Om ett gemenskapssystem saknas om informationssäkerhet måste de upphandlande myndigheterna eller enheterna eller medlemsstaterna definiera dessa krav i enlighet med sina nationella lagar och andra bestämmelser och fastställa huruvida de anser att säkerhetskontrollsystem som utfärdats i enlighet med den nationella lagen i en annan medlemsstat är likvärdiga med dem som utfärdats av dess egna behöriga myndigheter .