Säkerhetskrav ska vara spårbara, testbara och versionerade — härledda ur cyber-fysisk risk och konsekvens.