3. Pokud kritéria stanovená v odstavci 2 splňuje více finančních subjektů patřících do stejné skupiny a sdílejících systémy IKT nebo pokud více finančních subjektů využívá stejného poskytovatele služeb IKT v rámci skupiny, orgány pro penetrační testování na základě hrozeb těchto finančních subjektů v souladu s čl. 16 odst. 2 rozhodnou, zda je pro tyto finanční subjekty relevantní požadavek na provádění penetračního testování na základě hrozeb na individuálním základě.
Pokud se orgán pro penetrační testování na základě hrozeb mateřského podniku skupiny finančních subjektů uvedených v prvním pododstavci liší od orgánů pro penetrační testování na základě hrozeb finančních subjektů skupiny, konzultují tento orgán orgány pro penetrační testování na základě hrozeb finančních subjektů patřících do této skupiny ohledně toho, zda je vhodné provádět penetrační testování na základě hrozeb na individuálním základě.