Aktuelles aus dem Aufsichtsrecht & Meldewesen 08/2026

Mit dem inzwischen im EU-Amtsblatt veröffentlichten Delegierten Rechtsakt EU/2026/1221 vom 11.09.2026 wurden zeitlich begrenzte Vorschriften in die CRR eingebracht, die eine abgemilderte Anwendung des neuen Marktrisikokapitalrahmenwerks, unter anderem durch Einführung von Multiplikatoren, für Banken (Fundamental Review of the Trading Book, FRTB) ab dem 01.01.2026 bis 31.12.2029 befürworten (vgl. Newsletter 05/2026).

Mithilfe ihrer beiden Anfang August veröffentlichten Unterlagen möchte die EBA eine konsistente und harmonisierte Umsetzung dieses erneut überarbeiteten Marktrisikorahmens in der EU unterstützen sowie operative Mehrfachumsetzungen der Boundary-Regeln vermeiden.

In ihrem No-action-letter (EBA/Op/2026/08) empfiehlt sie den zuständigen Behörden daher, Aufsichts- und Durchsetzungsmaßnahmen zur Anwendung der FRTB-Boundary-Regelungen, zu internen Risikotransfers sowie zu bestimmten verbundenen Reporting-Anforderungen nicht zu priorisieren. Die EBA will vermeiden, dass Institute für die Marktrisiko-Eigenmittelberechnung und für ergänzende Boundary-Reporting-Anforderungen unterschiedliche Boundary-Frameworks parallel anwenden müssen. Das Reporting zur Zusammensetzung des Handelsbuchs und zu Reklassifizierungen zwischen Bankbuch und Handelsbuch sollte daher weiterhin ausgesetzt bleiben, bis die Eigenmittelberechnung tatsächlich auf der FRTB-Boundary basiert.

Die gleichzeitig mit dem No-action-letter veröffentlichten Erwägungen der EBA zur FRTB-Erstanwendung sollen eine Vielzahl an Anwendungsfragen hinsichtlich des FRTB-Starts zum 01.01.2027 und insbesondere den geplanten, zielgerichteten Entlastungsmaßnahmen bis 31.12.2029 beantworten.

Im Hinblick auf das Meldewesen wird darin unter anderem folgende Übergangslogik bis zur geplanten ITS-Anpassung zum September 2027 (vollständige Überarbeitung der Meldebögen im Rahmen der Simplifikation-Initiative, siehe auch Newsletter 07/2026) vorgestellt:

• Institute, die den bankspezifischen Multiplikator nutzen, melden die Bögen C 18.00 bis C 24.00 nach CRR2-SA/IMA, C 91.00 nach FRTB-ASA (ohne Overall-Multiplier-Effekt, aber mit SBM-Multiplikator nur in den dafür vorgesehenen Spalten) und in C 02.00 nur die RWEA nach CRR2 (nach Multiplikator).
• Für alle anderen Institute gilt: ASA/AIMA-Nutzer melden über C 91.00 (inklusive ASA „all portfolio“-Berechnung für AIMA-Nutzer) und SSA-Nutzer melden über C 18.00 bis C 23.00 unter Berücksichtigung der Skalierungsfaktoren und des Multiplikators.

Die WpI MaRisk konkretisieren die Anforderungen an die Geschäftsorganisation und das Risikomanagement von kleinen und mittleren Wertpapierinstituten nach WpIG (§2 Absatz 16 und 17). Sie treten zum 01.01.2027 in Kraft. Große Wertpapierinstitute verbleiben weiterhin im MaRisk-Regime des KWG. Für kleine und mittlere Wertpapierinstitute gilt 2026 übergangsweise die 8. MaRisk-Novelle.

Wesentliche Inhalte

• AT 2.2 Risiken
  • Eine Risikoinventur zur Identifikation wesentlicher Risiken ist erforderlich.
  • Berücksichtigung von Risiken für die Kunden, den Markt und das Wertpapierinstitut; zudem Liquiditätsrisiken, sonstige Risiken sowie Notwendigkeit des Einbezugs von ESG-Risikotreibern.
• AT 3 Verantwortung der Geschäftsleiter und des Aufsichtsorgans
  • Die Geschäftsleiter tragen die Gesamtverantwortung für eine ordnungsgemäße Geschäftsorganisation und eine angemessene Risikokultur.
  • Das Aufsichtsorgan ist regelmäßig über Risiko- und Geschäftslage zu informieren.
• AT 4.1 Risikotragfähigkeit und Kapitalplanung
  • Mittlere Wertpapierinstitute müssen eine Risikotragfähigkeitssteuerung etablieren.
  • Kleine und mittlere Institute benötigen einen Prozess zur mehrjährige Kapitalplanung einschließlich adverser Szenarien.
• AT 4.2 Strategien
  • Die Geschäftsleiter müssen eine mit der Geschäftsstrategie konsistente Risikostrategie festlegen.
• AT 4.3 Interne Kontrollmechanismen
  • Eine klare Aufbau- und Ablauforganisation sowie eine adäquat ausgestaltete Funktionstrennung sind notwendig. Die Einrichtung einer Compliance-Funktion ist Pflicht; die Unabhängigkeit der Risikomanagement-Funktion und der internen Revision nicht zwingend (abhängig vom Proportionalitätsprinzip).
  • Ein Risikomanagement-Prozess ist zu etablieren zur Identifizierung, Beurteilung, Steuerung, Überwachung und Kommunikation von Risiken.
  • Mittlere Wertpapierinstitute müssen regelmäßig Stresstests durchführen und in die Risikosteuerung integrieren.
• AT 9 Auslagerung
  • Auslagerungen erfordern eine Risikoanalyse, laufende Überwachung und das Führen eines zentralen Auslagerungsregisters. Spezielle Anforderungen gelten für wesentliche Auslagerungen und bei erheblicher Tragweite, beispielsweise bei Auslagerung der Risikomanagement-Funktion.
  • Die Verantwortung verbleibt stets beim Institut. „Empty-Shell“-Modelle werden ausdrücklich adressiert.

Besondere Anforderungen an interne Kontrollmechanismen

• BTH Handelsgeschäfte
  • Besondere Anforderungen werden an die Ausgestaltung von Handelsgeschäften hinsichtlich Funktionstrennung und Prozessausgestaltung gestellt.
• BTV Vertraglich gebundene Vermittler
  • Auch an vertraglich gebundene Vermittler werden besondere Anforderungen gestellt, insbesondere hinsichtlich Auswirkungen auf das Risikomanagement.
• BTR Risikomanagementprozesse
  • Besondere Anforderungen werden überdies an die Risikomanagementprozesse gestellt:
    1. Risiken aus laufender Tätigkeit (BTR 1)
       1. Risiken für die Kunden (BTR 1.1)
       2. Risiken für den Markt (BTR 1.2)
       3. Risiken für das Wertpapierinstitut (BTR 1.3)
    2. Sonstige Risiken
    3. Liquiditätsrisiken (BTR 3)
    4. Risiko einer ungeordneten Abwicklung (BTR 4): Mittlere Wertpapierinstitute müssen regelmäßig und anlassbezogen bestimmen, in welchem Zeitraum eine geordnete Abwicklung erfolgen könnte und welche Kosten damit einhergehen würden (keine Pflicht zur Erstellung von Sanierungs-/Abwicklungsplänen).

• BT 2 Risikoberichterstattung:
  • Notwendig sind regelmäßige und ad-hoc-fähige Risikoberichte mit zukunftsorientierter Betrachtung und unter Berücksichtigung von Stresstestergebnissen sowie Risikokonzentrationen.

 Fazit: Die WpI MaRisk stellen im Wesentlichen eine MaRisk-light-Variante für Wertpapierinstitute dar. Sie übertragen etablierte Governance-, Kontroll- und Risikomanagementprinzipien auf das WpIG-Regime, jedoch unter ausdrücklicher Anwendung des Proportionalitätsprinzips und unter Berücksichtigung der besonderen Geschäftsstruktur von Wertpapierinstituten.

Das Konsultationspapier EBA/CP/2026/18 zu den neuen Regulatory Technical Standards (RTS) für das Management operationeller Risiken konkretisiert Art. 323 CRR III. Ziel ist das Schaffen eines einheitlichen Mindeststandards für alle Institute in der EU unter Berücksichtigung der jeweiligen Größe und Komplexität. Hintergrund ist die Ablösung der internen Modelle (unter anderem AMA) durch einen einheitlichen Standardansatz im Zuge von Basel III.

Wesentliche Inhalte

• Kernelemente des Rahmenwerks
  • Governance: Verantwortlichkeiten von Leitungsorgan (Aufsichts- und Geschäftsleitungsfunktion), Senior Management und einer unabhängigen Risikomanagementfunktion (2nd Line of Defence)
  • Risikomanagementprozess: Laufende Identifizierung, Bewertung, Überwachung, Steuerung, Minderung und Berichterstattung operationeller Risiken
  • Risikobewertungssystem: Berechnung der Geschäftsindikator-Komponente und (ab Geschäftsindikator ≥ 750 Mio. EUR) des jährlichen Verlusts aus operationellem Risiko, ergänzt durch zukunftsgerichtete Instrumente (Szenarioanalysen, Stresstests, Risiko-/Kontrollbewertungen)
• Fokus auf Proportionalität

Die Anforderungen gelten für alle Institute, sind aber gestaffelt nach dem Geschäftsindikator-Schwellenwert 750 Mio. EUR, unter anderem:

• Häufigkeit der Wirksamkeitsprüfung (jährlich vs. alle zwei Jahre)
• Ausgestaltung der operationalen Risikoappetit-Festlegung
• Umfang der Datenerhebung (insbesondere Relevanz von Verlusten unter 20.000 EUR für die Verlustdatensammlung)
• Verbindlichkeit der EBA-Taxonomie
• Berichtsfrequenz an das Leitungsorgan (quartalsweise vs. jährlich)

Bemerkenswert ist, dass sich die EBA gegen die Nutzung des SNCI-Kriteriums (Small and Non-Complex Institution) entschieden hat.

• Weitere Aspekte
  • ICT-Risikomanagement nach DORA: DORA-konforme ICT-Risikomanagement-Prozesse können genutzt werden, um die neuen Anforderungen zu erfüllen und Doppelarbeiten zu vermeiden.
  • Zukunftsgerichteter Ansatz: Das OpRisk soll nicht ausschließlich über Verlustdaten gesteuert werden. Zu berücksichtigen sind auch Szenarioanalysen, Beinahe-Verluste und Schwachstellen in Prozessen und Kontrollen. Außerdem sind zunehmend relevante Risikotreiber (ESG-Risiken, KI-Risiken und geopolitische Risiken) einzubeziehen. Für kleine bzw. weniger komplexe Institute sind vereinfachte Ansätze möglich.

Bedeutung für Banken

Die geplante RTS würde eine Harmonisierung eines Bereichs bewirken, der bisher heterogen gehandhabt wurde. Zentrale Auswirkungen:

• Governance-Anforderungen werden konkretisiert: Leitungsorgan muss Risikoappetit jährlich definieren/genehmigen, Senior Management muss dies in quantitative Limits übersetzen (bislang zum Teil informelle Prozesse).
• Unabhängige OpRisk-Funktion wird verpflichtend präzisiert: Klare Abgrenzung zur 1st und 3rd Line of Defence.
• Dokumentationspflichten steigen: Governance, Risikoappetit, Prozesse, Kontrollen müssen lückenlos und prüfbar dokumentiert sein.
• Datenerhebung wird strukturierter: Verluste, Beinahe-Verluste sowie key risk and control indicators müssen systematisch erfasst werden.
• Verzahnung mit DORA und bestehenden ICT-Risikoprozessen sinnvoll.

 Bedeutung für Regionalbanken

Der Schwellenwert von 750 Mio. EUR Geschäftsindikator wird von den meisten Sparkassen, Volksbanken und kleineren Regionalinstituten unterschritten. Für sie sind insofern Erleichterungen möglich, aber keine vollständige Befreiung von den neuen Anforderungen.

Banken sollten insofern frühzeitig ihren aktuellen Geschäftsindikator prüfen (Art. 314 CRR), da ein Überschreiten der 750-Mio.-Schwelle (basierend auf dem Konsultationsentwurf) deutlich strengere Pflichten auslösen wird: quartalsweise Berichterstattung, erweiterter Datensatz inklusive Szenarioanalysen/Stresstests, verpflichtende Taxonomie-Konsistenz.

Konsultation bis 31.12.2026: Das Papier enthält 16 Fragen an die Marktteilnehmer, unter anderem zu Definitionen, Proportionalitätsschwellen, Verlustdatenerfassung, Taxonomie-Konsistenz und der Unabhängigkeit der Risikomanagementfunktion.

Fazit: Die EBA verlagert den Fokus von einer rein regulatorischen Kapitalbetrachtung auf ein aktives, datengetriebenes und zukunftsorientiertes Management operationeller Risiken. Für größere Institute (Geschäftsindikator ≥ 750 Mio. EUR) entstehen zusätzliche Anforderungen insbesondere bei Datenmanagement, Taxonomie, Szenarioanalysen und Reporting. Für kleinere, wenig komplexe Institute bleibt eine proportionale Ausgestaltung möglich.