(3) Operatorul SIPS stabilește un program de testare pentru a testa periodic eficacitatea operațională a tuturor proceselor, procedurilor și controalelor cadrului de reziliență cibernetică menționate la alineatele (1) și (2). Ca parte a acestui program de testare, operatorul SIPS efectuează teste de penetrare bazate pe amenințări TIBER-EU care implică utilizarea unor tehnici de simulare a unui atac asupra funcțiilor de importanță critică și a sistemelor subiacente ale SIPS, astfel cum se prevede în Cadrul TIBER-EU.
În cazul în care o sucursală este identificată drept operator SIPS, autoritatea competentă poate ține seama de rezultatele testelor de penetrare efectuate de entitatea juridică a cărei parte dependentă juridic este sucursala dacă un astfel de test de penetrare poate fi considerat un exercițiu comparabil cu un test TIBER-EU, și dacă acestea acoperă și eficacitatea controalelor și sistemelor relevante ale sucursalei