Die MaRisk gehören für Kredit- und Finanzdienstleistungsinstitute seit mehr als 20 Jahren zum aufsichtsrechtlichen Alltag. Sie bilden eine wichtige Grundlage für ein wirksames Risikomanagement. Am 30. Juni 2026 hat die BaFin die 9. MaRisk-Novelle veröffentlicht. Über die wesentlichen Neuerungen haben wir bereits berichtet. Doch wie sieht es bei Kapitalverwaltungsgesellschaften aus? Für sie gelten seit 2017 die Mindestanforderungen an das Risikomanagement von Kapitalverwaltungsgesellschaften – kurz KAMaRisk. Auch dieses Regelwerk wird nun grundlegend überarbeitet. Die gute Nachricht lautet daher: Ja, auch die KAMaRisk werden modernisiert.
KAMaRisk-Novelle: Was ist geplant?
Die BaFin hat einen Entwurf für die überarbeiteten KAMaRisk zur Konsultation gestellt. Damit beginnt für Kapitalverwaltungsgesellschaften eine wichtige Phase. Noch steht die endgültige Fassung nicht fest. Die Richtung der Änderungen ist jedoch bereits erkennbar. Für Geschäftsleitung, IT, Compliance, Risikomanagement und Interne Revision lohnt es sich deshalb, die geplanten Neuerungen frühzeitig zu betrachten. Im Mittelpunkt stehen sechs Themen.
AIFMD II und Fondsrisikobegrenzungsgesetz (FRiG)
Ein wichtiger Anlass für die Überarbeitung sind die neuen regulatorischen Vorgaben rund um die AIFMD II und deren Umsetzung in deutsches Recht. Besonders relevant sind die Änderungen für kreditvergebende AIF. Die KAMaRisk sollen an die neuen gesetzlichen Vorgaben angepasst werden. Für betroffene Kapitalverwaltungsgesellschaften bedeutet das: Bestehende Prozesse und Regelungen zur Kreditvergabe sollten mit den neuen Anforderungen abgeglichen werden.
Einfachere Anforderungen an die Kreditvergabe
Auch bei der Kreditvergabe selbst sind Änderungen vorgesehen. Die bisherigen KAMaRisk orientieren sich in diesem Bereich vergleichsweise stark an bankaufsichtlichen Vorgaben. Das soll sich ändern. Die Anforderungen sollen vereinfacht und stärker mit den gesetzlichen Vorgaben aus AIFMD II und KAGB verzahnt werden. Das kann in der Praxis zu weniger Komplexität führen. Gleichzeitig müssen KVGs prüfen, welche internen Vorgaben und Prozesse eine Anpassung benötigen.
Klare Trennung von DORA und KAMaRisk
Seit Januar 2025 gilt der Digital Operational Resilience Act (DORA) unmittelbar. Damit bestehen für Finanzunternehmen europaweit einheitliche Anforderungen an die digitale operationale Resilienz. Die KAMaRisk sollen deshalb von Doppelregelungen entlastet werden. Anforderungen, die bereits unmittelbar durch DORA abgedeckt sind, sollen nicht zusätzlich in den KAMaRisk geregelt werden. Das ist ein sinnvoller Schritt. Weniger Doppelregelungen können die Umsetzung erleichtern. Für KVGs bleibt jedoch wichtig, die Schnittstellen zwischen DORA, KAMaRisk und dem eigenen Informationssicherheitsmanagement sauber zu definieren.
Berücksichtigung ESG-Risiken
ESG-Risiken erhalten auch mehr Gewicht. Umweltbezogene, soziale und Governance-Risiken sollen ausdrücklich in den KAMaRisk berücksichtigt werden. Damit werden Nachhaltigkeitsrisiken noch stärker Bestandteil des Risikomanagements. Für Verantwortliche stellt sich daher die Frage: Sind ESG-Risiken bereits angemessen in Risikoanalysen, Strategien, Prozessen und Berichten berücksichtigt?
Anforderungen an die Interne Revision
Die Interne Revision ist ebenfalls von der Novelle betroffen. Die Anforderungen sollen an die neuen internationalen Standards für die Interne Revision angepasst werden. KVGs sollten deshalb frühzeitig prüfen, ob Revisionsordnung, Prüfungsplanung, Methodik und Dokumentation mit den neuen Vorgaben übereinstimmen. Dabei geht es nicht nur um formale Anpassungen. Entscheidend ist eine wirksame und nachvollziehbare Kontrollfunktion.
Mehr Proportionalität und weniger Bürokratie
Ein wichtiges Ziel der BaFin ist die Reduzierung von Komplexität. Man will die Anforderungen stärker harmonisieren. Gleichzeitig soll das Prinzip der Proportionalität eine wichtige Rolle spielen. Anforderungen sollen also angemessen zur Größe, zum Geschäftsmodell und zum Risikoprofil einer Gesellschaft umgesetzt werden. Das dürfte insbesondere für kleinere und weniger komplexe Kapitalverwaltungsgesellschaften interessant sein.
Neun Monate Umsetzungszeit
Ein Datum für die Veröffentlichung des endgültigen Rundschreibens steht noch nicht fest. Der aktuelle Entwurf sieht für bestimmte Anforderungen nach Veröffentlichung eine Übergangsfrist von neun Monaten vor. Neun Monate klingen zunächst komfortabel. In der Praxis können regulatorische Anpassungen jedoch schnell umfangreich werden. Prozesse müssen analysiert, Richtlinien geändert und Verantwortlichkeiten geklärt werden.
Hinzu kommen mögliche Anpassungen an Kontrollen, Dokumentationen und Prüfungspläne. Deshalb empfiehlt sich bereits jetzt eine erste Gap-Analyse. Welche Änderungen betreffen die eigene KVG? Wo bestehen Überschneidungen mit DORA? Welche Prozesse zur Kreditvergabe müssen überprüft werden? Und wie sind ESG-Risiken heute im Risikomanagement berücksichtigt? Wer diese Fragen frühzeitig beantwortet, schafft eine gute Grundlage für eine strukturierte Umsetzung.
Nach MaRisk ist also tatsächlich vor KAMaRisk. Die Novelle der Mindestanforderungen an das Risikomanagement von Kapitalverwaltungsgesellschaften nimmt Fahrt auf, und auch wenn die endgültige Fassung noch aussteht: Die Vorbereitung kann bereits heute beginnen. Sprechen Sie uns an – als Sicherheitsarchitekten bzw. als Berater in allen Fragen der Unternehmenssicherheit unterstützen wir Sie dabei.
Lothar Symanofsky berät bei Security Assist Mandanten zum Datenschutz und zur Informationssicherheit. Er hat bei zahlreichen Unternehmen, Behörden und Institutionen als externer Datenschutzbeauftragter und CISO nachhaltige und effiziente Management-Systeme implementiert.