> Это вывод, который невольно напрашивается сам собой. На вики дебиана пишут:
>>SB is a security measure to protect against malware during early system boot
>  а есть вообще какие-нибудь примеры руткитов, которые так делают?

Ключевое слово тут "bootkit":
Stoned Bootkit -> Whistler
https://habr.com/ru/post/96850/

Правда, если просто исключить возможность менять очередность бута "всем кому не лень", то тот же самый  эффект "сикурбута" эмулируется и в старом добром BIOS с помощью загрузки с флешки или CD (да хоть перфокарт) и проверки хеша незашифрованного блока загрузчика на диске – но это если бы действительно была такая цель, а не просто "отмазка" ;-)