Aktuelles & Regulatory Updates

BaFin und Deutsche Bundesbank haben die Neufassung der Mindestanforderungen an das Risikomanagement als Rundschreiben 06/2026 veröffentlicht. Leitmotiv ist mehr Proportionalität: Doppelungen werden abgebaut, der Detaillierungsgrad reduziert, Anforderungen stärker prinzipienorientiert formuliert. Strukturell bedeutsam: Bedeutende Institute unter direkter EZB-Aufsicht unterliegen den MaRisk künftig nicht mehr; neu erfasst werden Drittstaatenzweigstellen nach § 53c KWG. Erleichterungen gelten sofort, neue und verschärfte Anforderungen sind bis zum 1. Januar 2027 umzusetzen.

Die EU-Kommission hat eine Delegierte Verordnung zur Änderung der CRR erlassen, die befristete, zielgerichtete Erleichterungen und Multiplikatoren für die Eigenmittelanforderungen im Marktrisiko vorsieht. Hintergrund sind Verzögerungen bei der Basel-III-Umsetzung in den USA und im Vereinigten Königreich, die zu Wettbewerbsnachteilen für EU-Institute führen könnten. Betroffen sind sowohl der interne Modellansatz als auch der Standardansatz. Das Anwendungsdatum des FRTB-Rahmenwerks bleibt der 1. Januar 2027 — weitere Verschiebungen sind nach dem CRR-Mandat ausgeschlossen.

Nach dem Bundestagsbeschluss vom 29. Januar 2026 und der Zustimmung des Bundesrates am 6. März 2026 ist das KRITIS-Dachgesetz (KRITIS-DachG) am 17. März 2026 in Kraft getreten. Es setzt die CER-Richtlinie (EU) 2022/2557 um und schafft erstmals einen bundeseinheitlichen, sektorübergreifenden Rahmen für die physische Sicherheit und Resilienz kritischer Anlagen — komplementär zur digitalen Sicherheit nach NIS2/BSIG. Zuständige Behörde ist das BBK.

Das Bankenrichtlinienumsetzungs- und Bürokratieentlastungsgesetz (BRUBEG) wurde am 29. Januar 2026 vom Bundestag beschlossen, im März 2026 im Bundesgesetzblatt verkündet und ist in weiten Teilen zum 1. April 2026 in Kraft getreten. Wesentliche Inhalte: verbindliche gesetzliche Verankerung des ESG-Risikomanagements in §§ 26c und 26d KWG einschließlich ESG-Risikoplan, neues Drittstaatenzweigstellenregime in §§ 53c und 53cc KWG mit Re-Lizenzierungsverfahren, erweiterte Fit-&-Proper-Anforderungen sowie vollständig neu strukturierte Anzeigepflichten nach § 24 KWG. Die EU-Umsetzungsfrist zum 10. Januar 2026 wurde damit überschritten.

Nach der erstmaligen Benennung kritischer IKT-Drittdienstleister (CTPP) im November 2025 haben die ESAs die operative Überwachung aufgenommen. Die Aufsicht erfolgt durch Joint Examination Teams (JETs) aus ESA-Mitarbeitenden und nationalen Behörden. Für Finanzunternehmen ändert sich an der Eigenverantwortung nichts: Abhängigkeiten von CTPPs sind transparent zu machen, Drittparteienrisiken zu steuern und aufsichtliche Erkenntnisse in das eigene IKT-Risikomanagement zu integrieren. Die BaFin erwartet spätestens ab 2026 die vollständige Umsetzung der DORA-Anforderungen.

Das Gesetz zur Umsetzung der NIS2-Richtlinie (NIS2UmsuCG) wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und ist am Folgetag in Kraft getreten. Betroffen sind rund 30.000 Unternehmen in 18 Sektoren ab 50 Beschäftigten oder mehr als 10 Mio. EUR Jahresumsatz. Die Registrierungsfrist beim BSI endete am 6. März 2026. Für Finanzunternehmen gilt DORA als lex specialis; NIS2 bleibt jedoch für nicht von DORA erfasste Bereiche relevant.

EBA, ESMA und EIOPA haben nach Art. 31 ff. DORA erstmals eine Liste kritischer IKT-Drittdienstleister veröffentlicht. Die 19 benannten Unternehmen umfassen Hyperscaler (u.a. Amazon Web Services, Google Cloud, Microsoft), Netzwerk- und Rechenzentrumsbetreiber (u.a. Deutsche Telekom, Equinix) sowie spezialisierte Anbieter für Finanzdaten und -services (u.a. Bloomberg, LSEG, Accenture, SAP). Datenbasis war die Auswertung der Informationsregister nach Art. 28 DORA, die in Deutschland erstmals bis zum 28. April 2025 bei der BaFin einzureichen waren und fortan jährlich bis zum 31. März zu aktualisieren sind.

Der Delegierte Rechtsakt zur zweiten Verschiebung des FRTB-Rahmenwerks um ein weiteres Jahr auf den 1. Januar 2027 wurde veröffentlicht. Begründet wurde dies mit anhaltenden Verzögerungen bei der globalen Basel-III-Umsetzung. Die EBA bestätigte am 8. August 2025, dass der No-Action-Letter vom August 2024 sowie die zugehörigen Übergangsregelungen weiterhin in Kraft bleiben. Damit ist der rechtlich eingeräumte Spielraum für Verschiebungen nach Art. 461a CRR ausgeschöpft.

Die BaFin hat den Entwurf eines eigenständigen Rundschreibens „Mindestanforderungen an das Risikomanagement von Wertpapierinstituten" (WpI MaRisk) zur Konsultation gestellt. Damit werden Kleine und Mittlere Wertpapierinstitute vollständig aus den auf Kreditinstitute zugeschnittenen MaRisk (BA) herausgelöst. Das Rundschreiben konkretisiert die Vorgaben des Wertpapierinstitutsgesetzes (WpIG) und folgt einem eigenständigen Proportionalitätsansatz.

Der Digital Operational Resilience Act (Verordnung (EU) 2022/2554) ist seit dem 17. Januar 2025 in allen EU-Mitgliedstaaten vollständig anwendbar. Betroffene Finanzunternehmen müssen die Anforderungen an IKT-Risikomanagement, Incident Reporting, Resilienztests (TLPT) und IKT-Drittparteienmanagement erfüllen. Im Zuge der DORA-Umsetzung wurde die BAIT zum selben Datum außer Kraft gesetzt — angekündigt bereits im Anschreiben zur 8. MaRisk-Novelle.

Die Capital Requirements Regulation III (Verordnung (EU) 2024/1623) ist seit dem 1. Januar 2025 anwendbar und setzt die finalen Basel-III-Standards („Basel IV") in europäisches Recht um. Wesentliche Neuerungen: Output Floor mit Phase-in bis 2030, überarbeitete Standardansätze für Kredit- und operationelles Risiko. Ausgenommen ist der Marktrisikorahmen (FRTB), dessen Anwendung auf den 1. Januar 2027 verschoben wurde.

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist im Oktober 2024 in Kraft getreten. Hersteller und Anbieter von Produkten mit digitalen Elementen müssen die Anforderungen stufenweise bis 2027 erfüllen. Für Kreditinstitute relevant als Abnehmer: eingesetzte IT-Produkte und Komponenten unterliegen CRA-Anforderungen, was die Due-Diligence-Pflichten im Drittparteienmanagement erweitert.

Die BaFin hat mit Rundschreiben 06/2024 die 8. MaRisk-Novelle veröffentlicht. Schwerpunkte sind das Management von Zinsänderungsrisiken (IRRBB) und Kreditspreadrisiken (CSRBB) im Anlagebuch — umgesetzt werden die Ende 2023 vollständig in Kraft getretenen EBA-Leitlinien. Die wesentlichen Änderungen finden sich in BTR 2.3 sowie im neuen Abschnitt BTR 5. Für die MaRisk-Compliance selbst ergaben sich keine strukturellen Änderungen.

CRR III (EU 2024/1623) und CRD VI (EU 2024/1619) wurden im EU-Amtsblatt veröffentlicht und traten am 9. Juli 2024 in Kraft. CRR III gilt unmittelbar ab 01.01.2025. CRD VI war bis zum 10. Januar 2026 in nationales Recht umzusetzen — in Deutschland erfolgte dies verspätet durch das BRUBEG.

Das EU-Geldwäschepaket aus AML-Verordnung, 6. Geldwäscherichtlinie und AMLA-Gründungsverordnung wurde verabschiedet. Die neue Anti-Money Laundering Authority (AMLA) mit Sitz in Frankfurt am Main baut ihre Aufsichtstätigkeit schrittweise auf; die direkte Aufsicht über ausgewählte Verpflichtete im Hochrisikobereich beginnt 2028.