ProAuditMap

MaRisk 2026 für kleine Institute: was sich für die Interne Revision ändert.

Die neunte MaRisk-Novelle ist prinzipienbasierter und definiert erstmals Größenklassen. Für die Revision kleiner Institute bringt sie Erleichterungen, aber auch engere Bedingungen.

Stand 22. Oktober 2026

Kurzfassung

Die MaRisk vom 30. Juni 2026 unterscheidet kleine und sehr kleine Institute. Die Revision durch einen Geschäftsleiter ist nur noch bei sehr kleinen Instituten und mit Maßnahmen gegen Interessenkonflikte vorgesehen, die vollständige Auslagerung der Revision bei sehr kleinen Instituten möglich. Nicht wesentliche Aktivitäten sind spätestens alle fünf Jahre zu prüfen, berichtet wird mindestens vierteljährlich. Für zusätzliche Anforderungen gilt eine Übergangsfrist bis zum 1. Januar 2027.

Weniger Erläuterungen, keine Absenkung des Niveaus

Die neue Fassung ist am 30. Juni 2026 mit ihrer Veröffentlichung in Kraft getreten. Die BaFin hat das Rundschreiben nach eigener Aussage stärker prinzipienbasiert gestaltet und Erläuterungen gestrichen, um den Instituten mehr Ermessen bei der proportionalen Anwendung zu geben. Eine grundsätzliche Absenkung des Anforderungsniveaus ist damit ausdrücklich nicht verbunden [2].

Soweit sich aus der Neufassung im Einzelfall zusätzliche Anforderungen ergeben, gilt eine Übergangsfrist bis zum 1. Januar 2027 [2].

Wer ist klein, wer ist sehr klein

AT 1 Tz. 3 definiert erstmals zwei Größenklassen. Kleine Institute sind Institute, die als kleine und nicht komplexe Institute (SNCI) nach Art. 4 Abs. 1 Nr. 145 CRR eingestuft sind, sowie CRD-Drittstaatenzweigstellen der Risikoklasse 2. Sehr kleine Institute sind Institute und CRD-Drittstaatenzweigstellen, deren Bilanzsumme im Vierjahresdurchschnitt 1 Mrd. Euro nicht überschreitet; bei Factoringinstituten darf zusätzlich das jährliche Forderungsankaufsvolumen im Vierjahresdurchschnitt 5 Mrd. Euro nicht überschreiten. Sie können die Erleichterungen für kleine Institute auch dann nutzen, wenn sie die SNCI-Kriterien nicht erfüllen [1].

Die Erleichterungen gelten nur dort, wo ein Abschnitt sie ausdrücklich regelt. Daneben bleibt das allgemeine Proportionalitätsprinzip bestehen, das im Einzelfall auch über die MaRisk hinausgehende Vorkehrungen verlangen kann [1].

Revision durch einen Geschäftsleiter: enger als bisher

Nach AT 4.4.3 Tz. 1 können bei sehr kleinen Instituten die Aufgaben der Internen Revision von einem Geschäftsleiter übernommen werden, wenn eine eigene Revisionseinheit unverhältnismäßig ist und Maßnahmen zur Vermeidung von Interessenkonflikten implementiert sind [1].

Die Fassung von 2024 knüpfte das in AT 4.4.3 Tz. 1 allein an die Betriebsgröße, ohne Größenklasse [3]. Institute, die diese Lösung nutzen, sollten prüfen, ob ihre Bilanzsumme im Vierjahresdurchschnitt 1 Mrd. Euro nicht überschreitet und ob die Maßnahmen gegen Interessenkonflikte dokumentiert sind.

Auslagerung der Revision

AT 9 Tz. 5 erlaubt die vollständige Auslagerung der Internen Revision weiterhin für nicht wesentliche Tochterinstitute innerhalb einer Institutsgruppe und ferner bei sehr kleinen Instituten [1]. 2024 war sie außerhalb von Gruppen nur bei kleinen Instituten möglich, wenn eine eigene Revision nach Größe und Geschäft nicht angemessen erschien [3].

Auch bei vollständiger Auslagerung bleibt die Verantwortung beim Institut. Prüfungsplan, Berichte und Nachverfolgung müssen die Anforderungen aus AT 4.4.3 erfüllen, gleich wer die Prüfungen durchführt (AT 9 Tz. 4 und 10) [1].

Prüfungsplan und Turnus: neue Obergrenze von fünf Jahren

Die Revision arbeitet auf Grundlage eines umfassenden, risikoorientierten und jährlich fortzuschreibenden Prüfungsplans, den die Geschäftsleitung genehmigt. Sämtliche Aktivitäten, auch ausgelagerte, sind grundsätzlich innerhalb von drei Jahren zu prüfen, bei besonderen Risiken in einem kürzeren Turnus (AT 4.4.3 Tz. 6) [1].

Neu ist die Grenze für nicht wesentliche Aktivitäten und Prozesse: Sie sind in die Prüfungsplanung zu integrieren und innerhalb von fünf Jahren zu prüfen [1]. Nach der Fassung von 2024 konnte für sie vom Dreijahresturnus ohne feste Obergrenze abgewichen werden, und bei besonderen Risiken war jährlich zu prüfen (BT 2.3 Tz. 1) [3].

Berichten im Quartalstakt

Nach AT 4.4.3 Tz. 9 legt die Revision der Geschäftsleitung mindestens vierteljährlich einen Bericht vor: mit den Prüfungen und wesentlichen Mängeln des Quartals, den Maßnahmen und ihrem Status, allen noch offenen wesentlichen Mängeln aus früheren Quartalen und einer Beurteilung, ob der Prüfungsplan voraussichtlich eingehalten wird [1]. Einen Quartalsbericht verlangte schon die Fassung von 2024 (BT 2.4 Tz. 4); noch nicht behobene wesentliche Mängel gehörten dort aber in den Jahresbericht [3]. Werden wesentliche Mängel nicht in angemessener Zeit beseitigt, informiert der Leiter der Internen Revision zunächst schriftlich die fachlich zuständigen Geschäftsleiter; bleiben sie bestehen, ist die gesamte Geschäftsleitung spätestens im nächsten Quartalsbericht zu informieren (Tz. 12) [1].

Wie sich daraus ein belastbares Verfahren zur Nachverfolgung ableiten lässt, beschreibt unser Beitrag Feststellungen nachverfolgen. Prüfungen sind weiterhin mit nachvollziehbaren Arbeitsunterlagen zu dokumentieren, Berichte und Unterlagen sechs Jahre aufzubewahren (Tz. 10) [1].

Checkliste für die Revisionsleitung bis zum 1. Januar 2027

Aus den Änderungen ergeben sich für kleine und sehr kleine Institute diese Prüfpunkte:

  1. Größenklasse bestimmen und dokumentieren: SNCI nach CRR oder Bilanzsumme im Vierjahresdurchschnitt bis 1 Mrd. Euro.
  2. Übernimmt ein Geschäftsleiter die Revision: Unverhältnismäßigkeit begründen und die Maßnahmen gegen Interessenkonflikte festhalten.
  3. Bei Auslagerung der Revision: prüfen, ob die Voraussetzungen nach AT 9 Tz. 5 in der neuen Fassung erfüllt sind.
  4. Prüfungsuniversum durchgehen: Steht jede nicht wesentliche Aktivität spätestens im fünften Jahr im Plan?
  5. Quartalsbericht einrichten: Prüfungen und Mängel des Quartals, alle offenen wesentlichen Mängel, Stand der Planerfüllung.
  6. Erläuterungen, auf die sich interne Verfahren bisher stützten, gegen die Neufassung abgleichen und die eigene Auslegung dokumentieren.

Ob ein Institut zusätzlich unter NIS2 fällt, zeigt unser kostenloser Betroffenheits-Check NIS2 und DORA. Den Rahmen für die Planung des nächsten Jahres beschreibt der Beitrag Prüfungsplanung 2027 unter NIS2 und DORA, Muster-Prüfprogramme stehen frei zur Verfügung: Muster-Prüfprogramme.

Betroffenheits-Check NIS2 und DORA

Quellen (abgerufen am 22. Oktober 2026)

  1. BaFin, Rundschreiben 06/2026 (BA), MaRisk vom 30.06.2026, AT 1 Tz. 3, AT 4.4.3, AT 9 Tz. 4, 5 und 10: https://www.bundesbank.de/resource/blob/825336/866a68577eb35afee82fbe60c39a4f87/472B63F073F071307366337C94F8C870/2026-06-30-rundschreiben-data.pdf
  2. BaFin, Übersendungsschreiben zur MaRisk vom 30.06.2026 (Inkrafttreten, Übergangsfrist): https://www.bundesbank.de/resource/blob/817668/a01783da8a8eb23ba9fe333001d85c41/472B63F073F071307366337C94F8C870/2026-06-30-anschreiben-data.pdf
  3. BaFin, Rundschreiben 06/2024 (BA), MaRisk vom 29.05.2024, AT 4.4.3, AT 9 Tz. 5, BT 2.3, BT 2.4 (Vergleich): https://www.bundesbank.de/resource/blob/932738/fa6ddd3636c40c9f9d5cb4fad4f07121/472B63F073F071307366337C94F8C870/2024-05-29-rundschreiben-data.pdf

Dieser Beitrag gibt einen Überblick und ist keine Rechtsberatung. Maßgeblich ist der Wortlaut des Rundschreibens.