WpI MaRisk 2026

Was Wertpapierinstitute jetzt bei Auslagerungen prüfen sollten

Mit den finalen Mindestanforderungen an das Risikomanagement von Wertpapierinstituten (WpI MaRisk) beginnt für kleine und mittlere Wertpapierinstitute eine neue regulatorische Phase. Das Rundschreiben 09/2026 (WA) der BaFin gilt ab dem 1. Januar 2027 und schafft erstmals einen eigenständigen, auf das WpIG zugeschnittenen Rahmen für Risikomanagement und Governance. Für Institute bedeutet das: weniger bankenspezifische Detailvorgaben, aber keineswegs weniger Verantwortung. Gerade bei Auslagerungen sollten bestehende Prozesse, Verträge und Kontrollen jetzt gezielt überprüft werden.

Mehr Proportionalität – und mehr eigener Begründungsbedarf

Die BaFin hat die Anforderungen nach zwei Konsultationsrunden gezielt gestrafft und stärker prinzipienorientiert ausgestaltet. Damit erhalten kleine und mittlere Wertpapierinstitute mehr Spielraum, ihre Organisation am eigenen Geschäftsmodell und Risikoprofil auszurichten. Dieser Spielraum ist jedoch kein Freibrief: Institute müssen nachvollziehbar darlegen können, warum ihre konkrete Ausgestaltung angemessen und wirksam ist.

Die zentrale Botschaft: Standardlösungen verlieren an Bedeutung. Entscheidend wird, ob Governance, Risikoanalyse und Überwachung tatsächlich zum Institut passen und auch im Störungsfall tragen.

Die wichtigsten Änderungen im Überblick

Im Vergleich zu den MaRisk für Banken setzen die WpI MaRisk bei Auslagerungen eigene Akzente. Drei Punkte sind für die Praxis besonders relevant:

1. Geschäftsmodell im Fokus: Eine „Empty Shell“ muss vermieden werden

Bei den Wertpapierinstituten, die oft über eine schlanke, plattformbasierte oder stark ausgelagerte Geschäftsorganisation verfügen, rückt die Frage in den Mittelpunkt, welche Steuerungs- und Kontrollfähigkeit im Institut verbleibt. Ein Wertpapierinstitut darf nicht zu einer bloßen „leeren Hülle“ werden. Besondere Aufmerksamkeit verlangen zudem Auslagerungen an Unternehmen außerhalb des EWR: Hier sind unter anderem die Beaufsichtigung des Dienstleisters im Drittstaat und die Zusammenarbeit der zuständigen Aufsichtsbehörden zu berücksichtigen. Daher werden diese Aspekte in den WpI MaRisk stärker betont als in denMaRisk für Banken.

2. Weniger Formalismus: Methodischer Spielraum steigt

Die WpI MaRisk verzichten an mehreren Stellen auf die kleinteilige Ausgestaltung der MaRisk. Die Anforderungen bleiben risikoorientiert, können aber flexibler umgesetzt werden. Das betrifft insbesondere Risikoanalysen, die Überwachung wesentlicher Auslagerungen, Kontrollfunktionen, Ausstiegsmaßnahmen und das zentrale Auslagerungsmanagement.

Risikoanalyse und Überwachung: Eine regelmäßige und anlassbezogene Risikoanalyse sowie die laufende Leistungsüberwachung bleiben Pflicht. Ein ausdrücklich formalisiertes KPI-/KRI-System wird jedoch nicht vorgegeben. Institute können ihre Methodik daher passgenauer gestalten – müssen deren Eignung und Aussagekraft aber belegen können.

Kontrollfunktionen und Exit: Statt detaillierter Rollenmodelle betonen die WpI MaRisk klare Verantwortlichkeiten, ausreichendes Wissen im Institut und die fortbestehende Gesamtverantwortung der Geschäftsleitung. Bei einer Beendigung müssen Kontinuität und Qualität gewährleistet bleiben. Praktisch bedeutet das: Ein belastbarer Exit muss möglich sein, auch wenn kein umfangreiches formales Konzept ausdrücklich verlangt wird.

Zentrales Auslagerungsmanagement und Weiterverlagerungen: Eine eigenständige Berichtspflicht mit festgelegten Mindestinhalten entfällt. Erforderlich bleiben jedoch zentrale Steuerung, vollständige Dokumentation, klare Zuständigkeiten und eine Bewertung der Dienstleistungsqualität. Bei Weiterverlagerungen stehen Zustimmung, Information und eine durchgängige Berichterstattung im Vordergrund.

3. Nicht ausdrücklich geregelt heißt nicht automatisch entbehrlich

Einige Klarstellungen der MaRisk wurden nicht in die WpI MaRisk übernommen. Daraus sollte nicht vorschnell geschlossen werden, dass die zugrunde liegenden Risiken für Wertpapierinstitute bedeutungslos sind.

Dazu zählen insbesondere die wirtschaftliche Einordnung von Auslagerungen unabhängig von ihrer zivilrechtlichen Gestaltung, Bezüge zu Geldwäschevorgaben sowie konkrete Vorkehrungen für Informationssicherheit und den Zugriff auf eigene Daten bei Insolvenz, Abwicklung oder Geschäftsaufgabe des Dienstleisters.

Auch Schwellenwerte für Schlechtleistungen, Unterstützung bei einem Anbieterwechsel und die Reintegration ausgelagerter Leistungen werden weniger konkret adressiert. Aus Risikosicht bleiben diese Themen relevant. Institute sollten daher prüfen, welche bewährten MaRisk-Elemente sie freiwillig beibehalten, um operative Lücken zu vermeiden.

Eine Besonderheit ist die Szenarioanalyse: Sie wird in den WpI MaRisk stärker im Normtext verankert. Damit gewinnt die Frage an Bedeutung, wie sich plausible Störungen oder Ausfälle von Dienstleistern auf das Institut auswirken und welche Gegenmaßnahmen tatsächlich verfügbar sind.

Was Institute jetzt konkret tun sollten

• Anwendungsbereich klären: Prüfen, welche Dienstleister, Leistungsbezüge oder sonstige Sachverhalte unter AT 9 WpI MaRisk – oder DORA - fallen.
• Gap-Analyse durchführen: Bestehende Vorgaben, Prozesse und Verträge systematisch mit AT 9 WpI MaRisk abgleichen.
• Steuerungsfähigkeit belegen: Sicherstellen, dass ausreichendes Wissen, klare Verantwortlichkeiten und wirksame Kontrollen im Institut verbleiben.
• Risiko- und Szenarioanalysen schärfen: Methodik, Aktualisierungsanlässe und Dokumentation auf das eigene Risikoprofil ausrichten.
• Verträge und Weiterverlagerungen prüfen: Informations-, Zustimmungs-, Zugangs-, Prüfungs- und Kündigungsrechte auf Belastbarkeit untersuchen.
• Exit-Fähigkeit testen: Kritische Leistungen, Datenzugriff, Anbieterwechsel und Reintegration auch unter Stressbedingungen durchspielen.

Unser Fazit: Die WpI MaRisk eröffnen mehr proportionale Gestaltungsmöglichkeiten. Der Preis dafür ist ein höherer institutsspezifischer Begründungs- und Dokumentationsbedarf. Wer die Übergangszeit bis zum 1. Januar 2027 nutzt, kann nicht nur die aufsichtsrechtlichen Anforderungen erfüllen, sondern Auslagerungssteuerung und Governance gezielt effizienter aufstellen.

Wie wir Sie unterstützen

Wir unterstützen Sie bei der Einordnung der neuen Anforderungen, einer fokussierten Gap-Analyse sowie der pragmatischen Anpassung von Governance, Auslagerungsregister, Risikoanalysen, Verträgen und Exit-Vorkehrungen. Sprechen Sie uns an, wenn Sie wissen möchten, wo für Ihr Institut der größte Handlungsbedarf besteht.