3. El operador del SIPS establecerá un programa de pruebas para comprobar periódicamente la eficacia operativa de todos los procesos, procedimientos y controles del marco de ciberresiliencia al que se refieren los apartados 1 y 2. Como parte del programa de pruebas, el operador del SIPS llevará a cabo pruebas de penetración guiadas por amenazas dirigidas conforme al marco TIBER-UE que impliquen el uso de técnicas para simular un ataque a las funciones críticas y los sistemas subyacentes del SIPS, tal como se establece en el marco TIBER-UE.
Si se ha identificado una sucursal como operador del SIPS, la autoridad competente podrá tener en cuenta los resultados de las pruebas de penetración que, efectuadas por la entidad jurídica de la cual la sucursal sea jurídicamente dependiente, puedan considerarse un ejercicio comparable a las pruebas TIBER-UE y reflejen igualmente la eficacia de los controles y sistemas pertinentes de la sucursal.