3. Een SIPS-exploitant stelt een testprogramma op om regelmatig de operationele doeltreffendheid van alle processen, procedures en controles van het in de leden 1 en 2 genoemde cyberweerbaarheidskader te testen. Als onderdeel van dit testprogramma voert de SIPS-exploitant TIBER-EU dreigingsgestuurde penetratietests uit waarbij technieken worden gebruikt om een aanval op de kritieke functies en onderliggende systemen van het SIPS te simuleren, zoals bepaald in het TIBER-EU-kader.
Indien een bijkantoor als SIPS-exploitant wordt aangewezen, kan de bevoegde autoriteit rekening houden met de resultaten van een penetratietest uitgevoerd door de juridische entiteit waarvan het bijkantoor een juridisch afhankelijk onderdeel is en indien een dergelijke penetratietest kan worden beschouwd als een oefening die vergelijkbaar is met een TIBER-EU-test, en deze ook de effectiviteit van de relevante controles en systemen van het bijkantoor weergeeft.