1.   Cada Estado-Membro deve designar ou criar uma ou várias CSIRT. As CSIRT podem ser designadas ou criadas no seio de uma autoridade competente. As CSIRT devem cumprir os requisitos estabelecidos no artigo 11.o, n.o 1, devem abranger pelo menos os setores, subsetores e tipos de entidades referidos nos anexos I e II, e devem ser responsáveis pelo tratamento de incidentes de acordo com um processo bem definido.

2.   Os Estados-Membros devem certificar-se de que cada CSIRT dispõe dos recursos adequados para desempenhar eficazmente as suas funções, tal como definidas no artigo 11.o, n.o 3.

3.   Os Estados-Membros devem assegurar que cada CSIRT tenha ao seu dispor uma infraestrutura de informação e comunicação adequada, segura e resiliente através da qual possa trocar informações com entidades essenciais e importantes e com outras partes interessadas. Para este efeito, devem garantir que cada CSIRT contribui para a implantação de ferramentas seguras de partilha de informações.

4.   As CSIRT devem cooperar e, se for caso disso, trocar informações importantes, em conformidade com o artigo 29.o, com comunidades setoriais ou transetoriais de entidades essenciais e importantes.

5.   As CSIRT devem participar em avaliações pelos pares organizadas nos termos do artigo 19.o.

6.   Os Estados-Membros devem garantir a cooperação eficaz, eficiente e segura das suas CSIRT no âmbito da rede de CSIRT.

7.   As CSIRT podem estabelecer relações de cooperação com equipas nacionais de resposta a incidentes de segurança informática de países terceiros. No âmbito dessas relações de cooperação, os Estados-Membros devem facilitar um intercâmbio de informações eficaz, eficiente e seguro com as referidas equipas nacionais de resposta a incidentes de segurança informática de países terceiros, utilizando protocolos pertinentes de partilha de informações, nomeadamente o protocolo «sinalização luminosa». As CSIRT podem trocar informações pertinentes com equipas nacionais de resposta a incidentes de segurança informática de países terceiros, incluindo dados pessoais, em conformidade com o direito da União em matéria de proteção de dados.

8.   As CSIRT podem cooperar com equipas nacionais de resposta a incidentes de segurança informática de países terceiros ou organismos equivalentes de países terceiros, nomeadamente para lhes prestar assistência em matéria de cibersegurança.

9.   Cada Estado-Membro deve notificar a Comissão, sem demora injustificada, da identidade da CSIRT a que se refere o n.o 1 do presente artigo e da CSIRT coordenadora designada nos termos do artigo 12.o, n.o 1, das respetivas funções em relação a entidades essenciais e importantes e de quaisquer alterações posteriores das mesmas.

10.   Os Estados-Membros podem solicitar a assistência da ENISA na criação das respetivas CSIRT.