Requisitos de segurança devem ser especificados de modo atômico, sendo cada mecanismo (autenticação, autorização, auditoria, criptografia, entre outros) tratado como um requisito independente; sua rastreabilidade deve vincular-se exclusivamente aos riscos de segurança identificados, sem necessidade de associação direta a requisitos funcionais.

Requisitos de desempenho devem ser especificados por meio de métricas quantitativas associadas a condições operacionais predeterminadas (como carga, concorrência e ambiente de execução), admitindo-se, contudo, que sua verificação possa ser realizada por técnicas analíticas ou de simulação quando a medição direta em ambiente real for inviável antes da implantação.

A priorização de requisitos não funcionais deve ocorrer necessariamente após a consolidação da lista de requisitos funcionais, uma vez que os Requisitos Não Funcionais dependem da definição estável das funcionalidades para que suas métricas possam ser adequadamente calibradas, sob pena de gerar esforço de reespecificação.

A rastreabilidade de requisitos não funcionais deve ser estabelecida exclusivamente em relação aos componentes arquiteturais e de infraestrutura, uma vez que sua natureza não funcional os torna independentes de requisitos funcionais específicos, evitando-se assim poluir a matriz de rastreabilidade com associações desnecessárias.

Requisitos não funcionais podem ser especificados por meio de metas qualitativas (ex.: "o sistema deve ser rápido") desde que associados a critérios de aceitação objetivos na fase de testes, sendo dispensável a definição antecipada de métricas quantitativas, desde que haja rastreabilidade bidirecional com os requisitos funcionais.