Incydenty należy zgłaszać do właściwego zespołu reagowania na incydenty komputerowe (CSIRT). CSIRTy w Polsce, w rozumieniu ustawy o KSC, są trzy na poziomie krajowym. Każdy podmiot KSC powinien wiedzieć, jaki CSIRT jest dla niego właściwy.
Właściwość CSIRT jest określona w ustawie. W uproszczony sposób przedstawia się tak: