3. O operador de SIPS deve estabelecer um programa de testes destinado a testar regularmente a eficácia operacional de todos os processos, procedimentos e controlos do quadro de ciber-resiliência a que os n.os 1 e 2 se referem. No âmbito deste programa de testes, o operador de SIPS deve realizar testes de penetração baseados em ameaças (TIBER-EU threat-led penetration tests), com recurso a técnicas de simulação de um ataque às funções críticas e aos sistemas subjacentes ao SIPS, em conformidade com o quadro TIBER-EU.
Quando uma sucursal é identificada como operadora de SIPS, a autoridade competente pode levar em consideração os resultados de um teste de penetração realizado pela entidade jurídica da qual a sucursal é uma parte juridicamente dependente se esse teste de penetração puder ser considerado um exercício comparável a um teste TIBER-EU, e se capturar também a eficácia dos controlos e sistemas relevantes da sucursal.