3. Prevádzkovateľ SDPS zavedie program testovania na pravidelné testovanie prevádzkovej účinnosti všetkých procesov, postupov a kontrol rámca kybernetickej odolnosti uvedeného v odsekoch 1 a 2. V rámci tohto programu testovania prevádzkovateľ SDPS vykonáva penetračné testy na základe konkrétnej hrozby TIBER-EU, ktoré zahŕňajú používanie techník simulácie útoku na kritické funkcie SDPS a základné systémy v súlade s rámcom TIBER-EU.
Ak je ako prevádzkovateľ SDPS určená pobočka, príslušný orgán môže zohľadniť výsledky penetračného testu vykonaného právnym subjektom, ktorého je pobočka právne závislou časťou, ak sa takýto penetračný test môže považovať za porovnateľný s testom TIBER-EU a ak zachytáva aj účinnosť príslušných kontrol a systémov pobočky.