5. Varaktigheten för den aktiva rött lag-testfasen ska stå i proportion till den hotbildsstyrda penetrationstestningens omfattning och till de finansiella entiteter och tredjepartsleverantörer av IKT-tjänster eller koncerninterna IKT-tjänsteleverantörer som deltar i den hotbildsstyrda penetrationstestningen vad gäller deras storlek, verksamheter, komplexitet och antal, och ska under alla omständigheter sträcka sig över minst tolv veckor. Angreppsscenarier får genomföras i följd eller samtidigt. Ledningslaget, leverantören av underrättelser om hot, testarna och testledarna ska komma överens om slutet på den aktiva rött lag-testfasen.