Klassifizierte Informationen dürfen nur mit IKT-Systemen, Algorithmen und in Arbeitsprozessen verarbeitet, gespeichert und übermittelt werden, welche für die jeweiligen Klassifizierungsstufen geeignet sind. Die Beurteilung der Eignung ist in Abstimmung mit den Vorgaben der Informationssicherheitskommission gemäß § 8 des Informationssicherheitsgesetzes durch einen vom Präsidenten des Nationalrates im Einvernehmen mit dem Vorsitzenden des Bundesrates beauftragten unabhängigen Sachverständigen zu treffen, wobei eine regelmäßige Überprüfung in Bezug auf geänderte Rahmenbedingungen zu vereinbaren ist.