5. Varigheden af det røde teams aktive testfase skal stå i rimeligt forhold til TLPT'ens anvendelsesområde, omfanget, aktiviteten, kompleksiteten og antallet af de finansielle enheder og tredjepartsudbydere af IKT-tjenester eller koncerninterne udbydere af IKT-tjenester, der er involveret i TLPT, og skal under alle omstændigheder være på mindst 12 uger. Angrebsscenarier kan gennemføres i rækkefølge eller samtidig. Kontrolteamet, formidleren af trusselsefterretninger, testerne og testlederne skal nå til enighed om afslutningen af det røde teams aktive testfase.