4. Como máximo uno de los escenarios seleccionados podrá no estar provocado por amenazas y basarse en una amenaza prospectiva y potencialmente ficticia con un elevado valor predictivo, anticipativo, oportunista o prospectivo, habida cuenta de la evolución prevista del panorama de amenazas que afecten a la entidad financiera.
En el caso de las pruebas de penetración basadas en amenazas conjuntas, sin perjuicio de los escenarios dirigidos directamente contra funciones esenciales o importantes de las entidades financieras que participen en las pruebas, al menos un escenario incluirá los sistemas, procesos y tecnologías de TIC subyacentes pertinentes del proveedor tercero de servicios de TIC que sustenten las funciones esenciales o importantes de las entidades financieras incluidas en el alcance de la prueba.
Cuando la prueba sea una prueba de penetración basada en amenazas compartida en la que participe un proveedor intragrupo de servicios de TIC, sin perjuicio de los escenarios dirigidos directamente contra funciones esenciales o importantes de las entidades financieras que participen en la prueba, al menos un escenario incluirá los sistemas, procesos y tecnologías de TIC subyacentes pertinentes del proveedor intragrupo de servicios de TIC que sustenten las funciones esenciales o importantes de las entidades financieras incluidas en el alcance de la prueba.