Кстати на этом спор можно и завершить, потому что то, что ты приводишь (2018 года публикация, потом были дополнения ещё) - к почтовым сервисам вообще отношения не имеет, только к доменам госорганов, и только по NL.

Стоит отметить, что NL действительно "на передовой" всего этого счастья печальным образом. У них регулярно происходит какая-нибудь задница из-за внедрения очередной секурной политики. Кому-то из госинститутов обязательно подавай EV сертификаты (сейчас они поплакали и вернулись к OV, потому что EV по сути всё :D). У кого-то из госинститутов заваливается DNSSEC, потому что слетел менеджмент ключей. И т.д. и т.п.

Я участвовал в организации специфичного межоператорского обмена, включающего госинститут, в одной из стран, лет 7 назад тому. Обсуждали где-то недели две. В итоге сошлись исключительно на mandatory TLS и белом списке релеев, к сертификатам единственное требование - не менее RSA 2048 и SHA2-256, валидация не обязательна (ну, смысл при белом списке). Пока до сих пор никаких новых требований не случилось.