3. Un opérateur de SPIS met sur pied un programme de test destiné à tester régulièrement l’efficacité opérationnelle de l’ensemble des processus, procédures et contrôles du cadre de cyberrésilience visé aux paragraphes 1 et 2. Dans le cadre de ce programme de test, l’opérateur de SPIS effectue des tests d’intrusion fondés sur la menace conformes au cadre TIBER-UE, ayant recours à des techniques de simulation d’une attaque contre les fonctions critiques et les systèmes sous-jacents du SPIS telles qu’énoncées dans le cadre TIBER-UE.
Lorsqu’une succursale est reconnue en tant qu’opérateur de SPIS, l’autorité compétente peut tenir compte des résultats d’un test d’intrusion effectué par l’entité juridique dont la succursale est une partie juridiquement dépendante si ce test d’intrusion peut être considéré comme un exercice comparable à un test TIBER-EU et s’il rend également bien compte de l’efficacité des contrôles et systèmes concernés de la succursale.