Het belang van normen…

by Chris Gralike | 16 Jan 2026

In uiteenlopende Europese en nationale wet- en regelgeving duikt steevast dezelfde formule op: maatregelen moeten voldoen aan “de huidige stand van de techniek” (of state of the art). Voor velen klinkt dit vaag. Hoe stel je immers vast wat op dit moment de ‘stand van de techniek’ is?

In de praktijk grijpen organisaties en auditoren direct naar gevestigde standaarden: een ISO 27002, een CIS Benchmark of NIST. Voor techneuten leidt dat nogal eens tot cynisme. Normdocumenten lopen immers per definitie achter op wat op de werkvloer mogelijk is.

Toch zit hier een belangrijk dogmatisch onderscheid dat vaak over het hoofd wordt gezien: het verschil tussen de stand van de wetenschap, de stand van de techniek, en de algemeen erkende regels van de techniek:

Stand van de wetenschap: Wat theoretisch haalbaar is in laboratoria en academische papers.
Stand van de techniek: Wat in de praktijk effectief toepasbaar, beproefd en economisch beschikbaar is.
Erkende regels / normen (ISO/NIST): Wat door de markt breed is geaccepteerd, gedocumenteerd en geconsolideerd.

De wetgever verlangt zelden de 'latest and greatest' uit de academische hoek; dat zou onevenredig kostbaar en onwerkbaar zijn. Een norm biedt houvast door een realistisch minimumniveau vast te leggen.

Weerlegbaar vermoeden

Waarom zijn die normen dan zo dominant? Omdat certificering zorgt voor een zogeheten weerlegbaar vermoeden van overeenstemming.

Bij formeel geharmoniseerde Europese normen (zoals bevestigd in het James Elliott-arrest van het Hof van Justitie EU) geeft dit zelfs een wettelijk voordeel: wie de norm volgt, wordt geacht aan de wet te voldoen. Bij private standaarden zoals ISO 27001 levert het een zwaarwegend feitelijk vermoeden op. De bewijspositie kantelt: de organisatie toont aan de norm te volgen, waarna de tegenpartij of toezichthouder aannemelijk moet maken waarom dat in dit specifieke geval toch niet volstond.

Norm als navigator, niet als schild.

Hier wringt echter vaak de schoen. Een norm is een weerlegbaar vermoeden; het absoluut is geen vrijbrief. Waar organisaties een norm vaak hanteren als het plafond van hun inspanningen, ziet de rechter het louter als de vloer: het absolute minimumniveau dat sowieso verwacht mag worden.

De Hoge Raad heeft in toonaangevende arresten herhaaldelijk korte metten gemaakt met het idee dat blindelings de regels van een geconsolideerde norm volgen volstaat om aansprakelijkheid te ontlopen:

Kelderluik (1965): Aansprakelijkheid wordt bepaald door de concrete situatie (aard van het gevaar, de ernst van de gevolgen en de bezwaarlijkheid van voorzorgsmaatregelen). Zelfs als je formeel aan een industriële norm voldoet, kun je nalatig zijn als een kleine extra inspanning evident noodzakelijk was.
Jetblast (2003): Het plaatsen van een waarschuwingsbord conform de geldende normen ontslaat de beheerder niet van aansprakelijkheid als bekend is dat het publiek die waarschuwing in de praktijk negeert.
Hertel/Van der Lugt (2005): Het volgen van de gangbare praktijk en bestaande normen beschermt niet wanneer specialisten en vakliteratuur al lang wisten dat de risico's groter waren en betere bescherming vergden.

Waarom risicobeheersing centraal staat

Precies om deze reden draaien moderne normenkaders (zoals ISO 27001 of de NIS2-richtlijn) niet om vaste afvinklijstjes, maar om doorlopend risicomanagement:

De norm levert de basislijn: Het beschrijft bewezen best practices om bekende risico's af te dekken.
De context dicteert de afwijking: Een organisatie moet haar eigen risicoprofiel wegen. Zijn de standaardmaatregelen voldoende, of eist de actuele dreiging méér dan wat de norm uit 2022 voorschrijft?
Compliance is een proces, geen momentopname: Voldoen aan 'de stand van de techniek' betekent niet dat je wacht op een herziening van een ISO-norm; het betekent dat je aantoonbaar meebeweegt met het reële dreigingslandschap.

Samenvattend

Normen zijn onmisbaar: ze vertalen een abstracte wettelijke eis naar een realistisch, toetsbaar fundament en geven organisaties broodnodig houvast. Maar een norm is een kompas, geen schuilplaats. Het ware belang van normen ligt in het bieden van een solide ondergrens; de werkelijke stand van de techniek vraagt dat je zélf blijft nadenken over de risico's van vandaag.

Bronnen:

Hoge Raad 5 november 1965, ECLI:NL:HR:1965:AB7079 (Kelderluik-arrest)	De rechter toetst niet alleen of je aan de regels (of normen) voldoet, maar kijkt naar de specifieke situatie: Hoe groot is de kans op een ongeval? Hoe ernstig zijn de gevolgen? En hoe makkelijk was het om extra maatregelen te nemen?	Zelfs als je machine voldoet aan een ISO-veiligheidsnorm, kan een rechter oordelen dat je onrechtmatig hebt gehandeld omdat je in die specifieke situatie — met de kennis van nu — simpelere of betere veiligheidsmaatregelen had kunnen nemen.
Hof van Justitie EU, 27 oktober 2016, Zaak C-613/14 (James Elliott Construction)	Het Hof bevestigde dat geharmoniseerde Europese normen (zoals veel NEN-EN-ISO normen) deel uitmaken van het EU-recht.	Dit creëert het vermoeden van overeenstemming. Als jij deze norm volgt, wordt je geacht aan de wet te voldoen. Echter, de tegenpartij kan dit vermoeden 'weerleggen' door aan te tonen dat de norm in dit specifieke geval niet leidde tot een veilig product.
Hoge Raad 25 november 2005, ECLI:NL:HR:2004:AR3290 (Hertel/Van der Lugt)	De Hoge Raad oordeelde dat het voldoen aan de destijds gangbare praktijk of industriële normen niet per se ontslaat van aansprakelijkheid. Als de stand van de wetenschap (wat specialisten al wisten in vakbladen of rapporten) verder was dan de norm, had het bedrijf die kennis moeten gebruiken om werknemers te beschermen.	Specialisten lopen vaak voor op de norm. De wetgever kijkt naar wat mogelijk was om te weten, niet alleen naar wat er in het normdocument stond. Dit is waarom veel normen zoveel aandacht besteden aan het volgen van ontwikkelingen, doorlopende beoordeling en continu verbeteren.
Hoge Raad 16 mei 2003, ECLI:NL:HR:2003:AF4601 (Jetblast-arrest)	De Hoge Raad oordeelde dat het simpelweg plaatsen van een bord volgens de norm niet altijd voldoende is. De beheerder had moeten onderzoeken of die normatieve waarschuwing wel effectief genoeg was voor de specifieke gevaren ter plaatse.	Dit is een voorbeeld waarbij de tegenpartij succesvol bewees dat de 'norm' niet veilig genoeg was voor de feitelijke situatie.