3. Il gestore dello SPIS istituisce un programma di verifiche per testare periodicamente l’efficacia operativa di tutti i processi, le procedure e i controlli del quadro di resilienza informatica di cui ai paragrafi 1 e 2. Nell’ambito di tale programma di prove, il gestore dello SPIS effettua test di penetrazione basati sulle minacce conformemente al quadro TIBER-UE che comportano l’uso di tecniche per simulare un attacco alle funzioni essenziali e ai sistemi sottostanti dello SPIS, come stabilito dal quadro TIBER-UE.
Laddove una succursale sia identificata come gestore dello SPIS, l’autorità competente può tenere conto degli esiti di un test di penetrazione svolto dal soggetto giuridico di cui la succursale costituisce una parte giuridicamente dipendente e se tale test di penetrazione può essere considerato un esercizio analogo a un test TIBER-EU nonché se rileva anche l’efficacia dei pertinenti controlli e dei sistemi della succursale.