Тези планове трябва да показват как агенцията ще провери дали придобитото оборудване, софтуер или услуги отговарят на нуждите на потребителите и отговарят на изискванията за сигурност.
В доклада се посочва, че агенцията не е квалифицирана да обработва swcurity информация.