1. Bij of krachtens algemene maatregel van bestuur worden regels gesteld over de periode gedurende welke de persoonsgegevens die bij of krachtens deze wet zijn verwerkt, worden bewaard.

  2. De persoonsgegevens, bedoeld in artikel 64, eerste lid, die door de bevoegde autoriteit worden verwerkt worden niet langer bewaard dan noodzakelijk is ter uitvoering van haar taken op grond van deze wet, doch uiterlijk binnen 60 maanden na de eerste verwerking verwijderd.

  3. De persoonsgegevens, bedoeld in artikel 64, tweede lid, die door het CSIRT worden verwerkt worden niet langer bewaard dan noodzakelijk is ter uitvoering van haar taken op grond van deze wet, doch uiterlijk binnen 12 maanden na de eerste verwerking verwijderd.