3. Operator SIPS ustanawia program testowania w celu regularnego testowania skuteczności operacyjnej wszystkich procesów, procedur i kontroli ram cyberodporności, o których mowa w ust. 1 i 2. W ramach tego programu testowania operator SIPS przeprowadza testy penetracyjne TIBER-EU pod kątem zagrożeń obejmujące wykorzystanie technik symulacji ataku na krytyczne funkcje SIPS i systemy bazowe określone w ramach TIBER-EU.
W przypadku gdy operator SIPS jest oddziałem, właściwy organ może uwzględnić rezultaty testów penetracyjnych przeprowadzonych przez podmiot prawny, którego oddział jest prawnie zależną częścią, jeżeli można je uznać za działanie porównywalne z testem TIBER-EU oraz jeżeli obejmuje ono również skuteczność odpowiednich kontroli i systemów oddziału.