Disse planene bør vise hvordan byrået vil verifisere at det anskaffede utstyret, programvaren eller tjenestene oppfyller brukernes behov og oppfyller sikkerhetskrav.
Rapporten sier at byrået ikke er kvalifisert til å håndtere sikkerhetsinformasjon.