A validação abrange os algoritmos aprovados do módulo (cada um testado pelo CAVP, por exemplo, os certificados de ML-KEM e ML-DSA desde 2024), os autotestes, o gerenciamento de chaves, a segurança física (os níveis de 2 a 4 acrescentam evidência de adulteração, resposta à adulteração e proteção ambiental) e os papéis e serviços. Um módulo validado lista seus serviços aprovados em uma política de segurança; usar um algoritmo ou modo não aprovado significa que a operação não está em conformidade com o FIPS, mesmo dentro de um módulo validado.
Os testes do FIPS 140-2 terminaram em 2021, e os certificados FIPS 140-2 restantes passaram para a lista histórica do CMVP em setembro de 2026, então as novas aquisições federais dos EUA exigem módulos FIPS 140-3. As filas de validação são longas (muitas vezes, mais de um ano), o que condiciona os planos de lançamento de produtos.