WpI MaRisk Wesentlichkeitsprüfung: AT 2.2 ab 2027 richtig umsetzen

Die WpI MaRisk Wesentlichkeitsprüfung entscheidet, welche Risiken deines Wertpapierinstituts überhaupt in Steuerung, Kapitalplanung und Berichtswesen einfließen. Seit dem 24. August 2026 steht der maßgebliche Text fest.

AT 2.2 ist kein eigenes Prüfungsmodul mit eigenem Formular, sondern der Wesentlichkeitsschritt innerhalb der Risikoinventur. Die Geschäftsleiter erstellen regelmäßig ein Gesamtrisikoprofil und prüfen dabei Risiken für die Kunden, für den Markt und für das Institut sowie sonstige Risiken und Liquiditätsrisiken auf ihre Wesentlichkeit. Was als unwesentlich eingestuft wird, muss institutsspezifisch begründet und datiert sein.

Rechtsstand 10. September 2026

Rundschreiben 09/2026 (WA)

Anzuwenden ab 1. Januar 2027

Lesezeit 19 Minuten

Management Summary

Vier Punkte, die über den Zuschnitt deines Umsetzungsprojekts entscheiden.

01Rechtsstand

Was diese Fassung ersetzt

Maßgeblich ist seit dem 24. August 2026 das Rundschreiben 09/2026 (WA). Die Konsultationsfassung vom Mai 2026 war ein Entwurf. Wer noch mit Unterlagen aus der Entwurfsphase arbeitet, plant gegen einen Text, den die Aufsicht nach Auswertung der Stellungnahmen geändert hat.

02Einordnung

AT 2.2 heißt "Risiken"

Die Wesentlichkeitsprüfung ist kein eigenes Modul. Sie ist der Bewertungsschritt der Risikoinventur, an deren Ende ein Gesamtrisikoprofil steht. Geprüft werden fünf Kategorien, von den Risiken für die Kunden bis zu den Liquiditätsrisiken.

03Maßstab

Klein heißt nicht frei

Die Proportionalität wirkt doppelt: Ein Teil der Vorgaben richtet sich von vornherein nur an Mittlere Institute, und die Ausgestaltung richtet sich zusätzlich nach Art, Umfang, Komplexität und Risikogehalt. Eine Freistellung folgt daraus nicht.

04Nachweis

Darlegungslast statt Formular

Das Rundschreiben ist prinzipienorientiert gefasst und verlagert die Darlegungslast ins Institut. Wer eine Methodik einfacher ausgestaltet oder ein Risiko als unwesentlich einstuft, muss Eignung und Aussagekraft der Bewertung erklären können.

Inhalt

Sachverhalt und Anwendungsbereich
Was gegenüber dem bisherigen Stand nicht mehr trägt
Einstufung: die Bedingungen des Art. 12
Fristen und Zeitpunkte
Pflichten nach Funktion getrennt
Auslagerung, DORA und die BSIG-Weichenstellung
Wo es in der Praxis klemmt
Quick-Check: Wo steht dein Institut?
No-Regret-Maßnahmen bis zum Stichtag
Mustertabelle für die Dokumentation
Fazit
Häufige Fragen
Quellen
WpI MaRisk: Ressourcen und Praxisleitfäden
Verwandte Leistungen und Programme

Sachverhalt und Anwendungsbereich

Was AT 2.2 verlangt

Mit dem Rundschreiben 09/2026 (WA) legt die BaFin eigenständige Mindestanforderungen an das Risikomanagement von Wertpapierinstituten vor. Bisher wandten Kleine und Mittlere Institute die MaRisk für Kreditinstitute sinngemäß an, ein Regelwerk, das auf Bankgeschäft zugeschnitten ist. Rechtsgrundlage sind insbesondere das WpIG, das WpHG und die Delegierte Verordnung (EU) 2017/565.

Im Rahmen der Risikoinventur erstellen die Geschäftsleiter regelmäßig ein Gesamtrisikoprofil und prüfen die Risikokategorien auf ihre Wesentlichkeit. Das ist der Vorgang, der in der Praxis "Wesentlichkeitsprüfung" genannt wird. Er entscheidet, für welche Risiken überhaupt Prozesse zur Identifizierung, Steuerung und Überwachung einzurichten sind.

Kategorien der Risikoinventur
Kategorie	Modulbezug
Risiken für die Kunden	BTR 1.1
Risiken für den Markt	BTR 1.2
Risiken für das Wertpapierinstitut	BTR 1.3
Sonstige Risiken	BTR 2
Liquiditätsrisiken	BTR 3

Mittlere Institute betrachten zusätzlich das Risiko einer ungeordneten Abwicklung und bestimmen regelmäßig Zeitraum und Kosten einer geordneten Abwicklung. Eine Pflicht zur Erstellung von Sanierungs- und Abwicklungsplänen folgt daraus nach dem Anschreiben der BaFin ausdrücklich nicht.

Warum das mehr ist als ein Regelwerkswechsel

Wo die MaRisk für Kreditinstitute kleinteilig vorgeben, ist das neue Rundschreiben prinzipienorientiert gefasst. Es eröffnet Spielraum und verlagert damit die Darlegungslast ins Institut. Standardlösungen verlieren in diesem Rahmen an Wert, weil sie den Bezug zum eigenen Geschäftsmodell nicht herstellen. Genau das trifft eine Wesentlichkeitsprüfung, die aus einer Vorlage übernommen wurde.

Einordnung ins Leistungsmodell: Die Risikoinventur ist eine Aufgabe der ersten Linie, ihre Bewertung und Überwachung eine Aufgabe der zweiten. S+P Compliance übernimmt beides getrennt voneinander, als ausgelagerte Beauftragtenfunktion oder als operative Bearbeitung nach Vorgaben des Instituts.

Was gegenüber dem bisherigen Stand nicht mehr trägt

Diese Seite lag zuvor auf einem Stand ohne Fundstellenbezug. Die Gegenüberstellung nennt acht Punkte, die durch die finale Fassung überholt oder richtigzustellen sind. Sie ist als Prüfliste gedacht: Wer Unterlagen aus der Entwurfsphase im Haus hat, findet hier, was daran nicht mehr trägt.

Punkt	Bisheriger Stand	Stand nach dem Rundschreiben 09/2026 (WA)
Rechtsstand	Kein Fundstellenbezug; die Wesentlichkeitsprüfung wurde als bevorstehende Neuerung beschrieben.	Maßgeblich ist das Rundschreiben 09/2026 (WA) vom 24. August 2026, anzuwenden ab dem 1. Januar 2027. Bis dahin gilt die sinngemäße Anwendung der KWG-MaRisk in der Fassung der 8. Novelle.
Modulbezeichnung	Überschrift "AT 2.2 Wesentlichkeitsprüfung".	AT 2.2 trägt die Überschrift "Risiken". Die Wesentlichkeitsprüfung ist der Bewertungsschritt innerhalb der Risikoinventur, kein eigenes Modul mit eigenem Formular.
Prüfraster	Risikokategorien frei benannt (Markt-, Liquiditäts-, operationelles Risiko).	Geprüft werden Risiken für die Kunden, für den Markt und für das Institut sowie sonstige Risiken und Liquiditätsrisiken. Das Ergebnis ist ein Gesamtrisikoprofil.
Klein gegen Mittel	Tabelle mit vorgeschriebener Methodik: klein qualitativ, mittel quantitativ mit Scoring und rollierender Aktualisierung.	Nicht belegbar. Das Regelwerk unterscheidet über einzelne Anforderungen, die nur Mittlere Institute treffen, nicht über eine vorgeschriebene Methodik der Wesentlichkeitsprüfung. Die Methodenwahl bleibt beim Institut und ist zu begründen.
Kapitalplanung	"Nur wesentliche Risiken in den ICAAP aufnehmen."	ICAAP ist ein Begriff der Kreditinstitutsaufsicht. Die WpI MaRisk sprechen von Risikotragfähigkeit und Kapitalplanung. Laut Anschreiben sind diese Begriffe ausdrücklich nicht mit denselben inhaltlichen Erwartungen verbunden wie bei Kreditinstituten.
Risikotragfähigkeit	Nicht nach Institutsgröße getrennt.	Das Risikotragfähigkeitskonzept richtet sich an Mittlere Institute. Der mehrjährige Kapitalplanungsprozess mit mindestens einem adversen Szenario gilt für Kleine und Mittlere Institute.
Funktionstrennung	"Funktionstrennung kann entfallen, wenn Unwesentlichkeit belegt ist."	AT 4.4 heißt "Besondere Funktionen". Ob eine unabhängige Funktion einzurichten ist, richtet sich nach Angemessenheit und Verhältnismäßigkeit und nach Regelbeispielen, nicht nach der Unwesentlichkeit eines einzelnen Risikos.
Beispieldaten	Musterzeilen mit Stichtag 01.07.2025; COH als Wesentlichkeitskriterium geführt.	Stichtage auf den Geltungsbeginn fortgeschrieben. COH ist ein Schwellenwert der Einstufung nach Art. 12 Abs. 1 Buchst. b der Verordnung (EU) 2019/2033, kein Maßstab für die Wesentlichkeit eines Risikos.

Einstufung: die Bedingungen des Art. 12

Die Zuordnung entscheidet über den Pflichtenumfang und ist deshalb der erste Arbeitsschritt jeder Umsetzung. Ein Kleines Wertpapierinstitut nach § 2 Abs. 16 WpIG erfüllt die Bedingungen des Art. 12 Abs. 1 der Verordnung (EU) 2019/2033. Ein Mittleres Institut nach § 2 Abs. 17 WpIG erfüllt sie nicht, ist aber kein Großes Institut. Große Wertpapierinstitute nach § 2 Abs. 18 WpIG bleiben beim Regime der §§ 25a, 25b KWG und der MaRisk für Kreditinstitute.

Art. 12 Abs. 1 nennt neun Bedingungen, die kumulativ erfüllt sein müssen.

Art. 12 Abs. 1 der Verordnung (EU) 2019/2033
Buchst.	Größe	Bedingung
a)	AUM	unter 1,2 Mrd. EUR, gemessen nach Art. 17
b)	COH	unter 100 Mio. EUR/Tag für Kassageschäfte oder 1 Mrd. EUR/Tag für Derivate, gemessen nach Art. 20
c)	ASA	gleich null, gemessen nach Art. 19
d)	CMH	gleich null, gemessen nach Art. 18
e)	DTF	gleich null, gemessen nach Art. 33
f)	NPR oder CMG	gleich null, gemessen nach Art. 22 und 23
g)	TCD	gleich null, gemessen nach Art. 26
h)	Bilanzsumme	bilanzielle und außerbilanzielle Gesamtsumme unter 100 Mio. EUR
i)	Bruttogesamteinkünfte	unter 30 Mio. EUR im Zweijahresdurchschnitt

Die Bedingungen zu den Buchstaben a, b, h und i gelten auf kombinierter Basis für alle Firmen einer Gruppe, die übrigen auf Einzelbasis. Fällt eine Bedingung weg, gilt die Firma mit sofortiger Wirkung nicht mehr als klein und nicht verflochten; betrifft der Wegfall nur die Buchstaben a, b, h oder i, greift eine Frist von drei Monaten ab Überschreitung. Der umgekehrte Weg zurück dauert sechs Monate.

Aufsichtsrechtlich kommt § 38 Abs. 3 WpIG hinzu: Wird ein Institut nicht mehr als Kleines, sondern als Mittleres Wertpapierinstitut eingestuft, ist das der BaFin mitzuteilen. Die ausschließlich für Mittlere Institute geltenden Anforderungen sind spätestens zwölf Monate nach diesem Zeitpunkt einzuhalten.

Fristen und Zeitpunkte

Rot markiert sind die beiden Zeitpunkte, die noch vor dir liegen.

August 2025Erste Konsultationsfassung der WpI MaRisk.
06.05.2026Zweite Konsultationsfassung; Stellungnahmen bis zum 17. Juni 2026.
24.08.2026Finale Fassung als Rundschreiben 09/2026 (WA), zusammen mit dem Anschreiben der BaFin.
bis 31.12.2026Sinngemäße Anwendung der KWG-MaRisk in der Fassung der 8. Novelle. Änderungen der 9. Novelle sind nicht zwingend zu berücksichtigen.
01.01.2027Geltungsbeginn der WpI MaRisk. Strukturen, Methoden, Kontrollen und Berichtswege müssen eingerichtet und funktionsfähig sein.

Bereits vor dem Stichtag bestehende Mängel der Geschäftsorganisation werden durch die Übergangsregelung nicht legitimiert. Sie betrifft allein die Frage, welches Regelwerk bis zum 31. Dezember 2026 sinngemäß anzuwenden ist.

Pflichten nach Funktion getrennt

Die Übersicht ordnet die Anforderungen rund um Wesentlichkeit und Risikoinventur sieben Funktionen zu. Sie ersetzt keine Lektüre des Rundschreibens, macht aber sichtbar, wo im Haus die Arbeit anfällt und welcher Nachweis am Ende vorliegen muss.

Geschäftsleiter

Normbezug § 43 WpIG, AT 3, AT 2.2

Gesamtverantwortung für die Risikoinventur. Sie erstellen regelmäßig ein Gesamtrisikoprofil, entscheiden über die Wesentlichkeit und legen den Risikoappetit fest. Aufgaben dürfen delegiert werden, die Gesamtverantwortung bleibt.

Typischer Nachweis Datierter Beschluss zum Gesamtrisikoprofil, Protokoll der Befassung, Maßstab für Wesentlichkeit

Risikomanagement-Funktion

Normbezug AT 4.4

Einzurichten, soweit angemessen und verhältnismäßig. Bei Verwaltung von Kundengeldern oder Kundenwertpapieren, beim Vertrieb komplexer Produkte oder beim Betrieb eines MTF oder OTF ist eine unabhängige Funktion in der Regel angemessen.

Typischer Nachweis Proportionalitätsbegründung, Mandat, Ressourcen- und Vertretungsregelung

Compliance-Funktion

Normbezug AT 4.4, Abgrenzung zur MaComp

Unabhängig von den operativen Bereichen, grundsätzlich unmittelbar den Geschäftsleitern unterstellt. Die Aufsicht grenzt Wohlverhaltens- und Solvenzpflichten bewusst nicht ab. Die Aufgabe des Compliance-Beauftragten kann auch ein Geschäftsleiter wahrnehmen.

Typischer Nachweis Funktionsbeschreibung, Berichtsweg, mindestens jährlicher Bericht mit Weiterleitung an die Interne Revision

Interne Revision

Normbezug AT 4.4

Einzurichten, soweit angemessen und verhältnismäßig. Von Unverhältnismäßigkeit wird regelmäßig bei weniger als zehn Mitarbeitern ausgegangen, einschließlich der Geschäftsleiter und unter Einrechnung ausgelagerter Bereiche. Das gilt nicht bei Kundengeld- oder Wertpapierverwahrung, komplexen Produkten oder MTF- und OTF-Betrieb.

Typischer Nachweis Risikoorientierter, jährlich genehmigter Prüfungsplan, Jahresbericht an die Geschäftsleiter

Kapitalplanung und Risikotragfähigkeit

Normbezug § 39 WpIG, AT 4.1

Mehrjährige Kapitalplanung für Kleine und Mittlere Institute, mit mindestens einem adversen Szenario neben dem Planszenario. Das Risikotragfähigkeitskonzept richtet sich an Mittlere Institute und deckt die wesentlichen Risiken laufend ab.

Typischer Nachweis Planungsrechnung mit Szenarien, Genehmigung durch die Geschäftsleiter

Stresstests

Normbezug AT 4.3.3

Mittlere Institute führen regelmäßig Stresstests durch und beziehen die Ergebnisse in die Risikotragfähigkeit ein. Erhöhte Anforderungen gelten bei relevantem Eigenhandel, Emissionsgeschäft oder Verwahrung von Kundengeldern und Kundenwertpapieren.

Typischer Nachweis Szenariokatalog mit Parametern, Auswertung, abgeleitete Maßnahmen

Auslagerungsmanagement

Normbezug § 40 WpIG, AT 9

Wesentliche Auslagerungen werden über eine Risikoanalyse bestimmt. Zentrales Auslagerungsmanagement mit Auslagerungsregister, laufende Leistungsüberwachung, Regelungen zu Weiterverlagerungen und Beendigung. Leitungsaufgaben sind nicht auslagerbar.

Typischer Nachweis Register, Risikoanalysen mit Aktualisierungsanlässen, Vertrags- und Exit-Dokumentation

Auslagerung, DORA und die BSIG-Weichenstellung

Die Wesentlichkeitsprüfung endet nicht an der Hausgrenze. Wesentliche Auslagerungen werden über eine eigene Risikoanalyse bestimmt, und für IKT-Dienstleistungen im Sinne von Art. 3 Nr. 21 DORA gilt daneben das IKT-Drittparteienrisikomanagement der Verordnung. Die Abgrenzung soll Doppelregulierung vermeiden, sie schafft aber keinen kontrollfreien Bereich. Maßgeblich sind Inhalt und tatsächliche Durchführung der bezogenen Leistung, nicht die Bezeichnung des Vertrags durch den Dienstleister.

Cybersicherheitspflichten laufen für beaufsichtigte Unternehmen über zwei getrennte Stränge. § 28 Abs. 6 Nr. 1 BSIG nimmt Finanzunternehmen nach Art. 2 Abs. 2 der Verordnung (EU) 2022/2554 von zentralen Pflichten des BSIG aus, darunter Risikomanagement-, Melde- und Nachweispflichten. Die Registrierungspflicht nach § 33 BSIG steht nicht in dieser Ausnahmeliste.

Konstellation	Welcher Pfad trägt	Was daraus folgt
Wertpapierinstitut ohne Anlage-1-Tätigkeit	DORA	IKT-Risikomanagement und Vorfallmeldung laufen über die Verordnung und die BaFin. Eine Zuordnung zu einer Einrichtungsart der Anlage 1 BSIG scheidet mangels Tätigkeit aus.
Wertpapierinstitut, das ein MTF oder OTF betreibt	DORA, BSIG-Einstufung bleibt	Die Ausnahme des § 28 Abs. 6 Nr. 1 BSIG greift für die dort genannten Pflichten. Ob daneben Pflichten wie die Registrierung nach § 33 BSIG bestehen, ist gesondert zu prüfen.
IKT-Dienstleister des Instituts	Vertragliche Steuerung	Anforderungen an den Dienstleister werden über den Vertrag und das Drittparteienrisikomanagement durchgesetzt, nicht über das Auslagerungsmodul.

Für Wertpapierinstitute ist die zweite Zeile der Sonderfall, der geprüft gehört: Wer ein MTF oder OTF betreibt, ist Handelsplatz und damit einer Einrichtungsart der Anlage 1 BSIG zuzuordnen. Die Einstufung als Einrichtung bleibt in diesem Fall bestehen, auch wenn die genannten Pflichten über DORA laufen.

Wo es in der Praxis klemmt

Eine gefestigte Prüfungspraxis zu den WpI MaRisk gibt es noch nicht, das Regelwerk gilt erst ab dem 1. Januar 2027. Aus den Anforderungen selbst lassen sich aber sechs Konstellationen ableiten, die in Prüfungen erfahrungsgemäß zuerst auffallen.

Wesentlichkeit ohne Geschäftsmodellbezug

AT 2.2, BTR 1 bis BTR 3

Eine abstrakte Risikoliste erfüllt die Anforderung nicht. Die Einstufung muss an Produkten, Kundengruppen, Vertriebswegen und technischen Abhängigkeiten ansetzen und in ein Gesamtrisikoprofil münden.

Methodik aus einer Vorlage übernommen

AT 1, AT 2

Ein Scoring von eins bis fünf ist keine Begründung. Maßgeblich sind Art, Umfang, Komplexität und Risikogehalt der eigenen Geschäftstätigkeit. Wer eine einfachere Methodik wählt, muss deren Eignung und Aussagekraft belegen.

Einstufung nicht nachgehalten

§ 2 Abs. 16, 17 WpIG, § 38 Abs. 3 WpIG

Die Zuordnung zu Klein oder Mittel wird einmal getroffen und nicht nachgerechnet. Art. 12 Abs. 1 der Verordnung (EU) 2019/2033 knüpft an Größen, die sich verändern, und § 38 Abs. 3 WpIG verlangt eine Mitteilung an die BaFin.

Unwesentlich als Freistellung verstanden

AT 4.4

Aus der Unwesentlichkeit eines Risikos folgt nicht, dass eine Kontrollfunktion entfallen kann. Beides sind getrennte Prüfungen mit eigenen Maßstäben.

Fremdbezug nicht klassifiziert

§ 40 WpIG, AT 9, Art. 3 Nr. 21 DORA

Verträge werden nach ihrer Bezeichnung eingeordnet statt nach Inhalt und tatsächlicher Durchführung. Damit bleibt offen, ob das Auslagerungsmodul, das IKT-Drittparteienrisikomanagement der DORA oder beides greift.

Dokumentation ohne Vollzug

§ 41 WpIG

Die Wesentlichkeitsmatrix liegt vor, aber es gibt keine Spur von durchgeführten Reviews, Eskalationen oder Managemententscheidungen. Genau darauf zielt die Prüfung.

No-Regret-Maßnahmen bis zum Stichtag

Sechs Maßnahmen, die sich unabhängig davon lohnen, wie das Umsetzungsprojekt am Ende zugeschnitten wird. Sie sind in der Reihenfolge sortiert, in der sie aufeinander aufbauen.

1
Einstufung nachrechnen und festschreiben
Die Bedingungen des Art. 12 Abs. 1 der Verordnung (EU) 2019/2033 mit aktuellen Kennzahlen abgleichen, Ergebnis, Datenquelle und Stichtag protokollieren, Turnus und Verantwortlichen festlegen. Die Maßnahme bestimmt den Pflichtenumfang überhaupt erst.
2
Wesentlichkeitsmaßstab schriftlich festlegen
Quantitative und qualitative Schwellen definieren, von den Geschäftsleitern beschließen lassen und datieren. Ein Maßstab, der erst nach der Bewertung entsteht, trägt die Einstufung nicht.
3
Risikoinventur am Geschäftsmodell entlang aufbauen
Produkte, Kundengruppen, Vertriebswege und technische Abhängigkeiten als Ausgangspunkt nehmen und daraus die Kategorien füllen. Ergebnis ist ein Gesamtrisikoprofil, nicht eine Liste.
4
Entscheidungsmatrix zur Proportionalität führen
Je beanspruchter Erleichterung eine Zeile: Sachverhalt, Maßstab, Begründung, Entscheider, Datum, Aktualisierungsanlass. Das ist das Dokument, nach dem in der Prüfung zuerst gefragt wird.
5
Fremdbezüge inventarisieren und klassifizieren
Alle Leistungsbezüge erfassen und als Auslagerung, als IKT-Dienstleistung nach Art. 3 Nr. 21 DORA oder als sonstigen Fremdbezug einordnen. Maßgeblich sind Inhalt und tatsächliche Durchführung, nicht die Vertragsbezeichnung.
6
Managementfreigabe mit Restrisikobild
Die Geschäftsleitung beschließt nicht den Projektabschluss, sondern eine Bewertung: verbleibende Risiken, offene Maßnahmen, beanspruchte Erleichterungen. Damit ist die Befassung belegt.

Mustertabelle für die Dokumentation

Die Form ist frei. Belastbar wird sie, wenn je Zeile Maßstab, Entscheider, Datum und Aktualisierungsanlass erkennbar sind. Halte die Begründung auf zwei bis drei Sätze begrenzt.

Wesentlichkeitsprüfung, Dokumentationsbeispiel
Bereich	Wesentlich?	Begründung	Datum	Verantwortlich
Eigenhandel	Nein	Kein Eigenhandel; keine Positionen für eigene Rechnung	05.01.2027	GL Risiko
Anlageberatung Privatkunden	Ja	Wesentlicher Ertragsanteil; Beratungsfehler wirken unmittelbar auf Kunden	05.01.2027	GL Vertrieb
IT-Betrieb (ausgelagert)	Ja	Kritisch für die Auftragsbearbeitung; als IKT-Dienstleistung klassifiziert	05.01.2027	IT-Leitung
Liquidität	Ja	Zahlungsfähigkeit dauerhaft sicherzustellen; Frühwarnindikatoren definiert	05.01.2027	GL Finanzen

Die Beispielzeilen sind Muster, keine Vorlage für dein Haus. Ob Eigenhandel unwesentlich ist, entscheidet dein Geschäftsmodell, nicht diese Tabelle.

Fazit

Die WpI MaRisk Wesentlichkeitsprüfung nach AT 2.2 ist der Bewertungsschritt der Risikoinventur, nicht ein eigenes Modul mit eigenem Formular.
Der Stichtag ist hart. Zum 1. Januar 2027 müssen Strukturen, Methoden, Kontrollen und Berichtswege eingerichtet und funktionsfähig sein.
Proportionalität ist eine Beweisfrage. Wer Erleichterungen nutzt, muss die zugrunde liegende Bewertung erklären können: einzeln, institutsspezifisch und datiert.
Die Einstufung nach Art. 12 Abs. 1 der Verordnung (EU) 2019/2033 ist kein Einmalvorgang. Sie knüpft an Größen, die sich verändern, und löst bei Überschreitung Fristen aus.
Aus der Unwesentlichkeit eines Risikos folgt keine Freistellung von einer Kontrollfunktion. Beides sind getrennte Prüfungen.

Der nächste sinnvolle Schritt ist eine dokumentierte Readiness-Analyse: nachgerechnete Einstufung, Soll-Ist-Abgleich gegen die Module, Entscheidungsmatrix zur Proportionalität und ein von der Geschäftsleitung bestätigter Maßnahmenplan mit Verantwortlichen, Fristen und Wirksamkeitsnachweisen. Die Modulreihe zu den WpI MaRisk führt die Einzelthemen zusammen.

Häufige Fragen zur WpI MaRisk Wesentlichkeitsprüfung

Steht die Wesentlichkeitsprüfung als eigenes Modul in den WpI MaRisk?+–

Nein. AT 2.2 trägt die Überschrift "Risiken". Die Wesentlichkeitsprüfung ist der Bewertungsschritt innerhalb der Risikoinventur, an deren Ende ein Gesamtrisikoprofil steht. Ein vorgeschriebenes Formular gibt es nicht, wohl aber eine Darlegungslast für das Ergebnis.

Müssen Kleine Institute quantitativ bewerten?+–

Das Rundschreiben schreibt keine Methodik nach Institutsgröße vor. Die Ausgestaltung richtet sich nach Art, Umfang, Komplexität und Risikogehalt der Geschäftstätigkeit. Wer einfacher vorgeht, muss die Eignung der Methodik belegen können. Die Unterscheidung zwischen Kleinen und Mittleren Instituten wirkt an anderer Stelle: Risikotragfähigkeitskonzept und regelmäßige Stresstests richten sich an Mittlere Institute.

Gilt der frühere Stand dieses Beitrags noch?+–

Nein. Frühere Fassungen beschrieben die Wesentlichkeitsprüfung ohne Fundstelle und enthielten eine Gegenüberstellung von Kleinen und Mittleren Instituten, die sich so nicht belegen lässt. Maßgeblich ist das Rundschreiben 09/2026 (WA) vom 24. August 2026.

Was gilt bis zum 31. Dezember 2026?+–

Nach dem Anschreiben der BaFin gilt bis zum Geltungsbeginn die sinngemäße Anwendung der KWG-MaRisk in der Fassung der 8. Novelle. Änderungen aus der 9. Novelle sind in diesem Zeitraum nicht zwingend zu berücksichtigen. Eine Schonfrist über den 1. Januar 2027 hinaus folgt daraus nicht.

Entfällt eine Kontrollfunktion, wenn ein Risiko unwesentlich ist?+–

Nein. Ob eine unabhängige Funktion einzurichten ist, entscheidet sich nach Angemessenheit und Verhältnismäßigkeit und nach Regelbeispielen, etwa Verwahrung von Kundengeldern, Vertrieb komplexer Produkte oder Betrieb eines MTF oder OTF. Die Wesentlichkeit eines einzelnen Risikos ist dafür nicht der Maßstab.

Wie oft ist die Wesentlichkeitsprüfung zu aktualisieren?+–

Das Gesamtrisikoprofil ist regelmäßig zu erstellen. Ein fester Turnus lässt sich aus den geprüften Quellen nicht ableiten. Praktisch trägt ein festgelegter jährlicher Zyklus, verbunden mit anlassbezogenen Prüfungen bei neuen Produkten, Vertriebswegen oder IT-Änderungen. Turnus und Anlässe gehören schriftlich festgelegt.

Quellen

Zehn Fundstellen, ausschließlich amtliche Quellen: Rechtsakte der Europäischen Union, Gesetzestexte des Bundes und Veröffentlichungen der zuständigen Behörden. Je Eintrag eine Zeile dazu, wofür die Quelle einsteht. Alle Fundstellen wurden am 10. September 2026 abgerufen.

Verordnung (EU) 2019/2033, konsolidierte Fassung bei EUR-LexAmtsblatt der Europäischen Union. Art. 12 mit den Bedingungen für kleine und nicht verflochtene Wertpapierfirmen sowie den Fristen beim Überschreiten eines Schwellenwerts.
Verordnung (EU) 2022/2554 (DORA) bei EUR-LexAmtsblatt der Europäischen Union. Begriff der IKT-Dienstleistung in Art. 3 Nr. 21 und das IKT-Drittparteienrisikomanagement.
WpIG, Gesamtausgabe bei Gesetze im InternetAmtliches Angebot des Bundesministeriums der Justiz. § 2 Abs. 16 bis 18 zur Einstufung, § 38 Abs. 3 zur Mitteilung an die BaFin, § 41 und § 43 zu den Organisationspflichten.
§ 83 WpIG – Bußgeldvorschriften bei Gesetze im InternetBelegt, dass die Bußgeldtatbestände in § 83 stehen und an einzelne benannte Verstöße anknüpfen, nicht an die Qualität der Geschäftsorganisation im Allgemeinen.
BSIG 2025, Gesamtausgabe bei Gesetze im Internet§ 28 Abs. 6 Nr. 1 nimmt Finanzunternehmen nach Art. 2 Abs. 2 DORA von zentralen BSIG-Pflichten aus; § 33 regelt die Registrierung.
BaFin, Rundschreiben 09/2026 (WA) – WpI MaRiskFundstelle des Rundschreibens mit Datum 24.08.2026; von dort führt der Weg zum Volltext (PDF). Maßgebliche Quelle für alle Modulangaben dieses Beitrags.
BaFin, Anschreiben zum Rundschreiben 09/2026 (WA)Belegt die Übergangsregelung, die bewusst unterlassene Abgrenzung bei der Compliance-Funktion, die Regelbeispiele zur Internen Revision und die Einordnung der Begriffe der Kreditinstitutsaufsicht.
BaFin, Meldung vom 24.08.2026 zur Veröffentlichung der WpI MaRiskBelegt Adressatenkreis und die Ablösung der sinngemäßen Anwendung der Kreditinstituts-MaRisk.
BaFin, Meldung vom 06.05.2026 zur zweiten KonsultationsfassungBelegt, dass der Stand vom Mai 2026 eine Konsultation war, nennt die Stellungnahmefrist bis zum 17. Juni 2026 und das Fortgelten der MaRisk (BA) für Große Wertpapierinstitute.
BSI, FAQ zu Nachweisen gemäß § 39 BSIGBundesamt für Sicherheit in der Informationstechnik. Bestätigt, dass die DORA für Finanzunternehmen als lex specialis gilt und diese von den genannten BSIG-Pflichten ausgenommen sind.

WpI MaRisk: Ressourcen und Praxisleitfäden

Die Modulreihe im Überblick. Alle Beiträge stehen auf dem Stand, der jeweils angegeben ist; maßgeblich ist in jedem Fall das Rundschreiben 09/2026 (WA).

Hub-Artikel – dein Einstieg

WpI MaRisk 2025 – Was sich für kleine und mittlere Institute ändert

AT-Module – Allgemeiner Teil

BTO-Module – Organisation und Abwicklung

BTR-Module – Risikomanagement

Spezialthemen

Kapitalplanung

Kapitalplanung nach WpI MaRisk – dein Leitfaden

Wesentlichkeit belegen, statt sie zu behaupten

S+P Compliance übernimmt die WpI MaRisk Wesentlichkeitsprüfung als ausgelagerte Leistung oder prüft eine vorhandene Bewertung gegen das Rundschreiben 09/2026 (WA). Ergebnis ist eine datierte Entscheidungsmatrix, ein Gesamtrisikoprofil mit Geschäftsmodellbezug und ein Maßnahmenplan bis zum 1. Januar 2027.