Zusammenfassung

  • Der Vorstand billigte DIR-POL-005.05 einstimmig: Residualrisiken in der maximalen Bewertungszone sind dem Risikoausschuss sofort zu melden, binnen höchstens 90 Tagen zu behandeln und sollen die Zone in weniger als 120 Tagen verlassen.
  • Das öffentliche Protokoll nennt Zeiträume, aber weder Auslöser noch Abnahme- und Austrittsereignis. Ein datensparsamer Laufzettel könnte den Ablauf belegen, ohne das Risiko offenzulegen.

Ein bemerkenswert harter Satz

Der Tagesordnungspunkt 2.8 des LACNIC-Vorstands vom 23. Februar 2026 ist kurz. Das Personal schlägt eine Ergänzung der Risikopolitik vor. Residualrisiken in der Zone der höchsten Bewertung sollen dem Risikoausschuss des Vorstands unverzüglich gemeldet werden. Innerhalb von höchstens 90 Tagen ist eine Behandlung vorzulegen. Ziel ist es, das Risiko in weniger als 120 Tagen aus dieser Zone zu senken. Der Vorstand verabschiedet die aktualisierte Fassung DIR-POL-005.05 einstimmig.

In dieser knappen Passage steckt ein brauchbares Steuerungsmodell. Sie ersetzt ein unbestimmtes „weiter beobachten“ durch eine Abfolge. Ein Schweregrad löst Aufsicht aus, eine Zwischenentscheidung wird fällig, anschließend soll sich der Risikozustand ändern. Gemeint ist ausdrücklich das Residualrisiko – also der verbleibende Wert nach bestehenden Kontrollen.

Die stärkste Verteidigung LACNICs liegt auf der Hand. Ein institutionelles Risikoregister kann Sicherheitslücken, kritische Abhängigkeiten, finanzielle Szenarien oder Reaktionspläne enthalten. Eine vollständige Veröffentlichung wäre möglicherweise selbst riskant. Zugleich zeigt das Protokoll mehrere Ebenen der Zuständigkeit: operative Leitung, Risikoausschuss und Gesamtvorstand. Im Mai wurde ein Überblick über Neubewertung, Behandlung und mindernde Kontrollen vorgelegt, der zuvor bereits an den Risikoausschuss gegangen war. Die Aufsicht ist nicht unsichtbar.

Die offene Frage ist kleiner und präziser: Das Protokoll macht die Länge zweier Uhren öffentlich, nicht den Zeitpunkt ihres Anlaufens.

Drei Tätigkeiten, keine Synonyme

Melden, vorlegen und herabstufen sind verschiedene Zustandswechsel. Eine sofortige Meldung erweitert den Kreis der informierten und entscheidungsfähigen Stellen. Die Vorlage einer Behandlung bringt einen Plan in das Aufsichtsverfahren. Das Verlassen der Maximalzone setzt eine neue Bewertung voraus. Ein eingereichtes Papier ist keine gesenkte Exposition.

Ohne Startdefinition bleiben mehrere Lesarten möglich. Die 90 Tage könnten mit der ersten Einstufung, ihrer Bestätigung oder der Meldung an den Ausschuss beginnen. Das 120-Tage-Ziel könnte dieselbe oder eine spätere Basis haben. Eine methodische Überprüfung könnte eine Uhr anhalten, beide weiterlaufen lassen oder einen neuen Fall eröffnen. Kehrt ein Risiko nach einer Herabstufung zurück, könnte es sich um eine Wiedereröffnung oder eine neue Einstufung handeln.

Diese Varianten beschreiben nicht LACNICs interne Praxis. Die vollständige Richtlinie mag jede Frage beantworten; ein internes System mag alle Zeitpunkte sauber protokollieren. In den öffentlichen Sitzungsunterlagen sind diese Felder nicht enthalten. Darum kann ein Außenstehender die Fristen aus dem veröffentlichten Beleg nicht nachrechnen.

Ebenso wenig lässt sich eine Fristverletzung behaupten. Das Protokoll nennt keinen konkreten Maximalzonen-Fall. Es sagt nicht, dass am 23. Februar eine solche Einstufung vorlag, und enthält weder Fallnummer noch Eintrittsdatum. Eine allgemeine Regel ist noch kein laufender Vorgang.

Was die Mai-Sitzung belegt

Am 24. Mai erhielt der Vorstand einen Überblick über die Arbeit an Risiken: Neubewertung, Behandlung und Kontrollen zur Minderung. Die Informationen waren laut Protokoll zuvor dem Risikoausschuss vorgelegt worden. Das passt zum im Februar sichtbaren Zuständigkeitsweg und zeigt, dass die Risikosteuerung weiterlief.

Der Eintrag ist jedoch aggregiert. Er ordnet keine Behandlung einem bestimmten Risiko zu, nennt keinen Eintritt in die Maximalzone und erklärt nicht, ob eine der neuen Fristen ausgelöst wurde. Er ist ein Aktivitätsnachweis, kein Laufzettel für einen Einzelfall.

Zwei Übertreibungen sind deshalb zu vermeiden. Aus fehlenden Details folgt keine Untätigkeit. Aus einer allgemeinen Präsentation folgt kein Nachweis, dass jeder Zeitwert eingehalten oder jeder Fall geschlossen wurde. Gute Governance-Lektüre hält den Beweisumfang klein genug.

Für die Versionsgeschichte ist der 5. November 2024 relevant. Damals genehmigte der Vorstand die vierte Fassung DIR-POL-005.04. In einer anschließenden Diskussion über andere Dokumenthistorien erklärte die Geschäftsführung, frühere Fassungen seien gesondert archiviert; ein Vorstandsmitglied hielt eine Zusammenstellung für unnötig. Das beweist weder eine Geheimhaltung der aktuellen Richtlinie noch ihren Inhalt. Es zeigt nur, dass Versionsnummer, Archiv und Sitzungsprotokoll verschiedene Beweisstücke sind.

Ein öffentlicher Laufzettel ohne Risikodetails

Die Lösung muss kein offenes Risikoregister sein. Ein abstrakter Laufzettel genügt. Er könnte einem Fall eine undurchsichtige Kennung geben und Zeitpunkt der Einstufung in die Maximalzone, Zeitpunkt der sofortigen Ausschussmeldung und die jeweilige Berechnungsgrundlage festhalten.

Dazu kämen Fälligkeit und tatsächliche Vorlage beziehungsweise Abnahme der Behandlung, verantwortliche Stelle, Genehmigungsinstanz, Zieltermin für den Zonenaustritt, aktueller Zustand und eine grobe Evidenzklasse. Ausnahme, Pause, Wiedereröffnung und Korrektur sollten eigene Felder erhalten. Ein ungerader Verlauf darf nicht in eine gerade Erfolgsgeschichte gepresst werden.

Ein solcher Beleg verrät weder eine Schwachstelle noch betroffene Systeme oder Abwehrmaßnahmen. Er zeigt nur, dass ein vertraulicher Fall unter einer bestimmten Regel die vorgesehenen Zustände durchlaufen hat. Öffentlichkeit und Mitglieder könnten den Prozess prüfen; Sicherheitsdetails blieben geschützt.

Entscheidend ist die sprachliche Genauigkeit. Binnen 90 Tagen soll eine Behandlung vorgelegt werden. In weniger als 120 Tagen soll das Risiko nach der Formulierung des Protokolls aus der Zone gesenkt werden; dies ist ein Ziel. Wer beides zu garantierten Ergebnissen macht, schreibt die Vorstandsentscheidung um. Wer die Behandlungsvorlage mit Risikominderung gleichsetzt, überspringt den wichtigsten Zustandswechsel.

Warum dies für Betreiber zählt

LACNIC trägt die institutionelle Infrastruktur für Internetnummernressourcen in Lateinamerika und der Karibik. Registrierung, Zuteilung, Routingsicherheit und Gemeinschaftsdienste hängen von organisatorischer Kontinuität ab. Mitglieder müssen den Inhalt vertraulicher Risiken nicht sehen, um an einem überprüfbaren Verfahren interessiert zu sein.

Netzbetreiber kennen die Logik aus dem Betrieb. Alarm, genehmigter Plan, umgesetzte Maßnahme und neue Residualrisikobewertung sind vier Ereignisse. Werden sie zu einem Status verdichtet, verschwinden Verzögerung und Zuständigkeit. Werden sie verbunden, entsteht Lernfähigkeit ohne unnötige Offenlegung.

LACNIC hat bereits die anspruchsvolle Entscheidung getroffen, Zeit zur Governance-Größe zu machen. Nun braucht die Öffentlichkeit nicht den Risikoinhalt, sondern das Zifferblatt: Was startet jede Uhr, welcher Vorgang stoppt sie und wer darf eine Korrektur vornehmen?

Quellen