3. En operatör av ett systemviktigt betalningssystem ska upprätta ett testprogram för att regelbundet testa att samtliga processer, förfaranden och kontroller i ramverket för cyberresiliens enligt punkterna 1 och 2 fungerar effektivt. Som en del av detta testprogram ska operatören av ett systemviktigt betalningssystem genomföra hotbildsstyrda penetrationstester inom TIBER-EU, vilket inbegriper att använda metoder för att simulera ett angrepp på det systemviktiga betalningssystemets kritiska funktioner och underliggande system i enlighet med TIBER-EU-ramverket.
Om en filial har identifierats som operatör av ett systemviktigt betalningssystem, får den behöriga myndigheten beakta resultaten av ett penetrationstest som har utförts av den juridiska person som filialen utgör en rättsligt beroende del av, om detta penetrationstest kan anses vara jämförbart med ett TIBER-EU-test och om det även ger en bild av hur effektiva filalens relevanta kontroller och system är.