検証の対象は、モジュールの承認済みアルゴリズム（それぞれ CAVP でテストされます。たとえば 2024年以降の ML-KEM と ML-DSA の証明書）、自己テスト、鍵管理、物理的セキュリティ（レベル 2〜4 では改ざんの痕跡、改ざんへの応答、動作環境の異常に対する保護が加わります）、ロールとサービスです。検証済みモジュールは、承認済みのサービスをセキュリティポリシーに列挙しています。承認されていないアルゴリズムやモードを使えば、検証済みモジュールの内部であっても、その処理は FIPS に準拠しません。
FIPS 140-2 の試験は 2021年に終了し、残っていた FIPS 140-2 の証明書も 2026年9月に CMVP のヒストリカルリストへ移されました。そのため、米国連邦政府の新規調達には FIPS 140-3 のモジュールが必要です。検証の待ち行列は長く（1 年を超えることも珍しくありません）、製品のリリース計画を左右します。