1. Toto nařízení nebrání členským státům v tom, aby při zadávání zakázek na produkty s digitálními prvky nebo při jejich používání pro konkrétní účely, mimo jiné v případech, kdy jsou tyto produkty pořizovány či používány pro účely národní bezpečnosti nebo obrany, vyžadovaly, aby se na tyto produkty vztahovaly dodatečné požadavky na kybernetickou bezpečnost, a to za předpokladu, že takové požadavky jsou v souladu s povinnostmi členských států stanovenými v právu Unie a jsou nezbytné a přiměřené z hlediska dosažení těchto účelů.
2. Aniž jsou dotčeny směrnice 2014/24/EU a 2014/25/EU, v případech, kdy jsou pořizovány produkty s digitálními prvky, které spadají do oblasti působnosti tohoto nařízení, členské státy zajistí, aby byl při zadávání příslušných zakázek zohledněn soulad se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I tohoto nařízení, včetně schopnosti výrobců účinně řešit zranitelnosti.