3. Provozovatel SIPS zavede program testování s cílem pravidelně testovat provozní účinnost všech procesů, postupů a kontrol rámce kybernetické odolnosti uvedených v odstavcích 1 a 2. V rámci tohoto programu testování provede provozovatel SIPS penetrační testy na základě hrozeb TIBER-EU, při nichž se použijí techniky k simulaci útoku na kritické funkce a základní systémy SIPS, jak je stanoveno v rámci TIBER-EU.
Je-li jako provozovatel SIPS určena pobočka, může příslušný orgán zohlednit výsledky penetračního testu provedeného právním subjektem, jehož je pobočka právně závislou součástí, pokud lze takový test považovat za srovnatelný s testem TIBER-EU a sleduje rovněž účinnost příslušných kontrol a systémů pobočky.