Respondi essa questão por um ângulo completamente diferente.
A assertiva diz que o motivo para que os usuários sejam informados é unicamente porque eles são responsáveis pelas consequências de eventos.
Ocorre que, antes de tudo, é preciso entender que não existe uma regra de responsabilidade universal para todas as organizações e situações. A responsabilidade por eventos adversos às vezes vai ser do usuário, e outras vezes não (podendo recair sobre o setor de suporte, a chefia do setor de negócio, consultores externos, vendedores de software de segurança, ou apenas sobre a pessoa jurídica sem imputação a nenhum indivíduo específico), a depender das políticas internas da organização e até mesmo da legislação aplicável à relação dos usuários com essa organização - se são empregados, prestadores de serviço, clientes etc.
Em vista disso, o motivo para que os usuários sejam conscientizados a respeito da segurança da informação não pode ser simplesmente porque eles serão responsabilizados, até porque isso não necessariamente é verdade, mas sim porque ter usuários conscientes, por si só, já ajuda a evitar falhas de segurança! Ou seja, a educação sobre segurança da informação é uma estratégia para evitar brechas, e não (ao menos priomordialmente) para proteger o usuário de eventual responsabilidade.