5. La duración de la fase activa de pruebas del equipo rojo activo será proporcional al alcance de la prueba de penetración basada en amenazas, a la dimensión, la actividad, la complejidad y el número de entidades financieras y de proveedores terceros o intragrupo de servicios de TIC que participen en la prueba, y en cualquier caso tendrá una duración mínima de 12 semanas. Los escenarios de ataque pueden ejecutarse de manera secuencial o simultánea. El equipo de control, el proveedor de inteligencia sobre amenazas, los probadores y los gestores de la prueba acordarán el final de la fase activa de pruebas del equipo rojo.