Melhor compatibilidade se você estiver instalando um SO arbitrário, suponho.
Qualquer coisa funcionará com o CSM. Eu acho que eles estão fazendo a suposição (correta ou não) de que quem está configurando o sistema não pode optar por instalar o punhado de sistemas operacionais que suportam inicialização segura.
Se você precisa que ele seja ligado, é trivial, e os ajuda a suportar chamadas de pessoas que tentam instalar, digamos, o windows 7 e não tê-lo inicializado.