folgt daraus nicht.
Das Rundschreiben beschreibt Verwaltungspraxis und enthält keinen eigenen Bußgeldkatalog. Anknüpfungspunkt bleibt die gesetzliche Organisationspflicht, insbesondere § 41 WpIG und § 43 WpIG. Gesellschaftsrechtlich kommen § 43 GmbHG und § 93 AktG in Betracht. Eine persönliche Verantwortlichkeit entsteht nicht automatisch mit jeder Abweichung.
Mit dem Rundschreiben 09/2026 (WA) legt die BaFin eigenständige Mindestanforderungen an das Risikomanagement von Wertpapierinstituten vor. Bisher wandten Kleine und Mittlere Institute die MaRisk für Kreditinstitute sinngemäß an, ein Regelwerk, das auf Bankgeschäft zugeschnitten ist. Rechtsgrundlage sind insbesondere das WpIG, das WpHG und die Delegierte Verordnung (EU) 2017/565. Das Rundschreiben setzt zudem EBA-Leitlinien zur internen Governance und zur Eignung von Leitungsorganmitgliedern um.
Das Rundschreiben ist prinzipienorientiert gefasst. Wo die MaRisk für Kreditinstitute kleinteilig vorgeben, eröffnen die WpI MaRisk Spielraum und verlagern damit die Darlegungslast ins Institut. Wer eine Methodik einfacher ausgestaltet, muss deren Eignung und Aussagekraft belegen können. Standardlösungen verlieren in diesem Rahmen an Wert, weil sie den Bezug zum eigenen Geschäftsmodell nicht herstellen.
Der Proportionalitätsgrundsatz wirkt doppelt: Zahlreiche Vorgaben richten sich von vornherein nur an Mittlere Institute, und die konkrete Ausgestaltung richtet sich zusätzlich nach Art, Umfang, Komplexität und Risikogehalt der Geschäftstätigkeit. Eine Freistellung folgt daraus nicht. Jede Erleichterung ist am konkreten Institut zu begründen.
Die Zuordnung entscheidet über den Pflichtenumfang und ist deshalb der erste Arbeitsschritt jeder Umsetzung. § 38 Abs. 3 WpIG verlangt zudem eine Mitteilung an die BaFin, sobald ein Institut nicht mehr als Kleines, sondern als Mittleres Wertpapierinstitut einzustufen ist. Die ausschließlich für Mittlere Institute geltenden Anforderungen sind dann spätestens zwölf Monate nach diesem Zeitpunkt einzuhalten.
| Kategorie | Norm | Anknüpfung |
|---|---|---|
| KategorieKleines Wertpapierinstitut | Norm§ 2 Abs. 16 WpIG | Anknüpfungerfüllt die Bedingungen des Art. 12 Abs. 1 der Verordnung (EU) 2019/2033 |
| KategorieMittleres Wertpapierinstitut | Norm§ 2 Abs. 17 WpIG | Anknüpfungerfüllt diese Bedingungen nicht, ist aber kein Großes Wertpapierinstitut |
| KategorieGroßes Wertpapierinstitut | Norm§ 2 Abs. 18 WpIG | Anknüpfungunterfällt Art. 1 Abs. 2 der Verordnung (EU) 2019/2033 oder einer Gestattung; außerhalb des Anwendungsbereichs der WpI MaRisk |
Diese Seite lag zuvor auf dem Stand der Konsultation 05/2026. Die Gegenüberstellung nennt die Punkte, die durch die finale Fassung überholt oder richtigzustellen sind. Sie ist als Prüfliste gedacht: Wer Unterlagen aus der Entwurfsphase im Haus hat, findet hier, was daran nicht mehr trägt.
| Punkt | Stand der Entwurfsphase | Stand nach dem Rundschreiben 09/2026 (WA) |
|---|---|---|
| PunktFundstelle | Stand der EntwurfsphaseRundschreiben 5/2026 (WA), veröffentlicht am 06.05.2026 | Stand nach dem Rundschreiben 09/2026 (WA)Am 6. Mai 2026 hat die BaFin die zweite Konsultationsfassung vorgelegt, Stellungnahmefrist bis 17. Juni 2026. Das Rundschreiben trägt die Nummer 09/2026 (WA) und datiert vom 24. August 2026. |
| PunktÜbergangszeit | Stand der EntwurfsphaseOhne Angabe; Gap-Analyse bis Ende 2025 empfohlen | Stand nach dem Rundschreiben 09/2026 (WA)Das Anschreiben regelt sie ausdrücklich: bis zum Geltungsbeginn sinngemäße Anwendung der KWG-MaRisk in der Fassung der 8. Novelle; Änderungen der 9. Novelle sind nicht zwingend zu berücksichtigen. |
| PunktInterne Revision | Stand der EntwurfsphaseFür alle Institute einzurichten, Erleichterung nur am Rand | Stand nach dem Rundschreiben 09/2026 (WA)Einzurichten, soweit angemessen und verhältnismäßig. Von Unverhältnismäßigkeit wird regelmäßig bei weniger als zehn Mitarbeitern ausgegangen, nicht jedoch bei Kundengeld- oder Wertpapierverwahrung, komplexen Produkten oder MTF-/OTF-Betrieb. |
| PunktCompliance-Funktion | Stand der EntwurfsphaseAbgrenzung zwischen Wohlverhaltens- und Solvenzpflichten erwartet | Stand nach dem Rundschreiben 09/2026 (WA)Die BaFin nimmt diese Abgrenzung bewusst nicht vor. Damit soll eine einheitliche Compliance-Funktion möglich bleiben; die MaComp deckt nur die Wohlverhaltenspflichten nach dem WpHG ab. |
| PunktBußgeldrahmen | Stand der Entwurfsphase§ 82 Abs. 1 Nr. 15 WpIG als Bußgeldnorm, mit konkretem Rahmen | Stand nach dem Rundschreiben 09/2026 (WA)§ 82 WpIG enthält die Strafvorschriften. Die Bußgeldvorschriften stehen in § 83 WpIG. Die im Bestandstext genannte Zuordnung und der dort genannte Rahmen waren nicht zutreffend. |
| PunktUngeordnete Abwicklung | Stand der EntwurfsphaseNicht behandelt | Stand nach dem Rundschreiben 09/2026 (WA)Mittlere Institute bestimmen regelmäßig Zeitraum und Kosten einer geordneten Abwicklung. Eine Pflicht zur Erstellung von Sanierungs- und Abwicklungsplänen folgt daraus ausdrücklich nicht. |
Rot markiert sind die beiden Zeitpunkte, die noch vor dir liegen.
Bereits vor dem Stichtag bestehende Mängel der Geschäftsorganisation werden durch die Übergangsregelung nicht legitimiert. Sie betrifft allein die Frage, welches Regelwerk bis zum 31. Dezember 2026 sinngemäß anzuwenden ist.
Die Übersicht ordnet die Anforderungen sieben Funktionen zu. Sie ersetzt keine Lektüre des Rundschreibens, macht aber sichtbar, wo im Haus die Arbeit anfällt und welcher Nachweis am Ende vorliegen muss.
| Funktion | Normbezug | Was gefordert ist | Typischer Nachweis |
|---|---|---|---|
| FunktionGeschäftsleitung | Normbezug§ 43 WpIG, AT 3 | Was gefordert istGesamtverantwortung für die ordnungsgemäße Geschäftsorganisation: Geschäfts- und Risikostrategie mit Risikoappetit, klare Zuständigkeiten, angemessene personelle und technische Ausstattung, rechtzeitige Reaktion auf Mängel. Aufgaben dürfen delegiert werden, die Gesamtverantwortung bleibt. | Typischer NachweisStrategiebeschluss, Ressourcenentscheidungen, Protokolle zur Befassung mit Risikoberichten |
| FunktionAufsichts- oder Verwaltungsorgan | Normbezug§ 44 WpIG, § 21 WpIG | Was gefordert istWirksame Kontrolle der Geschäftsleitung. Dafür braucht es rechtzeitige, verständliche und entscheidungsrelevante Informationen. Umfangreiche Berichte genügen nicht, wenn wesentliche Risiken, Grenzwertverletzungen oder Umsetzungsdefizite darin nicht erkennbar sind. | Typischer NachweisSitzungsunterlagen, dokumentierte Nachfragen und Eskalationen, Sachkundenachweise |
| FunktionCompliance-Funktion | NormbezugAT 4.4, Abgrenzung zur MaComp | Was gefordert istEinzurichten, unabhängig von den operativen Bereichen und grundsätzlich unmittelbar den Geschäftsleitern unterstellt. Die BaFin grenzt Wohlverhaltens- und Solvenzpflichten bewusst nicht ab. Die Aufgabe des Compliance-Beauftragten kann auch ein Geschäftsleiter wahrnehmen. | Typischer NachweisFunktionsbeschreibung, Berichtsweg, mindestens jährlicher Bericht an die Geschäftsleiter mit Weiterleitung an die Interne Revision |
| FunktionRisikomanagement-Funktion | NormbezugAT 4.4 | Was gefordert istEinzurichten, soweit angemessen und verhältnismäßig. Bei Verwaltung von Kundengeldern oder Kundenwertpapieren, beim Vertrieb komplexer Produkte oder beim Betrieb eines MTF oder OTF ist eine unabhängige Funktion in der Regel angemessen und verhältnismäßig. | Typischer NachweisProportionalitätsbegründung, Mandat, Ressourcen- und Vertretungsregelung |
| FunktionInterne Revision | NormbezugAT 4.4 | Was gefordert istEinzurichten, soweit angemessen und verhältnismäßig; andernfalls kann ein Geschäftsleiter die Aufgabe wahrnehmen oder sie entfällt. Von Unverhältnismäßigkeit wird regelmäßig bei weniger als zehn Mitarbeitern ausgegangen, nicht jedoch bei Kundengeld- oder Wertpapierverwahrung, komplexen Produkten oder MTF-/OTF-Betrieb. | Typischer NachweisJährlich genehmigter risikoorientierter Prüfungsplan, Jahresbericht an die Geschäftsleiter |
| FunktionAuslagerungsmanagement | Normbezug§ 40 WpIG, AT 9 | Was gefordert istZentrales Auslagerungsmanagement mit Auslagerungsregister, Risikoanalyse zur Bestimmung wesentlicher Auslagerungen, laufende Leistungsüberwachung, Regelungen zu Weiterverlagerungen und zur Beendigung. Leitungsaufgaben der Geschäftsleiter sind nicht auslagerbar. | Typischer NachweisRegister, Risikoanalysen mit Aktualisierungsanlässen, Vertrags- und Exit-Dokumentation |
| FunktionKapitalplanung und Risikotragfähigkeit | Normbezug§ 39 WpIG, AT 4.1 | Was gefordert istMehrjährige Kapitalplanung für Kleine und Mittlere Institute, mit mindestens einem adversen Szenario neben dem Planszenario und im Einklang mit der operativen Geschäftsplanung. Das Risikotragfähigkeitskonzept richtet sich an Mittlere Institute. | Typischer NachweisPlanungsrechnung mit Szenarien, Genehmigung durch die Geschäftsleiter |
Die Frage, wer für eine unzureichende Geschäftsorganisation einsteht, ist der Grund, warum die Umsetzung überhaupt Priorität bekommt. Sie wird in der Praxis häufig schärfer dargestellt, als die Rechtslage trägt. Vier Ebenen sind zu trennen.
| Ebene | Normbezug | Was tatsächlich vorausgesetzt ist |
|---|---|---|
| EbeneAufsichtsrechtliche Maßnahmen | Normbezug§ 79 WpIG, § 80 WpIG | Was tatsächlich vorausgesetzt istVerstöße gegen die Organisationspflichten können aufsichtsrechtliche Maßnahmen auslösen. § 79 WpIG erlaubt der BaFin bei Gefahr unter anderem Anweisungen an die Geschäftsleiter, Beschränkungen des Geschäftsbetriebs und die Untersagung der Tätigkeit von Inhabern und Geschäftsleitern; § 80 WpIG regelt die Bestellung eines Sonderbeauftragten. Das ist der praktisch wahrscheinlichste Weg, auf dem eine Organisationsschwäche Folgen bekommt. |
| EbeneBußgeld und Strafe | Normbezug§ 83 WpIG, § 82 WpIG | Was tatsächlich vorausgesetzt istDie WpI MaRisk enthalten keinen eigenen Bußgeldkatalog. Die Bußgeldvorschriften des WpIG stehen in § 83 WpIG, die Strafvorschriften in § 82 WpIG. Der Katalog des § 83 Abs. 1 WpIG knüpft an einzelne, dort benannte Verstöße an, nicht an die Qualität der Geschäftsorganisation im Allgemeinen. |
| EbeneInnenhaftung des Organs | Normbezug§ 43 GmbHG, § 93 AktG | Was tatsächlich vorausgesetzt istGeschäftsführer haben die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden und haften der Gesellschaft bei Verletzung ihrer Obliegenheiten solidarisch für den entstandenen Schaden (§ 43 Abs. 1 und 2 GmbHG). Für Vorstandsmitglieder gilt § 93 AktG mit einem entsprechenden Sorgfaltsmaßstab. Vorausgesetzt sind jeweils eine Pflichtverletzung, ein Schaden und Vertretenmüssen, nicht die bloße Abweichung von einem Rundschreiben. |
| EbeneStrafrechtliche Zurechnung | Normbezug§ 13 StGB | Was tatsächlich vorausgesetzt istEine Strafbarkeit durch Unterlassen setzt eine Garantenstellung, einen tatbestandsmäßigen Erfolg und Vorsatz voraus. Sie folgt nicht daraus, dass eine Kontrolle unterblieben ist oder ein Bericht unvollständig war. Die Frage stellt sich in Einzelfällen, taugt aber nicht als Maßstab für die Projektplanung und ersetzt keine rechtliche Prüfung des konkreten Sachverhalts. |
Praktisch relevanter als die Frage nach der Sanktion ist die Darlegungslast. Wer eine Erleichterung, eine alternative Umsetzung oder die Unwesentlichkeit eines Risikos in Anspruch nimmt, muss die zugrunde liegende Bewertung gegenüber der Aufsicht nachvollziehbar erklären können. Eine ordnungsgemäße Dokumentation von Risikoentscheidungen, Ressourcenzuweisungen und Überwachungsmaßnahmen ist deshalb auch haftungsrechtlich der wirksamste Hebel.
AT 9 der WpI MaRisk enthält die Anforderungen an Wesentlichkeits- und Risikoanalyse, Vertragsgestaltung, Steuerung und Überwachung, Weiterverlagerungen, Beendigung und das zentrale Auslagerungsmanagement. Für IKT-Dienstleistungen im Sinne von Art. 3 Nr. 21 DORA gilt daneben das IKT-Drittparteienrisikomanagement der Verordnung. Die Abgrenzung soll Doppelregulierung vermeiden, sie schafft aber keinen kontrollfreien Bereich.
Maßgeblich sind Inhalt und tatsächliche Durchführung der bezogenen Leistung, nicht die Bezeichnung des Vertrags durch den Dienstleister.
Cybersicherheitspflichten laufen für beaufsichtigte Unternehmen über zwei getrennte Stränge. § 28 Abs. 6 Nr. 1 BSIG nimmt Finanzunternehmen nach Art. 2 Abs. 2 der Verordnung (EU) 2022/2554 von zentralen Pflichten des BSIG aus, darunter Risikomanagement-, Melde- und Nachweispflichten. Die Registrierungspflicht nach § 33 BSIG steht nicht in dieser Ausnahmeliste.
| Konstellation | Welcher Pfad trägt | Was daraus folgt |
|---|---|---|
| KonstellationWertpapierinstitut ohne Anlage-1-Tätigkeit | Welcher Pfad trägtDORA | Was daraus folgtIKT-Risikomanagement und Vorfallmeldung laufen über die Verordnung und die BaFin. Eine Zuordnung zu einer Einrichtungsart der Anlage 1 BSIG scheidet mangels Tätigkeit aus. |
| KonstellationWertpapierinstitut, das ein MTF oder OTF betreibt | Welcher Pfad trägtDORA, BSIG-Einstufung bleibt | Was daraus folgtDie Ausnahme des § 28 Abs. 6 Nr. 1 BSIG greift für die dort genannten Pflichten. Ob daneben Pflichten wie die Registrierung nach § 33 BSIG bestehen, ist gesondert zu prüfen. |
| KonstellationIKT-Dienstleister des Instituts | Welcher Pfad trägtVertragliche Steuerung | Was daraus folgtAnforderungen an den Dienstleister werden über den Vertrag und das Drittparteienrisikomanagement durchgesetzt, nicht über AT 9. |
Für Wertpapierinstitute ist die zweite Zeile der Sonderfall, der geprüft gehört: Wer ein MTF oder OTF betreibt, ist Handelsplatz und damit einer Einrichtungsart der Anlage 1 BSIG zuzuordnen. Die Einstufung als Einrichtung bleibt in diesem Fall bestehen, auch wenn die genannten Pflichten über DORA laufen.
Eine gefestigte Prüfungspraxis zu den WpI MaRisk gibt es noch nicht, das Regelwerk gilt erst ab dem 1. Januar 2027. Aus den Anforderungen selbst lassen sich aber acht Konstellationen ableiten, die in Prüfungen erfahrungsgemäß zuerst auffallen.
Die Zuordnung zu Klein oder Mittel wird einmal getroffen und nicht nachgehalten. Art. 12 Abs. 1 der Verordnung (EU) 2019/2033 knüpft an Größen, die sich verändern; § 38 Abs. 3 WpIG verlangt zudem eine Mitteilung an die BaFin.
Die Personalstärke allein trägt keine Erleichterung. Maßgeblich sind Art, Umfang, Komplexität und Risikogehalt der Geschäftstätigkeit und die Frage, ob Steuerungs- und Kontrollfähigkeit im Institut verbleiben.
Eine abstrakte Risikoliste erfüllt die Anforderung nicht. Risiken für die Kunden, für den Markt und für das Institut sowie sonstige Risiken und Liquiditätsrisiken sind auf Wesentlichkeit zu prüfen, anhand von Produkten, Kundengruppen, Vertriebswegen und technischen Abhängigkeiten.
Ein adverses Szenario, das die Planzahlen linear kürzt, bildet keine institutsspezifische Belastung ab. Belastbar wird es erst, wenn Ertragsausfall, Kostenremanenz und Liquiditätswirkung zusammen gedacht sind.
Compliance, Risikomanagement und Revision sind eingerichtet, aber ohne Zugriff auf Daten, ohne Vertretungsregelung und ohne definierten Eskalationsweg. Im Prüfungsfall ist die Funktion dann nur auf dem Papier wirksam.
Verträge werden nach ihrer Bezeichnung eingeordnet statt nach Inhalt und tatsächlicher Durchführung. Damit bleibt offen, ob AT 9, das IKT-Drittparteienrisikomanagement der DORA oder beides greift.
Jeder vertraglich gebundene Vermittler ist eine eigenständige Auslagerung. Ohne Eignungsnachweis und ohne systematische Überwachung, etwa Stichproben, systemgestützte Kontrollen oder Prüfungen vor Ort, fehlt der Wirksamkeitsnachweis.
Richtlinien liegen vor, aber es gibt keine Spur von durchgeführten Kontrollen, Eskalationen oder Managemententscheidungen. Genau darauf zielt die Prüfung.
Sechs Prüffelder, je drei Zustände. Die Auswahl bleibt im Browser und wird nicht übertragen. Sie ersetzt keine Gap-Analyse, zeigt aber, an welcher Stelle die Umsetzung zuerst ansetzen sollte.
Sechs Maßnahmen, die sich unabhängig davon lohnen, wie das Umsetzungsprojekt am Ende zugeschnitten wird. Sie sind in der Reihenfolge sortiert, in der sie aufeinander aufbauen.
Schwellenwerte nach Art. 12 Abs. 1 der Verordnung (EU) 2019/2033 mit aktuellen Kennzahlen abgleichen, Ergebnis, Datenquelle und Stichtag protokollieren, Turnus und Verantwortlichen festlegen. Die Maßnahme bestimmt den Pflichtenumfang überhaupt erst.
Nicht nur Richtlinien abgleichen, sondern Prozesse, Daten, Kontrollen, Verträge und personelle Kapazitäten. Ergebnis ist eine Liste mit Feststellung, Modulbezug, Maßnahme, Verantwortlichem, Frist und erforderlichem Wirksamkeitsnachweis.
Je beanspruchter Erleichterung eine Zeile: Sachverhalt, Maßstab, Begründung, Entscheider, Datum, Aktualisierungsanlass. Im Prüfungsgespräch ist das erfahrungsgemäß das Dokument, nach dem zuerst gefragt wird.
Alle Leistungsbezüge erfassen und als Auslagerung, als IKT-Dienstleistung nach Art. 3 Nr. 21 DORA oder als sonstigen Fremdbezug einordnen. Gemischte Vertragsstrukturen gesondert kennzeichnen und die jeweils geltenden Anforderungen zuordnen.
Einen Befund einsteuern und den Weg bis zur Managemententscheidung dokumentieren. Der Test zeigt Bruchstellen, die kein Dokumentenabgleich findet, und erzeugt zugleich den Nachweis, dass die Kontrolle im laufenden Betrieb funktioniert.
Die Geschäftsleitung beschließt nicht den Projektabschluss, sondern eine Bewertung: verbleibende Risiken, offene Maßnahmen, beanspruchte Erleichterungen. Damit ist die Befassung belegt.
Der nächste sinnvolle Schritt ist eine dokumentierte Readiness-Analyse: Soll-Ist-Abgleich gegen die Module, Entscheidungsmatrix zur Proportionalität, Mapping zwischen AT 9 und DORA sowie ein von der Geschäftsleitung bestätigter Maßnahmenplan mit Verantwortlichen, Fristen, Abhängigkeiten und Wirksamkeitsnachweisen.
Nein. Die Fassung vom 6. Mai 2026 war eine Konsultationsfassung, also ein Entwurf. Maßgeblich ist das Rundschreiben 09/2026 (WA) vom 24. August 2026, das ab dem 1. Januar 2027 anzuwenden ist.
Für Kleine und Mittlere Wertpapierinstitute nach § 2 Abs. 16 und 17 WpIG, einschließlich ihrer ausländischen Zweigniederlassungen. Große Wertpapierinstitute nach § 2 Abs. 18 WpIG bleiben beim Aufsichtsrahmen der §§ 25a, 25b KWG.
Nach dem Anschreiben der BaFin gilt bis zum Geltungsbeginn die sinngemäße Anwendung der KWG-MaRisk in der Fassung der 8. Novelle. Änderungen aus der 9. Novelle sind in diesem Zeitraum nicht zwingend zu berücksichtigen.
Nein. Das Rundschreiben beschreibt Verwaltungspraxis. Die Bußgeldvorschriften des WpIG stehen in § 83 WpIG, die Strafvorschriften in § 82 WpIG. Aufsichtsrechtliche Maßnahmen bei Gefahr richten sich nach § 79 und § 80 WpIG.
Nicht automatisch. Eine Innenhaftung nach § 43 GmbHG oder § 93 AktG setzt eine Pflichtverletzung, einen Schaden und Vertretenmüssen voraus. Die bloße Abweichung von einem Rundschreiben genügt dafür nicht. Der konkrete Einzelfall bleibt rechtlich zu prüfen.
Nur soweit das angemessen und verhältnismäßig ist. Von Unverhältnismäßigkeit wird regelmäßig bei weniger als zehn Mitarbeitern ausgegangen, nicht jedoch bei Kundengeld- oder Wertpapierverwahrung, komplexen Produkten oder dem Betrieb eines MTF oder OTF.
Zwölf Primärquellen, je mit einer Zeile dazu, wofür sie einsteht. Alle Fundstellen wurden am 9. September 2026 abgerufen.
Einordnung ins Leistungsmodell: Die Begleitung der Umsetzung liegt bei S+P Compliance in zwei Bereichen. Compliance as a Service umfasst die ausgelagerten Beauftragtenfunktionen der zweiten Verteidigungslinie. Die 1st Line Services übernehmen die operative Bearbeitung nach Vorgaben des Instituts, etwa im Cluster Regulatory Data & Governance Operations sowie DORA, Outsourcing und Third-Party Operations. Zitierbare Prüfnachweise: ISO 9001, ISO/IEC 27001, IDW PS 951, ISAE 3402 und EcoVadis.
Der Filter, der über Umfang und Tiefe aller weiteren Module entscheidet.
Kunden-, Markt- und Institutsrisiken im Zusammenhang, getrennt nach Klein und Mittel.
Steuerung, Stresstests und Notfallplan für die Zahlungsfähigkeit.
Zeitraum und Kosten einer geordneten Abwicklung, ohne Sanierungs- und Abwicklungsplan.
Ausgelagerte Beauftragtenfunktion in der zweiten Verteidigungslinie.
Dritte Verteidigungslinie, wenn eine eigene Einheit unverhältnismäßig ist.
Führung des Informationsregisters zu IKT-Drittdienstleistern.
Einordnung der Kontrollfunktionen in die Verteidigungslinien.
Operative Bearbeitung nach Vorgaben des Instituts, getrennt von der Beauftragtenfunktion.
Qualifizierung für Teams, die die Umsetzung selbst fahren. S+P Seminare auf sp-unternehmerforum.de.
Rollenbezogene Qualifizierung für die zweite Verteidigungslinie.
Governance und Organisationsverantwortung aus Sicht der Geschäftsleitung.
Wenn du wissen willst, welche der sechs Prüffelder der WpI MaRisk 2026 in deinem Haus offen sind und welche Nachweise bis zum Stichtag fehlen, ist die dokumentierte Readiness-Analyse der Einstieg. Sie liefert den Soll-Ist-Abgleich, die Proportionalitätsbegründungen und den Maßnahmenplan in einer Fassung, die der Aufsicht vorgelegt werden kann.
Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.
LinkedIn-Profil →Wir verwenden Cookies und ähnliche Technologien, um Ihre Erfahrung auf unserer Website zu verbessern. Weitere Informationen in unserer Datenschutzerklärung.