MaRisk und DORA: die Schnittstellen der 9. MaRisk-Novelle

Diese Seite gilt für beide Rahmen: für Kreditinstitute im Vollrahmen nach Art. 5 bis 15 DORA, die DORA seit dem 17.01.2025 anwenden, und für die Institute nach § 1a Abs. 2a KWG (hier: KWG-Gruppe), die ab dem 01.01.2027 den vereinfachten Rahmen nach Art. 16 anwenden. Für Versicherer gilt statt der MaRisk die MaGo (DORA für Versicherer), für Kapitalverwaltungsgesellschaften die KAMaRisk.

Wo berührt die MaRisk 2026 DORA?

An mehreren Stellen. Die BaFin hat die 9. Novelle am 30.06.2026 als Rundschreiben 06/2026 (BA) veröffentlicht und beschreibt sie als stärker prinzipienbasiert, mit weiteren Erleichterungen für kleine und sehr kleine Institute. Für DORA-Anwender sind vor allem diese Stellen wichtig:

• AT 2.2: IKT-Risiken sind Teil der operationellen Risiken und ausdrücklich in die Risikoinventur einzubeziehen.
• AT 4.2: Die Geschäftsleitung legt eine IKT-Strategie fest, die mit einer DOR-Strategie in einem Dokument stehen darf.
• AT 4.4.2: Die Compliance-Funktion darf mit der IKT-Risikokontrollfunktion nach Art. 6 Abs. 4 DORA kombiniert werden (Erläuterung zu Tz. 3), Einzelheiten zur Kontrollfunktion auf der Seite IKT-Risikomanagement.
• AT 7.3: Das Notfallkonzept knüpft an den DORA-Begriff „kritische oder wichtige Funktionen“ an.
• AT 8.2: Vor wesentlichen Veränderungen in Organisation und IKT-Systemen sind die Auswirkungen auf die Kontrollen zu analysieren, auch bei der DORA-Umsetzung.
• AT 9: IKT-Dienstleistungen, die Art. 28 bis 30 DORA unterliegen, fallen nicht in den Anwendungsbereich des AT 9.

Die Seite beschreibt die Fassung 06/2026. Einen Vergleich mit früheren Fassungen enthält sie nicht.

Für wen gilt die MaRisk neben DORA?

Für alle Institute nach § 1 Abs. 1b KWG, die nicht direkt von der EZB beaufsichtigt werden (AT 2.1 Tz. 1), für Finanzdienstleistungsinstitute aber nur anteilig:

Welcher DORA-Rahmen für ein Institut gilt, klärt die Seite DORA-Anwendungsbereich, was im Art.-16-Rahmen zu tun ist, die Seite Art. 16 DORA.

AT 4.2: Was verlangt die MaRisk zur IKT-Strategie?

Eine IKT-Strategie, die zur Geschäftsstrategie passt. AT 4.2 Tz. 2 verlangt: „Die Geschäftsleitung muss eine mit der Geschäftsstrategie konsistente und nachhaltige IKT-Strategie festlegen.“ Ist ein Institut zu einer DOR-Strategie verpflichtet, dürfen IKT-Strategie und DOR-Strategie abhängig von Größe und Gesamtrisikoprofil in einem gemeinsamen Dokument stehen (Tz. 2) oder in die Geschäftsstrategie integriert werden (Tz. 4). Was die DOR-Strategie im Vollrahmen enthalten muss und wie sie sich zur IT-Strategie verhält, erklärt die Seite IKT-Risikomanagement.

Für Finanzdienstleistungsinstitute ist AT 4.2 nicht unter den Modulen, die AT 2.1 Tz. 2 ausdrücklich nennt, eine IKT-Strategie ist für sie keine sichere Pflicht. Was im Art.-16-Rahmen zur IT-Strategie gilt, steht auf der Seite Art. 16 DORA.

AT 2.2: Wie kommt das IKT-Risiko in die Risikoinventur?

Als Teil der operationellen Risiken, die die MaRisk grundsätzlich als wesentlich einstuft. Die Erläuterung zu AT 2.2 sagt: „Informations- und Kommunikationstechnologierisiken (IKT-Risiken) sind ein Bestandteil der operationellen Risiken und in die Risikoinventur explizit einzubeziehen.“ Die Risikoinventur verschafft der Geschäftsleitung regelmäßig und anlassbezogen einen Überblick über das Gesamtrisikoprofil (AT 2.2 Tz. 1).

Die Bewertung der IKT-Risiken selbst entsteht im DORA-Rahmen: im Vollrahmen im IKT-Risikomanagementrahmen nach Art. 6, im Art.-16-Rahmen in der regelmäßigen, dokumentierten IKT-Risikobewertung nach RTS 2024/1774 Art. 31. Beide verlangen Risikotoleranzschwellen im Einklang mit der Risikobereitschaft des Instituts (Art. 6 Abs. 8 lit. b DORA, RTS Art. 31 Abs. 1 lit. a). Die Schnittstelle liegt damit beim Risikoappetit, den die Geschäftsleitung nach AT 4.2 Tz. 2 für alle wesentlichen Risiken festlegt: Aus ihm werden die IKT-Toleranzschwellen abgeleitet, und die Ergebnisse der IKT-Risikobewertung gehen in die Inventur zurück.

AT 7.3: Notfallkonzept und DORA-Geschäftsfortführung

Beide gelten, und sie nutzen denselben Begriff. AT 7.3 Tz. 1 verlangt: „Für Aktivitäten und Prozesse, die kritische oder wichtige Funktionen darstellen, ist Vorsorge durch ein Notfallkonzept zu treffen.“ Für Finanzdienstleistungsinstitute hebt AT 2.1 Tz. 2 das Modul AT 7 ausdrücklich hervor, auch im Art.-16-Rahmen. Wie die übrige MaRisk gilt es für sie, soweit nach Größe und Geschäft geboten. Die Aufsichtsmitteilung vom 21.08.2025 sieht im vereinfachten Rahmen zwar kein Notfallkonzept mehr vor, sektorale Vorgaben zum Notfallmanagement gelten aber weiter.

Unsere Empfehlung: AT 7.3 führt beim Notfallkonzept für das ganze Institut, DORA beim IKT-Teil. Art. 11 Abs. 1 DORA erlaubt ausdrücklich, die IKT-Geschäftsfortführungsleitlinie als Bestandteil der allgemeinen Geschäftsfortführungsleitlinie zu verabschieden. Beide Seiten arbeiten mit einer Funktionsliste und einer BIA, und der Quartalsbericht nach AT 7.3 enthält die Ergebnisse der IKT-Tests.

AT 9 und Art. 28 bis 30: welche Regel gilt für welchen Dienstleister?

Für IKT-Dienstleistungen DORA, für die übrigen Auslagerungen AT 9. Die Erläuterung zu AT 9 Tz. 1 lautet: „Ausgelagerte oder fremdbezogene IKT-Dienstleistungen gemäß Art. 3 Nr. 21 DORA, die dem IKT-Drittparteienrisikomanagement gemäß Art. 28-30 DORA unterliegen, fallen nicht in den Anwendungsbereich des AT 9.“ Für die Zuordnung zählt das Wort „unterliegen“:

Eine wesentliche Auslagerung nach AT 9 ist nicht dasselbe wie eine Dienstleistung, die eine kritische oder wichtige Funktion unterstützt. Die Abgrenzung mit Beispielen steht auf der Seite Kritische oder wichtige Funktionen.

Auch die Organisation berührt sich: AT 9 Tz. 12 verlangt, abhängig von Art, Umfang und Komplexität der Auslagerungen, ein zentrales Auslagerungsmanagement mit vollständigem Auslagerungsregister. Im Vollrahmen verlangt Art. 5 Abs. 3 DORA von Instituten, die keine Kleinstunternehmen sind, eine Funktion zur Überwachung der IKT-Verträge, die die BaFin mit dem (zentralen) Auslagerungsbeauftragten vergleicht. Im Art.-16-Rahmen ist eine solche Funktion nicht vorgeschrieben. Laut BaFin entfällt bei gruppeninternen IKT-Dienstleistungen der Verzicht auf Ausstiegsstrategien und Handlungsoptionen, den AT 9 Tz. 14 lit. d MaRisk 06/2026 für gruppen- und verbundinterne Auslagerungen vorsieht. Wie Sie Ihre IKT-Dienstleister nach Art. 28 bis 30 steuern, steht auf der Seite IKT-Drittdienstleister steuern, das Register nach Art. 28 Abs. 3 auf der Seite Informationsregister.

AT 8.2: Ist die DORA-Umsetzung eine wesentliche Veränderung?

Das müssen Sie prüfen. AT 8.2 Tz. 1 verlangt vor wesentlichen Veränderungen in der Aufbau- und Ablauforganisation und in den IKT-Systemen eine Analyse der Auswirkungen auf Kontrollverfahren und Kontrollintensität, unter Beteiligung von Risikocontrolling-Funktion, Compliance-Funktion und Interner Revision. Die BaFin empfiehlt in ihren FAQ, je nach Umfang der DORA-Anpassungen in einer Wesentlichkeitsanalyse zu prüfen, ob die Voraussetzungen von AT 8.2 vorliegen.

Im laufenden Betrieb ergänzen sich die Regeln: Das Änderungsmanagement nach DORA erfasst jede Änderung an IKT-Systemen (Vollrahmen RTS Art. 17, Art.-16-Rahmen RTS Art. 38). AT 8.2 kommt bei wesentlichen Veränderungen hinzu und fragt nach den Folgen für die Kontrollen. Praktisch heißt das: eine Pflichtfrage „wesentlich im Sinne von AT 8.2?“ im Änderungsantrag, mit festgelegten Kriterien.

Schnittstellenmatrix: wer führt, wer verweist

Frei erfundenes Beispiel, kein Kunde: Die Musterbank AG ist eine Regionalbank mit 180 Beschäftigten, ein CRR-Kreditinstitut ohne direkte EZB-Aufsicht. Sie wendet die MaRisk vollständig und DORA seit dem 17.01.2025 im Vollrahmen an. Ihr Kernbankensystem bezieht sie als Dienst eines Rechenzentrums, Teile der Internen Revision übernimmt eine Prüfungsgesellschaft. Im November 2026 legt sie fest, welche Regel an jeder Schnittstelle führt und welches Dokument die andere Regel bedient. Die letzte Spalte zeigt, was beim Musterinstitut dieser Website anders ist: der Muster-Factoring GmbH mit 23 Beschäftigten und 61 Mio. EUR Bilanzsumme, also kein Kleinstunternehmen, die ab dem 01.01.2027 Art. 16 anwendet.

Schnittstellenmatrix MaRisk ↔ DORA (Vorlage, fiktiv ausgefüllt, Stand 06.11.2026):

Die Spalte „Wer führt, wer verweist“ ist unsere Empfehlung für eine widerspruchsfreie Dokumentation, keine Vorgabe der Aufsicht. Wo die Musterbank zwei Regelwerken in einem Dokument folgt, nennt das Dokument beide Fundstellen.

Drei typische Lücken

Beispiel, Matrix und Lücken sind unsere fachliche Einordnung aus dem Wortlaut von MaRisk, DORA, RTS und den Aufsichtsmitteilungen der BaFin.

Wie wir unterstützen

Kreditinstitute im Vollrahmen beginnen mit der DORA-Gap-Analyse: Sie zeigt, wo MaRisk-Dokumente und DORA-Nachweise auseinanderlaufen, und endet mit einem Maßnahmenplan. Institute der KWG-Gruppe, die zum 01.01.2027 von der BAIT wechseln, finden die Verzahnung mit der MaRisk im Umstiegspaket von der BAIT auf Art. 16.