7.1 Behördenleitungen wichtiger Einrichtungen nach Nummer 3.1 sind für die Umsetzung der nach Nummer 4 zu ergreifenden Risikomanagementmaßnahmen verantwortlich. Sie veranlassen die erforderlichen Maßnahmen und überwachen deren Umsetzung.

7.2 Die Behördenleitungen wichtiger Einrichtungen nach Nummer 3.1 nehmen regelmäßig an Schulungen teil, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken sowie Managementpraktiken im Bereich der Sicherheit in der Informationstechnik und deren Auswirkungen auf die von der Einrichtung erbrachten Dienste zu erwerben.

7.3 Die zuständige Behörde erstellt Konzepte für die Schulung von Behördenleitungen und stellt diese den wichtigen Einrichtungen nach Nummer 3.1 zur Verfügung. Die zuständige Behörde bietet bei Bedarf jährlich eine eigene Schulung nach Nummer 7.2 an.