Eine Norm ist ein freiwilliges Dokument, das ein Normungsgremium im Konsens erarbeitet hat. Eine Richtlinie kann dreierlei sein: ein Rechtsakt der Europäischen Union, ein technisches Regelwerk eines Fachverbands oder eine interne Vorgabe eines Unternehmens. Verbindlich ist zunächst nur der Rechtsakt.
Was eine Norm ausmacht
Herausgeber sind Normungsorganisationen: ISO international, CEN europäisch, DIN national. Der Inhalt entsteht in Ausschüssen aus Herstellern, Anwendern, Behörden und Prüfstellen, die sich einigen müssen. Dieser Konsenszwang erklärt, warum Normtexte oft offen formuliert sind — schärfere Formulierungen hätten keine Mehrheit gefunden.
Die Anwendung ist freiwillig. Eine Norm ist kein Gesetz und wird auch nicht dadurch zu einem, dass sie im Bundesanzeiger erwähnt wird.
Die drei Bedeutungen von Richtlinie
| Typ | Herausgeber | Verbindlichkeit |
|---|---|---|
| EU-Richtlinie | Europäische Union | verbindlich für die Mitgliedstaaten, gilt für Unternehmen erst nach Umsetzung in nationales Recht |
| Verbandsrichtlinie, etwa VDI oder DVGW | Fachverband | freiwillig, kann den Stand der Technik abbilden |
| Interne Richtlinie | die Organisation selbst | intern verbindlich und im Audit ein Kriterium |
Die erste Zeile führt zur Verwechslung, die im Alltag am meisten kostet. Eine EU-Richtlinie richtet sich an die Mitgliedstaaten und wirkt für Unternehmen erst über das nationale Umsetzungsgesetz. Eine EU-Verordnung gilt dagegen unmittelbar.
Praktisch heißt das: Bei einer Richtlinie muss man das deutsche Umsetzungsgesetz lesen, nicht den EU-Text, und in anderen Mitgliedstaaten gelten Abweichungen im Detail. Bei einer Verordnung liest man den EU-Text. Wer NIS2 wie eine Verordnung behandelt, sucht Anforderungen an der falschen Stelle — und wer die Datenschutz-Grundverordnung „Datenschutzrichtlinie” nennt, tut das Umgekehrte.
Wann eine Norm doch verbindlich wird
Es gibt vier Wege, und alle führen von außen an die Norm heran:
- Vertrag. Eine Qualitätssicherungsvereinbarung verlangt ein Zertifikat nach ISO 9001 oder ISO/IEC 27001. Damit ist die Norm Vertragspflicht.
- Verweis im Recht. Eine Rechtsvorschrift nimmt eine Norm ausdrücklich in Bezug. Häufig als Vermutungswirkung über die harmonisierte Norm.
- Anerkannte Regeln der Technik. Gerichte ziehen Normen als Maßstab heran. Die Vermutung ist widerlegbar, in beide Richtungen.
- Eigene Übernahme. Die Organisation schreibt die Norm in ihre eigene Verfahrensanweisung.
Der teuerste Fehler ist der vierte Weg
Interne Richtlinien werden geschrieben, um Ordnung zu schaffen, und dann vergessen. Sie bleiben trotzdem Auditkriterium, solange sie in Kraft sind.
Eine Konzernrichtlinie, die eine quartalsweise Wirksamkeitsprüfung fordert, erzeugt vier Nachweispflichten pro Jahr — auch wenn keine Norm das verlangt und niemand mehr weiß, warum das einmal so festgelegt wurde. Der saubere Weg ist, solche Vorgaben außer Kraft zu setzen, statt sie stillschweigend zu ignorieren.