(4) Splnění požadavku podle odstavce 2 se nevyžaduje u systému
jestliže systém nenakládá s utajovanou informací cizí moci Organizace Severoatlantické smlouvy a se zvážením identifikovaných rizik je v analýze rizik nebo popisu bezpečnosti systému uvedeno jako dostačující splnění podmínek pro přístup fyzické osoby k utajované informaci stupně utajení shodného s nejvyšším stupněm utajení utajovaných informací, se kterými může systém nakládat.

a) malého rozsahu, kterým se rozumí systém mající nejvýše 30 uživatelů, nebo

b) zpracovávajícího pouze taktické utajované informace,