Добрый день!
В целом положения формуляра правильно понимаете.
Но требования к защите информации, которую мы обязаны защищать в силу закона, могут быть разные.
Например, ИСПДн – тут в ФЗ явно написано, что должны использоваться средства защиты информации, прошедшие оценку соответствия (т.е. сертифицированные – и стало быть надо делать так, как указано в документации на используемое средство). Это же есть и в подзаконных Постановлении Правительства РФ и Приказе ФСБ…
Либо закон может просто возложить ответственность за сохранность в тайне данных на Оператора ИС (например, как это сделано в статье Банковская тайна из ФЗ «О банках и банковской деятельности»).
В силу закона кредитная организация обязана обеспечить сохранность в тайне данных, но вот как она это сделает - это уже её дело.
Надо, конечно, хорошо знать и подзаконные акты (например, отраслевые Центробанка), может в них что-то есть об обязательности использовать сертифицированное, но так глубоко мы уже не в курсе …

Через CryptoApi – это встраивание. Оценку влияния (контроль встраивания) – нужно делать, если подпадает под п. 1.5 Формуляра. Более того, сейчас для СКЗИ определяются так называемые белые функции, которые можно использовать для встраивания. Если используете функции не из этого списка – то программное обеспечение ИС уже нужно сертифицировать, как отдельное СКЗИ (а это на порядок серьёзнее чем оценка влияния).