Solange es keine gemeinschaftliche Regelung über Informationssicherheit gibt, ist es Sache der Auftraggeber oder der Mitgliedstaaten, diese Anforderungen im Einklang mit ihren nationalen Rechtsvorschriften festzulegen und zu entscheiden, ob sie nach den nationalen Rechtsvorschriften eines anderen Mitgliedstaats mit positivem Ergebnis durchgeführte Sicherheitsüberprüfungen als den von ihren eigenen zuständigen Behörden mit positivem Ergebnis durchgeführten Sicherheitsüberprüfungen gleichwertig ansehen.
Bij gebrek aan een communautaire regeling inzake gegevenbeveiliging is het aan de aanbestedende diensten of de lidstaten om eisen op dit gebied vast te stellen, met inachtneming van hun nationale wettelijke en bestuursrechtelijke bepalingen, en te bepalen of zij overeenkomstig de nationale wet van een andere lidstaat afgegeven betrouwbaarheidsverklaringen beschouwen als evenwaardig met degene die door hun eigen bevoegde autoriteiten worden afgegeven.
