3. En operatør af et systemisk vigtigt betalingssystem skal udarbejde et testprogram for regelmæssigt at teste den operationelle effektivitet af alle processer, procedurer og kontroller af rammen for cyberrobusthed, der er omhandlet i stk. 1 og 2. Som led i dette testprogram skal operatøren af det systemisk vigtige betalingssystem gennemføre TIBER-EU-trusselsbaserede penetrationstest, der omfatter brug af teknikker til at simulere et angreb på det systemisk vigtige betalingssystems kritiske funktioner og underliggende systemer som fastsat i TIBER-EU-rammen.
Hvis en filial er identificeret som operatør af et systemisk vigtigt betalingssystem, kan den kompetente myndighed tage hensyn til resultaterne af en penetrationstest udført af den juridiske enhed, som filialen er en juridisk afhængig del af, hvis en sådan penetrationstest kan betragtes som værende sammenlignelig med en TIBER-EU-test, og hvis den også tester effektiviteten af filialens relevante kontroller og systemer.