NIS-2 verpflichtet Geschäftsleiter besonders wichtiger und wichtiger Einrichtungen persönlich: Sie müssen Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei Verstößen haften sie mit dem eigenen Vermögen, eine Haftungsfreistellung durch das Unternehmen ist ausgeschlossen.

Zur Sorgfaltspflicht gehört auch die Angriffsfläche der Leitungsebene selbst: Welche personenbezogenen Informationen über Vorstand und Geschäftsführung sind öffentlich auffindbar und ermöglichen CEO-Fraud, Spear-Phishing oder Voice-Cloning? Ein dokumentierter Executive Risk Report mit PDES-Score liefert die prüfbare Evidenz, dass diese Angriffsfläche bewertet und reduziert wurde.