9. MaRisk-Novelle: Was sich in AT 9 ändert und was bei den Meldungen bleibt

9. MaRisk-Novelle: Was sich in AT 9 ändert und was bei den Meldungen bleibt

Am 30. Juni 2026 hat die BaFin die 9. MaRisk-Novelle als Rundschreiben 06/2026 (BA) veröffentlicht. Die MaRisk sind deutlich schlanker geworden, und das Modul AT 9 zur Auslagerung ist davon besonders betroffen. Für das Auslagerungsmanagement ist vor allem eine Frage wichtig: Wie verhalten sich AT 9 und DORA künftig zueinander, in der Steuerung und bei den Meldungen an die Aufsicht?

Die zentrale Änderung: IKT-Dienstleistungen unter DORA fallen aus AT 9 heraus

Neu ist ein eigener Erläuterungskasten in AT 9 Tz. 1. Danach fallen ausgelagerte oder fremdbezogene IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, nicht in den Anwendungsbereich des AT 9.

Damit endet die Doppelsteuerung, die viele Häuser seit Anwendungsbeginn der DORA betrieben haben: Dieselbe IKT-Auslagerung wurde nach MaRisk AT 9 und nach DORA bewertet, vertraglich geprüft und überwacht. Künftig gilt eine klare Zweiteilung:

• Auslagerungen ohne IKT-Dienstleistung im Sinne von DORA, etwa Bargeldlogistik oder die Kreditbearbeitung durch einen Dienstleister, werden weiter nach AT 9 gesteuert.
• IKT-Dienstleistungen, die dem IKT-Drittparteienrisikomanagement unterliegen, werden ausschließlich nach DORA gesteuert, unabhängig davon, ob sie aufsichtsrechtlich eine Auslagerung sind.

In der Praxis verlagert sich die eigentliche Entscheidung damit an den Anfang: Schon bei der Klassifizierung eines neuen Leistungsbezugs muss feststehen, welches Regime greift. Wo das nicht sauber gelingt, entstehen Lücken statt Doppelarbeit.

Was sich im Auslagerungsmanagement sonst ändert

• Der zentrale Auslagerungsbeauftragte entfällt. Gefordert ist nur noch ein zentrales Auslagerungsmanagement, ausgestaltet nach Art, Umfang und Komplexität der Auslagerungsaktivitäten (AT 9 Tz. 12).
• Das Auslagerungsregister bleibt. Es steht ausdrücklich als Aufgabe des zentralen Auslagerungsmanagements im Text: vollständige Dokumentation der Auslagerungen einschließlich Weiterverlagerungen gemäß § 25b Abs. 1 Satz 4 KWG (AT 9 Tz. 12 b). Gestrichen wurde der detaillierte Verweis auf die Mindestinhalte der EBA-Leitlinien zu Auslagerungen.
• Berichterstattung: Statt „mindestens jährlich“ verlangt AT 9 Tz. 13 einen Bericht über die wesentlichen Auslagerungen „in regelmäßigen Abständen sowie anlassbezogen“. Bei sehr kleinen Instituten reicht eine Berichterstattung im Rahmen einer Vorstandssitzung.
• Risikoanalyse: Kleine Institute müssen sie alle drei Jahre überprüfen und können qualitative Ansätze nutzen (AT 9 Tz. 2).
• Besondere Funktionen: Die vollständige Auslagerung von Compliance-Funktion oder Interner Revision ist neben Tochterinstituten in Gruppen nun auch bei sehr kleinen Instituten möglich (AT 9 Tz. 5).
• Gruppen und Verbünde: Bei gruppen- und verbundinternen Auslagerungen kann unter anderem auf Ausstiegsstrategien und Handlungsoptionen verzichtet werden (AT 9 Tz. 14 d).
• Geldwäsche: Bei Auslagerungen sind ausdrücklich das GwG und die EU-Geldwäscheverordnung (AMLR) anzuwenden.

Entfallen jetzt die Doppelmeldungen?

In der Diskussion um die Novelle ist häufig zu hören, Doppelmeldungen zwischen wesentlichen Auslagerungen und IKT-Dienstleistungen für kritische oder wichtige Funktionen entfielen. Durch die 9. MaRisk-Novelle trifft das so nicht zu.

Die MaRisk regeln keine Anzeigen. Die Pflicht, Absicht und Vollzug einer wesentlichen Auslagerung anzuzeigen, steht in § 24 Abs. 1 Nr. 19 KWG und der Anzeigenverordnung. Ein Rundschreiben kann eine gesetzliche Anzeigepflicht weder aufheben noch einschränken. Die Herausnahme der IKT-Dienstleistungen aus AT 9 betrifft die institutsinterne Steuerung, nicht das Meldewesen.

Die DORA-Pflicht besteht daneben. Nach Art. 28 Abs. 3 DORA ist die Aufsicht zeitnah über geplante vertragliche Vereinbarungen zur Nutzung von IKT-Dienstleistungen zu unterrichten, die kritische oder wichtige Funktionen unterstützen. Das gilt auch, wenn eine Funktion erst nachträglich kritisch oder wichtig wird.

Was sich tatsächlich vereinfacht: Die BaFin stellt klar, dass die sektoralen Anzeigepflichten weiter gelten und IKT-Auslagerungen weiterhin über das MVP-Fachverfahren „Anzeige von Auslagerungen“ anzuzeigen sind. Sie hat angekündigt, dass die DORA-Unterrichtung künftig im selben Formular erfolgen kann. Laut BaFin-Website ist das möglich, sobald die technischen Voraussetzungen geschaffen sind. Ohne Überschneidung, also wenn keine anzeigepflichtige Auslagerung vorliegt, erfolgt die DORA-Unterrichtung über ein eigenes Formular per E-Mail. Die jährliche Meldung der Zahl neuer IKT-Vereinbarungen entfällt, weil die BaFin diese Daten aus dem Informationsregister selbst ermittelt.

Hilfreich ist ein Blick auf die drei typischen Konstellationen:

1. Eine wesentliche Auslagerung ohne IKT-Dienstleistung: Anzeige nach § 24 KWG, keine DORA-Unterrichtung.
2. Eine IKT-Dienstleistung für eine kritische oder wichtige Funktion, die keine Auslagerung ist, etwa ein Softwarebezug: DORA-Unterrichtung, keine Auslagerungsanzeige.
3. Eine wesentliche IKT-Auslagerung, die eine kritische oder wichtige Funktion unterstützt: Beide Pflichten greifen. Hier soll eine einzige Anzeige im MVP künftig beide abdecken. Eine doppelte Einreichung wird so vermieden, die beiden Pflichten bestehen aber fort.

Die Formulierung „Doppelmeldungen entfallen“ ist damit allenfalls für den dritten Fall und nur im Sinne eines gemeinsamen Meldewegs zutreffend.

Was jetzt zu tun ist

• Klassifizierungslogik anpassen: Jeder Leistungsbezug braucht eine eindeutige, dokumentierte Zuordnung zu AT 9 oder zum IKT-Drittparteienrisikomanagement nach DORA.
• Schriftlich fixierte Ordnung überarbeiten: Die Rolle des bisherigen Auslagerungsbeauftragten, Berichtszyklen und die Abgrenzung zu DORA müssen zur neuen Fassung passen.
• Register zusammendenken: Auslagerungsregister und DORA-Informationsregister sollten auf derselben Datenbasis beruhen, auch wenn die Steuerung künftig getrennt verläuft.
• Meldeprozess prüfen: Ein gemeinsamer Eingangsprozess, der beide Auslöser systematisch abfragt, also wesentliche Auslagerung sowie kritische oder wichtige Funktion, verhindert vergessene Anzeigen.

Die Novelle bringt spürbare Entlastung in der internen Steuerung. Bei den Meldungen lohnt dagegen ein genauer Blick, bevor Prozesse vereinfacht werden.

Stand: 11. Oktober 2026. Quellen: BaFin-Rundschreiben 06/2026 (BA), MaRisk, BaFin: Informationsregister und Anzeigepflichten nach DORA, § 24 KWG.

Zum Auslagerungsmanagement