3. Cuando más de una entidad financiera perteneciente al mismo grupo y que comparta sistemas de TIC, o más de una entidad financiera que utilice el mismo proveedor intragrupo de servicios de TIC, cumplan los criterios establecidos en el apartado 2, las autoridades competentes en relación con las pruebas de penetración basadas en amenazas de las citadas entidades financieras decidirán, de conformidad con el artículo 16, apartado 2, si el requisito de realizar dichas pruebas de forma individual es pertinente para las citadas entidades financieras.
Cuando la autoridad competente en relación con las pruebas de penetración basadas en amenazas de la sociedad matriz de un grupo de entidades financieras a que se refiere el párrafo primero sea diferente de las autoridades competentes en relación con las pruebas de penetración basadas en amenazas de las entidades financieras del grupo, las autoridades competentes en relación con las pruebas de penetración basadas en amenazas de estas últimas consultarán a dicha autoridad si es conveniente realizar pruebas de penetración basadas en amenazas de forma individual.