Сертификация охватывает одобренные алгоритмы модуля (каждый проходит тестирование по программе CAVP; например, сертификаты для ML-KEM и ML-DSA выдаются с 2024 года), самотестирование, управление ключами, физическую защиту (на уровнях 2–4 добавляются индикация вскрытия, ответные меры при вскрытии и защита от внешних воздействий), а также роли и сервисы. Сертифицированный модуль перечисляет свои одобренные сервисы в политике безопасности; если использовать неодобренный алгоритм или режим, операция не соответствует FIPS даже внутри сертифицированного модуля.
Испытания по FIPS 140-2 завершились в 2021 году, а оставшиеся сертификаты FIPS 140-2 в сентябре 2026 года перенесены в исторический список CMVP, поэтому для новых федеральных закупок в США нужны модули с FIPS 140-3. Очереди на сертификацию длинные (часто больше года), и это влияет на планы выпуска продуктов.