Im NIS-2-Umsetzungsgesetz ist ausdrücklich geregelt, dass die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen verpflichtet sind, die Risikomanagementmaßnahmen nach diesem Gesetz umzusetzen und deren Umsetzung zu überwachen. Außerdem ist vorgesehen, dass die Geschäftsleitungen regelmäßig an Schulungen teilnehmen müssen, um über ausreichende Kenntnisse im Bereich Cybersicherheit zu verfügen. Eine mögliche persönliche Haftung von Geschäftsführungen für schuldhaft verursachte Schäden richtet sich nach den einschlägigen zivilrechtlichen Regelungen. Wenn solche fehlen sollten, kann sich eine Rechtsgrundlage für eine Haftung auch unmittelbar aus dem NIS-2-Umsetzungsgesetz ergeben.