Er bestaat geen universele tijdsduur.
De duur is afhankelijk van:
- van de sector
- wettelijke verplichtingen
- contractuele verplichtingen
- het risiconiveau
- kritikaliteit
- kosten
- onderzoeksbehoeften.
Een organisatie moet daarom een retentiebeleid opstellen.
De gedelegeerde regelgeving in het kader van DORA bepaalt bijvoorbeeld dat bewaartermijnen worden vastgesteld met inachtneming van met name veiligheidsdoelstellingen en ICT-risico's.
Het is ook nodig om onderscheid te maken tussen:
hete opslag
voor frequente zoekopdrachten,
En
Koel-/archiefopslag voor langdurige bewaring.