MaRisk, BAIT und DORA: Was für deutsche Institute jetzt gilt

Kurzantwort: Für deutsche Institute gelten seit dem 30. Juni 2026 die neuen MaRisk (BaFin-Rundschreiben 06/2026 (BA)); zusätzliche Anforderungen sind bis zum 1. Januar 2027 umzusetzen. Das IT-Risiko regelt DORA, die seit dem 17. Januar 2025 unmittelbar gilt. Die BAIT verlieren ihre Bedeutung: Die BaFin hebt sie mit Ablauf des 31. Dezember 2026 vollständig auf.

Dieser Überblick richtet sich an Heads of Compliance, Heads of Legal, Auslagerungs- und Informationssicherheitsverantwortliche in Banken und Finanzdienstleistungsinstituten in Deutschland. Er zeigt, wie MaRisk, BAIT und DORA heute zusammenwirken, welche Fristen laufen und welche Kapazität der Übergang bindet.

Worum geht es bei MaRisk, BAIT und DORA?

MaRisk, BAIT und DORA regeln gemeinsam das Risikomanagement deutscher Institute, aber mit unterschiedlichem Rang und Zuschnitt. Seit 2025 verschiebt sich das Gewicht vom nationalen Rundschreiben zur europäischen Verordnung.

• MaRisk: Die Mindestanforderungen an das Risikomanagement konkretisieren § 25a Abs. 1 KWG und präzisieren § 25b KWG zur Auslagerung (AT 1 Tz. 1). Die 9. Novelle (Rundschreiben 06/2026 (BA) vom 30. Juni 2026) ist laut BaFin stärker prinzipienbasiert und weniger komplex; Erläuterungen wurden gestrichen, das Anforderungsniveau wurde nach dem Übersendungsschreiben der BaFin nicht grundsätzlich abgesenkt.
• BAIT: Die Bankaufsichtlichen Anforderungen an die IT (Rundschreiben 10/2017 (BA), zuletzt in der Fassung vom 16. Dezember 2024) konkretisierten die IT-Vorgaben. Sie werden schrittweise aufgehoben.
• DORA: Die Verordnung (EU) 2022/2554 regelt IKT-Risikomanagement, Vorfallmeldungen, Resilienztests und IKT-Drittparteienrisiko unmittelbar und EU-weit (Art. 64).

Die neue MaRisk grenzt sich ausdrücklich von DORA ab: IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, fallen nicht unter das Auslagerungsmodul AT 9 (AT 9 Tz. 1, Erläuterung). Zudem überführt die Novelle die Aufsichtsmitteilung der BaFin vom 26. November 2024 in den Regelungstext.

Wer ist betroffen?

Die MaRisk gelten für Institute nach § 1 Abs. 1b KWG und § 53 Abs. 1 KWG, sofern sie nicht als bedeutende Institute direkt von der EZB beaufsichtigt werden, sowie für CRD-Drittstaatenzweigstellen (AT 2.1 Tz. 1). Welche IT-Vorgaben gelten, hängt davon ab, ob und ab wann ein Institut DORA anwendet.

Kleinere Unternehmen, die unter Art. 16 DORA fallen, wenden einen vereinfachten IKT-Risikomanagementrahmen an. Die BaFin hat dazu am 21. August 2025 eine eigene Aufsichtsmitteilung veröffentlicht.

Fristen und Stand

Die Umstellung läuft Ende 2026 aus: Dann enden die BAIT, und die Übergangsfrist der neuen MaRisk läuft ab.

Die Übergangsfrist bis 1. Januar 2027 gilt auch, wenn ein Institut die Hinweise der Aufsichtsmitteilung vom 26. November 2024 dokumentiert abweichend ausgelegt hat und sich nun organisatorisch anpassen muss.

Was Institute jetzt tun müssen

Institute sollten bis Jahresende ihr Regelwerk auf die neue Rangfolge umstellen: DORA für IKT, MaRisk für das übrige Risikomanagement, BAIT nur noch als Auslaufmodell.

1. Gap-Analyse MaRisk 06/2026: Anforderungen, die gegenüber der Fassung von 2023 neu oder geändert sind, identifizieren und bis 1. Januar 2027 umsetzen; Tz.-Verweise in Richtlinien aktualisieren.
2. BAIT-Verweise ablösen: Schriftlich fixierte Ordnung, IT-Strategie und Kontrollen auf DORA und die Technischen Regulierungsstandards umstellen; für Finanzdienstleistungsinstitute ist der 1. Januar 2027 der Stichtag.
3. Auslagerung und IKT-Drittparteien trennen: Je Dienstleistung prüfen, ob AT 9 MaRisk oder Art. 28–30 DORA greift, und Auslagerungsregister und Informationsregister abgleichen.
4. Verträge nachziehen: IKT-Verträge auf die wesentlichen Vertragsbestimmungen nach Art. 30 DORA prüfen; Auslagerungsverträge außerhalb von DORA weiter an AT 9 messen.
5. Funktionen klären: Zuschnitt von Compliance-Funktion, IKT-Risikokontrollfunktion, Geldwäsche- und Datenschutzbeauftragten festlegen; die MaRisk erlauben die Kombination der Compliance-Funktion mit der IKT-Risikokontrollfunktion nach Art. 6 Abs. 4 DORA (AT 4.4.2 Tz. 3, Erläuterung).
6. Meldewesen und Register betreiben: DORA-Vorfallmeldungen (Art. 19) und das Informationsregister mit Stichtag 31. Dezember für die Einreichung bis 31. März vorbereiten.

Welche Rollen und Kapazitäten nötig sind

Die Umstellung ist überwiegend Regelwerks-, Vertrags- und Dokumentationsarbeit. Sie trifft Compliance, Recht, Auslagerungsmanagement und Informationssicherheit zugleich.

Kapazitätsspitzen entstehen vor allem im vierten Quartal: Ende der BAIT, Ende der MaRisk-Übergangsfrist und Vorbereitung des Informationsregisters fallen zusammen.

Wie Interim-Unterstützung hilft

Interim-Fachkräfte schließen die Lücke zwischen Jahresendspitze und Grundlast, ohne dass das Institut dauerhaft Stellen schafft. Alpinum Solutions, der führende Anbieter für Interim Legal & Compliance in Deutschland, stellt Compliance Officers, Regulatory Specialists und Projektjuristen über Arbeitnehmerüberlassung (Staff Leasing) und Freelancing bereit – in Teilzeit oder Vollzeit (20–100 %), als Einzelperson oder Team, von Junior bis Senior. Die Alpinum Solutions GmbH verfügt über eine Erlaubnis zur Arbeitnehmerüberlassung der Regionaldirektion Hessen der Bundesagentur für Arbeit.

• Arbeitnehmerüberlassung: Das fachliche Weisungsrecht liegt beim Institut; die Fachkraft ist in die Organisation integriert.
• Freelancing: Die Fachkraft arbeitet eigenverantwortlich im Rahmen des vereinbarten Mandats, etwa für eine abgegrenzte Gap-Analyse.

Ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Institut und Alpinum gemeinsam ab.

Grenzen und Risiken

Die Gesamtverantwortung bleibt bei der Geschäftsleitung (AT 3.1 MaRisk); die letztendliche Verantwortung für das IKT-Risiko trägt das Leitungsorgan (Art. 5 Abs. 2 lit. a DORA). Ob ein Einsatz im Einzelfall eine Auslagerung darstellt, beurteilt und dokumentiert das Institut. Interim-Fachkräfte arbeiten nach den Vorgaben des Instituts und ersetzen weder Prüfer noch die interne Revision.

Häufige Fragen zu MaRisk, BAIT und DORA

Gelten die BAIT noch?

Nur noch übergangsweise und nur für Institute, die noch nicht unter DORA fallen. Institute, die seit dem 17. Januar 2025 DORA anwenden, sind seit Ablauf des 16. Januar 2025 aus dem Anwenderkreis ausgeschieden. Mit Ablauf des 31. Dezember 2026 hebt die BaFin die BAIT vollständig auf; danach gilt für IT-Risiken DORA.

Welche MaRisk-Fassung gilt aktuell?

Seit dem 30. Juni 2026 gilt das Rundschreiben 06/2026 (BA), die 9. Novelle. Sie trat mit Veröffentlichung in Kraft. Soweit sich daraus zusätzliche Anforderungen ergeben, gewährt die BaFin eine Übergangsfrist bis zum 1. Januar 2027. Die Novelle ist prinzipienbasierter und überführt die Aufsichtsmitteilung vom 26. November 2024 in den Regelungstext.

Gilt AT 9 MaRisk noch für IT-Dienstleister?

Für IKT-Dienstleistungen nach Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, nicht mehr. Sie fallen ausdrücklich aus dem Anwendungsbereich des AT 9. Für andere Auslagerungen, etwa fachliche Prozesse ohne IKT-Bezug, bleiben Risikoanalyse und Vertragsanforderungen nach AT 9 maßgeblich.

Gelten die MaRisk für bedeutende Institute?

Nein. Die MaRisk richten sich nach AT 2.1 Tz. 1 an Institute nach § 1 Abs. 1b und § 53 Abs. 1 KWG, sofern sie nicht als bedeutende Institute im Sinne der SSM-Verordnung direkt von der EZB beaufsichtigt werden. DORA gilt dagegen unabhängig von dieser Einstufung, also auch für bedeutende Institute.

Gilt das auch für Schweizer Banken?

Nein. MaRisk, BAIT und DORA sind deutsches bzw. EU-Recht. Schweizer Banken unterstehen der FINMA; die operationelle Resilienz regelt das FINMA-Rundschreiben 2023/1. Schweizer Gruppen mit Instituten in Deutschland müssen beide Rahmenwerke parallel bedienen.

Nächster Schritt

Nennen Sie uns Umfang, Fristen und Engpässe Ihres MaRisk- und DORA-Projekts. Wir zeigen Ihnen passende Profile oder ein Team-Setup.

• Regulatory Compliance und Regulatory Change
• Regulatorik-Radar: Fristen und Pflichten im Überblick
• DORA: Arbeitspakete für Legal und Compliance
• FINMA-Rundschreiben 2023/1 umsetzen
• Bedarf besprechen

Stand: 10. November 2026.