(3) Ein SIPS-Betreiber legt ein Testprogramm auf, um die operative Wirksamkeit aller in den Absätzen 1 und 2 genannten Prozesse, Verfahren und Kontrollen des Rahmens zur Widerstandsfähigkeit gegenüber Cyberangriffen regelmäßig zu überprüfen. Im Rahmen dieses Testprogramms führt der SIPS-Betreiber bedrohungsorientierte Penetrationstests (TLPT — Threat Led Penetration Testing) gemäß TIBER-EU durch, bei denen Techniken zur Simulation eines Angriffs auf die kritischen Funktionen und die zugrunde liegenden Systeme des SIPS gemäß dem TIBER-EU-Rahmenwerk zum Einsatz kommen.
Wird eine Zweigstelle als SIPS-Betreiber eingestuft, kann die zuständige Behörde die Ergebnisse eines von der juristischen Person, von der die Zweigstelle einen rechtlich abhängigen Teil bildet, durchgeführten Penetrationstests berücksichtigen, wenn dieser Penetrationstest als mit einem TIBER-EU-Test vergleichbar angesehen werden kann und wenn dieser auch die Wirksamkeit der einschlägigen Kontrollen und Systeme der Zweigstelle erfasst.