A opção 2 é a mais complexa de configurar e a que mais sofrerá com os produtos de segurança que os clientes configuraram. É melhor evitar problemas de segurança, já que a maioria dos clientes nem sempre tem controle total (tradução: saiba o que diabos eles estão fazendo, se eles não tiverem terceirizado toda a coisa de segurança).
Com a opção 2, você também terá alguns problemas de compatibilidade entre o Windows / Linux / Mac e o que for. Se você necessitar de qualquer configuração nos computadores do cliente, você pode estar indo contra o seu Holy Standard Computer Setup, e perder mais lances.
A opção 1 é a melhor solução a longo prazo, pois todos têm um navegador funcional. É um risco aceitável (mas ainda um risco) exigir um navegador razoavelmente moderno (ou seja, ignorar o IE6).
A opção 1 é subdividida em (1) serviços da Web e (2) interface da Web. Você pode precisar do primeiro se o cliente quiser usar seu sistema dentro de seu portal na web. No entanto, com um bom design de software modular, as duas interfaces usam os mesmos módulos básicos e são apenas camadas adicionais de interface.
É bom usar tecnologias que o cliente ouve o tempo todo e sabe que elas são "boas". Portanto, usar um servidor Linux com Apache e PHP (LAMP) é "bom" e "seguro", e não se esqueça de mencionar: free.