BOCM
Pág. 316

BOLETÍN OFICIAL DE LA COMUNIDAD DE MADRID
MIÉRCOLES 4 DE JUNIO DE 2025

B.O.C.M. Núm. 132

6. Estructura de la Política de Seguridad
La Política de Seguridad de la Información es de obligado cumplimiento y se estructura en
los siguientes niveles relacionados jerárquicamente:
1.
2.
3.

Primer nivel: Política de Seguridad de la Información.
Segundo nivel: Instrucciones y Normativas de Seguridad de la Información.
Tercer nivel: Procedimientos de Seguridad de la Información.

La estructura jerárquica permite adaptar con eficiencia los niveles inferiores a los cambios en los
entornos operativos del Ayuntamiento de Alcorcón, sin necesidad de revisar su estrategia de seguridad.
La Política, las Instrucciones, Normativas y los Procedimientos de Seguridad de la información
estarán disponibles en la Intranet del Ayuntamiento de Alcorcón.
6.1 Primer nivel: Política de Seguridad de la Información.
Constituye el primer nivel la Política de Seguridad de la Información.
6.2 Segundo nivel: Instrucciones de Seguridad de la Información
El segundo nivel desarrolla la Política de Seguridad de la Información mediante una
normativa general e instrucciones específicas que abarcan un área o aspecto determinado de la
seguridad de la información.
Las Instrucciones/Normativas de Seguridad de la Información serán aprobadas por la
Concejalía Delegada competente en materia de tecnologías de la información y comunicaciones
municipales a propuesta del CSTIC del Ayuntamiento de Alcorcón.
6.3 Tercer nivel: Procedimientos de Seguridad de la Información
El tercer nivel está constituido por directrices de carácter técnico o procedimental que se
deben observar en tareas o actividades relacionadas con la seguridad de la información y la
protección de la información y de los servicios, y que serán aprobados por el Responsable de
Seguridad de la Información o por los Responsables de la Información o los de los Servicios,
según su ámbito de competencia.
Dependiendo del aspecto tratado, se aplicarán a un ámbito específico o a un sistema
determinado.
7. Protección de Datos de Carácter Personal
Cuando un sistema de información trate datos personales le será de aplicación lo dispuesto en el
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la
protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre
circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de
Protección de Datos) y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y garantía de los derechos digitales, o, en su caso, la Ley Orgánica 7/2021, de 26 de mayo,
de protección de datos personales tratados para fines de prevención, detección, investigación y
enjuiciamiento de infracciones penales y de ejecución de sanciones penales, el resto de normativa de
aplicación, así como los criterios que se establezcan por la Agencia Española de Protección de Datos o
en su ámbito competencial, por las autoridades autonómicas de protección de datos, sin perjuicio de los
requisitos establecidos en el presente real decreto.
En estos supuestos, el responsable o el encargado del tratamiento, asesorado por el delegado
de protección de datos, realizarán un análisis de riesgos conforme al artículo 24 del Reglamento
General de Protección de Datos y, en los supuestos de su artículo 35, una evaluación de impacto en
la protección de datos.

Se deberá realizar un análisis de riesgos de los sistemas sujetos a esta Política deberán,
evaluando las amenazas y los riesgos a los que está expuesto el Ayuntamiento de Alcorcón.
Al menos una vez al año se evaluará la necesidad de la repetición de dicho análisis y se
repetirá dicho análisis:
a)
b)

Cuando cambie la información manejada.
Cuando se modifiquen o amplíen los servicios prestados.

BOCM-20250604-57

8. Gestión de Riesgos