La validación abarca los algoritmos aprobados del módulo (cada uno probado en el CAVP; por ejemplo, hay certificados de ML-KEM y ML-DSA desde 2024), las autopruebas, la gestión de claves, la seguridad física (los niveles 2 a 4 añaden evidencia de manipulación, respuesta ante manipulaciones y protección frente a condiciones ambientales) y los roles y servicios. Un módulo validado enumera sus servicios aprobados en una política de seguridad; usar un algoritmo o un modo no aprobado significa que la operación no cumple FIPS aunque se haga dentro de un módulo validado.
Las pruebas FIPS 140-2 terminaron en 2021 y los certificados FIPS 140-2 restantes pasaron a la lista histórica del CMVP en septiembre de 2026, así que las nuevas adquisiciones federales de Estados Unidos necesitan módulos FIPS 140-3. Las colas de validación son largas (a menudo más de un año), lo que condiciona los planes de lanzamiento de los productos.