Wenn für Significant Institutions die EBA-Leitlinien an die Stelle der MaRisk treten

Einleitung

Während Teil 1 die allgemeinen Neuerungen der 9. MaRisk-Novelle von der Prinzipienorientierung über die neuen Größenklassen bis zu ESG und Governance im Überblick dargestellt hat, widmen wir uns hier dem Sonderfall der bedeutenden Institute. Für sie stellt sich weniger die Frage, was sich in den MaRisk ändert, als die Frage, was an ihre Stelle tritt.

Eine der weitreichendsten Änderungen der 9. MaRisk-Novelle ist keine inhaltliche, sondern eine des Anwendungsbereichs. Bedeutende Institute (Significant Institutions, SIs), die unmittelbar von der Europäischen Zentralbank beaufsichtigt werden, fallen künftig weitgehend aus dem Adressatenkreis der MaRisk heraus. An die Stelle des vertrauten nationalen Rundschreibens tritt für sie der europäische Regulierungsrahmen: die Leitlinien der EBA, die Guides der EZB und das unmittelbar geltende Unionsrecht.

Was zunächst wie eine rein formale Verschiebung der Zuständigkeit wirkt, ist in der Praxis ein grundlegender Wechsel des Bezugsrahmens. Über zwei Jahrzehnte waren die MaRisk für die deutschen Institute der zentrale, national ausgelegte und in der Prüfungspraxis eingespielte Ordnungsrahmen für das Risikomanagement. Diesen Anker gibt ein SI nun auf und muss seine interne Steuerung auf ein Regelwerk umstellen, das verstreuter und granularer ist und ohne die gewohnte nationale Auslegung auskommt. In diesem zweiten Teil zeigen wir, welche konkreten Herausforderungen dieser Scope-Wechsel für komplexe SIs mit sich bringt und welche europäischen Rahmenwerke künftig besonders wichtig werden, mit einem Schwerpunkt auf dem Kapitalmarkt- und Handelsgeschäft. Und wir erläutern, warum die anstehende Umstellung methodisch kein klassisches Gap-Assessment ist, sondern ein Re-Basing verlangt, also eine Neuverankerung des gesamten Steuerungsrahmens.

Herausforderungen für komplexe SIs durch den kleineren MaRisk-Scope

Der Wegfall der MaRisk als Bezugsrahmen ist für ein bedeutendes Institut kein reiner Etikettenwechsel. Er verändert, woran sich Risikomanagement, interne Kontrollen und Prüfung ausrichten. Fünf Herausforderungen fallen dabei in der Praxis besonders ins Gewicht.

Der konsolidierte, ausgelegte Rahmen fällt weg

Die MaRisk haben die verstreuten europäischen Vorgaben über Jahre in einem kohärenten, national ausgelegten Dokument mit etablierter Prüfungspraxis gebündelt. Diese Klammer entfällt. SIs müssen den relevanten Rahmen aus EBA-Leitlinien, EZB Guides, CRR, CRD und DORA künftig selbst zusammenführen und konsistent halten. Das ist nicht nur fragmentierter; es fehlt zugleich der national gewachsene Auslegungsanker, an dem sich Institute und Prüfer bisher orientieren konnten.

Große Konzerne mit kleinen Töchtern müssen zweigleisig fahren

Ein Konzern mit SI-Mutter und LSI-Töchtern arbeitet künftig auf zwei Spuren: EBA-Leitlinien und EZB-Erwartungen auf Ebene der SI-Mutter, MaRisk auf Ebene der LSI-Töchter. Die gruppenweite Harmonisierung von Governance-, Auslagerungs- und Berichtsstandards muss beide Regime zusammenbringen. Gerade bei zentralisierten Funktionen und gruppeninternen Auslagerungen wird das schnell zu einem echten Komplexitätstreiber.

Aktualisierungen der europäischen Rahmenwerke greifen schneller

Bislang bot die nationale Umsetzung einen zeitlichen Puffer: Änderungen auf europäischer Ebene wurden erst mit ihrer Überführung in die MaRisk verbindlich. Dieser Puffer entfällt. SIs müssen EBA-Aktualisierungen künftig unmittelbar nachvollziehen, teils innerhalb kurzer, von der EBA vorgegebener Umsetzungsfristen. Ein belastbares regulatorisches Frühwarn- und Umsetzungsmanagement wird damit deutlich wichtiger.

EBA-Leitlinien gehen oft mehr ins Detail

Die MaRisk waren traditionell prinzipienorientiert und ließen den Instituten Spielraum in der Ausgestaltung. Die EBA-Leitlinien enthalten demgegenüber vielfach sehr konkrete Unteranforderungen. Wo die MaRisk ein Prinzip formulierten, findet sich in den Leitlinien nicht selten ein detaillierter Anforderungskatalog, der einen entsprechend höheren Nachweis- und Umsetzungsaufwand mit sich bringt.

Der Prüfungsmaßstab verschiebt sich

Für Prüfungen nach § 44 KWG und für die Jahresabschlussprüfung verschiebt sich die Referenzbasis der SIs von der MaRisk hin zum EBA- und EZB-Rahmen. Das erfordert Anpassungen in der internen Nachweisführung und ein neu justiertes Zusammenspiel mit den Prüfern, die ihre Feststellungen künftig ebenfalls am europäischen Regelwerk ausrichten.

Welche Rahmenwerke und EBA-Leitlinien werden für SIs besonders wichtig?

Nicht jede europäische Vorgabe wiegt für ein kapitalmarktaktives Institut gleich schwer. Wir ordnen die relevanten Rahmenwerke deshalb nach ihrem Bezug zum Kapitalmarkt- und Handelsgeschäft: von den handelsbuchspezifischen Kernquellen über Themen mit mittelbarem Bezug bis zu den eher generischen Vorgaben.

Kernrelevant für Kapitalmarkt und Handel

Im Zentrum steht das Marktpreisrisiko des Handelsbuchs. Hier wirkt die CRR mit den Anforderungen des Fundamental Review of the Trading Book (FRTB) unmittelbar, flankiert von den zugehörigen technischen Regulierungsstandards und Leitlinien der EBA. Es geht um die Abgrenzung von Handels- und Anlagebuch, um Prudent Valuation und um interne Marktrisikomodelle, also um genau jene quantitative Tiefe, für die die MaRisk nie ein eigenständiges Regelwerk vorgehalten haben. Die vollständigen FRTB-Anforderungen treten über delegierte EU-Verordnungen zum 1. Januar 2027 in Kraft und bilden damit die zentrale Kapitalmarktquelle des neuen Rahmens.

Eng damit verbunden ist das Kreditspreadrisiko im Anlagebuch (CSRBB) gemeinsam mit dem Zinsänderungsrisiko (IRRBB), beide geregelt in EBA/GL/2022/14. Formal betrifft das Thema das Anlagebuch, praktisch ist es das kapitalmarktnächste EBA-Thema überhaupt: Es dreht sich um Kreditspreadrisiken auf Anleihen und Eigenemissionen, um ihre Bewertung und um die passenden Szenarien. Für die direkt von der EZB beaufsichtigten Institute gelten diese Anforderungen längst, für das IRRBB seit dem 30. Juni 2023 und für das CSRBB seit dem 31. Dezember 2023.

Hinzu kommt das Kontrahentenausfallrisiko (CCR) samt den Großkreditvorschriften, das sich ebenfalls aus der CRR und den zugehörigen EBA-Standards speist. Derivate sowie Repo- und Wertpapierfinanzierungsgeschäfte sind unmittelbares Handelsgeschäft und damit für kapitalmarktaktive Häuser von hoher Bedeutung.

Mit mittelbarem Kapitalmarktbezug

Eine Reihe von Rahmenwerken betrifft den Kapitalmarkt nicht ausschließlich, prägt ihn aber spürbar. Die Leitlinie zur internen Governance (EBA/GL/2021/05, derzeit in Überarbeitung durch das Konsultationspapier EBA/CP/2025/20) enthält zwar kein eigenes Kapitalmarktmodul, trägt aber die handelsrelevanten Governance-Aspekte: den Umgang mit Interessenkonflikten, den Risikoappetit für Handelsaktivitäten und die Funktionstrennung. Wichtig ist dabei, dass die granulare Handelsorganisation, die die MaRisk etwa in BTO 2 vorsahen, in der Leitlinie gerade keine deckungsgleiche Entsprechung findet.

Auch die Liquiditätskennzahlen LCR und NSFR aus der CRR und den delegierten Verordnungen berühren das Handels- und Treasury-Geschäft unmittelbar, geht es doch um Funding und Liquiditätspuffer. Die ESG-Leitlinie (EBA/GL/2025/01), für große Institute seit dem 11. Januar 2026 anzuwenden und ergänzt um die Umwelt-Szenarioanalyse (EBA/GL/2025/04), bringt die Nachhaltigkeitsdimension des Marktpreisrisikos und entsprechende Szenarien ins Spiel; das ist kapitalmarktrelevant, aber nicht kapitalmarktspezifisch. Und über die SREP-Leitlinien sowie die ECB Guides zu ICAAP und ILAAP speisen die Kapitalmarktrisiken direkt in die Säule 2 ein.

Ohne spezifischen Kapitalmarktbezug

Zwei Rahmenwerke schließlich gelten zwar auch für SIs, ohne dabei einen ausgeprägten Kapitalmarktbezug zu haben. Die Leitlinie zur Kreditvergabe und -überwachung (EBA/GL/2020/06) berührt das Handelsgeschäft allenfalls am Rand, etwa bei Leveraged oder Syndicated Finance. Die Auslagerungsleitlinie (EBA/GL/2019/02) erfasst die Handelsinfrastruktur zwar mit, bleibt in ihren Anforderungen aber generisch; hier ist zusätzlich das Zusammenspiel mit dem DORA-Informationsregister für IKT-Drittdienstleister zu beachten.

Vom Gap-Assessment zum Re-Basing: der Weg in die neue Regelungswelt

Ein klassisches Gap-Assessment vergleicht die alte mit der neuen MaRisk und setzt dabei voraus, dass die MaRisk der maßgebliche Bezugsrahmen bleibt. Für große Institute ist genau diese Voraussetzung entfallen. Die Aufgabe besteht deshalb nicht darin, ein Delta innerhalb desselben Regelwerks zu ermitteln, sondern in einem Re-Basing: Der gesamte interne Steuerungs-, Kontroll- und Nachweisrahmen wird von einem national interpretierten Anker, der MaRisk, auf den europäischen Rahmen umgeändert.

Praktisch heißt das, jede bestehende interne Regelung daraufhin zu prüfen, welche europäische Quelle sie künftig trägt, wie verbindlich diese ist und ob sich daraus inhaltlicher Anpassungsbedarf ergibt. In der Auswertung ordnen sich die Ergebnisse meist vier Grundtypen zu:

Gap-Typ	Bedeutung
A: Bereits erfüllt	Die Anforderung ist inhaltlich abgedeckt und umgesetzt; es besteht kein Handlungsbedarf.
B: Verweis anpassen	Der Inhalt stimmt, lediglich der regulatorische Verweis ist von der MaRisk auf die einschlägige europäische Quelle umzustellen.
C: Ohne EU-Entsprechung	Die MaRisk enthielt eine Regelung, für die es keine direkte europäische Vorgabe gibt, etwa BTO 2 Handelsgeschäft. Eine freiwillige Beibehaltung ist möglich.
D: Echte Lücke	Die europäische Vorgabe verlangt etwas, das das Institut bislang noch nicht umgesetzt hat. Es besteht materieller Umsetzungsbedarf.

Wie das konkret aussieht, zeigen drei Fälle.

• Bei Typ B bleibt etwa eine Auslagerungsrichtlinie, die bislang auf AT 9 MaRisk verweist, inhaltlich weitgehend bestehen; lediglich der Verweis wird auf EBA/GL/2019/02 und für IKT-Dienstleister zusätzlich auf DORA umgestellt.
• Typ C lässt sich am Handelsgeschäft nach BTO 2 illustrieren: Die MaRisk enthielten hier eine sehr detaillierte Handelsorganisation, für die sich in den EBA-Leitlinien keine deckungsgleiche Entsprechung findet. Das Institut kann diese bewährte Organisation freiwillig als Good Practice fortführen, obwohl sie europäisch nicht mehr ausdrücklich gefordert ist.
• Ein Typ-D-Fall schließlich zeigt sich im Marktrisiko: Die quantitativen FRTB-Anforderungen gehen über alles hinaus, was die MaRisk je verlangt haben, sodass hier tatsächlich materieller Umsetzungsbedarf entstehen kann.

Unser Vorgehen

Genau hier setzt unser Ansatz an. Wir strukturieren das Re-Basing über eine Matrix, die jede bisherige MaRisk-Anforderung ihrer einschlägigen europäischen Quelle zuordnet, deren Rechtsnatur und Anwendbarkeit auf das jeweilige Institut bewertet und den konkreten Handlungsbedarf nach den vier Gap-Typen priorisiert. Die relevanten Anwendungstermine behalten wir dabei im Blick, etwa den 1. Januar 2027 für die FRTB-Anforderungen. So wird aus einem fragmentierten europäischen Regelelungsrahmen wieder ein steuerbarer, prüfungsfester Rahmen.

Als mittelständische, auf Banken und Kapitalmarkt spezialisierte Managementberatung verbinden wir dabei regulatorische Tiefe mit Umsetzungserfahrung. Sprechen Sie uns an. Wir unterstützen Sie dabei, den Wechsel von der MaRisk in die europäische Regelungswelt strukturiert, priorisiert und prüfungssicher zu gestalten.

Autor: Lukas Otten (Senior Consultant)

Abkürzungsverzeichnis
Die im Beitrag verwendeten Abkürzungen im Überblick.

AT	Allgemeiner Teil der MaRisk
BaFin	Bundesanstalt für Finanzdienstleistungsaufsicht
BTO	Besondere Anforderungen an die Aufbau- und Ablauforganisation (MaRisk)
CCR	Counterparty Credit Risk (Kontrahentenausfallrisiko)
CP	Consultation Paper (Konsultationspapier der EBA)
CRD	Capital Requirements Directive (Eigenkapitalrichtlinie)
CRR	Capital Requirements Regulation (Eigenkapitalverordnung)
CSRBB	Credit Spread Risk in the Banking Book (Kreditspreadrisiko im Anlagebuch)
DORA	Digital Operational Resilience Act
EBA	European Banking Authority (Europäische Bankenaufsichtsbehörde)
ESG	Environmental, Social and Governance
EU	Europäische Union
EZB / ECB	Europäische Zentralbank (European Central Bank)
FRTB	Fundamental Review of the Trading Book
GL	Guideline (Leitlinie der EBA)
ICAAP	Internal Capital Adequacy Assessment Process
IKT	Informations- und Kommunikationstechnologie
ILAAP	Internal Liquidity Adequacy Assessment Process
IRRBB	Interest Rate Risk in the Banking Book (Zinsänderungsrisiko im Anlagebuch)
KWG	Kreditwesengesetz
LCR	Liquidity Coverage Ratio (Liquiditätsdeckungsquote)
LSI	Less Significant Institution (weniger bedeutendes Institut)
MaRisk	Mindestanforderungen an das Risikomanagement

Zurück zur Übersicht Nächster Beitrag