Các kế hoạch này phải chỉ ra cách cơ quan sẽ xác minh rằng thiết bị, phần mềm hoặc dịch vụ được mua đáp ứng nhu cầu của người dùng và đáp ứng các yêu cầu bảo mật.
Báo cáo nêu rõ cơ quan này không đủ trình độ để xử lý thông tin bảo mật.