Resumen

  • Las cartas de ICANN de junio y julio de 2025 al administrador judicial designado de AFRINIC advirtieron que podría ser necesaria una revisión de cumplimiento, vincularon las irregularidades electorales y las preocupaciones sobre los registros con las obligaciones de ICP-2 y exigieron respuestas fundamentadas. Fue una advertencia de reconocimiento, no un plan de reemplazo completo.
  • La regla que falta no es solo quién puede ser un operador de emergencia. Es cómo se mueven los servicios de registro, la autoridad de los miembros, los registros, el material RPKI, el DNS inverso, las transferencias, la facturación, los datos confidenciales, las disputas y las restricciones judiciales durante una emergencia sin perjudicar a los titulares de recursos comunes.
  • Una regla de reemplazo debería exigir desencadenantes definidos, consentimiento del operador, alcance del servicio, custodia de datos, pruebas de portabilidad, aviso público, participación de la comunidad, límites de tiempo, devolución, revisión independiente e informes posteriores al evento antes de que una amenaza de reconocimiento pueda convertirse en una transición de servicio.

Una amenaza sin un mostrador de recepción

La frase más importante después de un registro fallido no es «el registro está bajo revisión». Es «aquí es donde funcionará el servicio mañana». Una región puede sobrevivir a una disputa de la junta directiva, un juicio, una elección retrasada o incluso un administrador judicial temporal si los datos de registro, los servicios de asistencia, el DNS inverso, el RPKI, los registros de búsqueda públicos, las transferencias, la facturación y las comunicaciones con los miembros permanecen estables. Se vuelve frágil cuando se menciona una revisión de reconocimiento sin un mostrador de recepción visible para la función pública.

AFRINIC hizo inevitable esa distinción. Para junio de 2025, el registro regional africano ya había pasado años en una crisis legal y de gobernanza. Los tribunales de Mauricio habían designado a un administrador judicial. El registro carecía de una gobernanza ordinaria de la junta. Una elección diseñada para restaurar la junta fue suspendida y luego anulada tras las acusaciones relacionadas con la autoridad de voto y los poderes notariales. ICANN escribió entonces al administrador judicial designado y notificó a AFRINIC que podría ser necesaria una revisión de cumplimiento.

La advertencia no fue casual. En lacarta del 25 de junio de 2025, ICANN relacionó las acusaciones con las obligaciones bajo ICP-2, hizo trece preguntas detalladas, exigió una respuesta fundamentada en el plazo de un día, pidió la conservación de los registros y dijo que la situación podría plantear serias dudas sobre la capacidad de AFRINIC para seguir actuando como una entidad capaz de gestionar responsablemente los recursos de numeración. En lacarta del 3 de julio de 2025, ICANN afirmó que la anulación de la elección no respondía a muchas de sus preguntas y nuevamente se reservó todos los derechos para iniciar una revisión.

Esa correspondencia tenía un motivo legítimo de continuidad. Un registro regional no es una asociación privada ordinaria. Mantiene una superficie de dependencia pública para los registros de direcciones y sistemas autónomos. Si un proceso electoral se ve comprometido o si los registros no se conservan, el daño puede llegar mucho más allá de las personas que litigan en los tribunales. ICANN tenía razón al preguntar sobre el apoyo de los miembros, el trato igualitario, la imparcialidad, la independencia y las copias de seguridad de los registros.

Pero la advertencia también expuso la regla de reemplazo que falta. Si ICANN hubiera pasado de la advertencia a una revisión formal, y si una revisión encontrara un incumplimiento material, ¿qué sucedería exactamente a continuación? ¿Perdería AFRINIC el reconocimiento de inmediato? ¿Operaría otro RIR solo los servicios técnicos? ¿Permanecería el administrador judicial? ¿Seguirían los miembros pagando a AFRINIC? ¿Continuarían las transferencias? ¿Seguirían siendo válidos los certificados RPKI? ¿Se procesarían los cambios de DNS inverso? ¿Se copiarían los registros confidenciales a un operador temporal?

¿Vincularían las órdenes judiciales nacionales a ese operador? ¿Tendrían los titulares de recursos una forma de impugnar una transferencia incorrecta de sus archivos?

La respuesta pública no fue lo suficientemente clara. La prensa de la época reflejó el riesgo. The Register informó el 26 de junio de 2025 de que la carta de ICANN advertía de una posible revisión de cumplimiento y que, si AFRINIC no superaba dicha revisión, ICANN podría pedir a otro RIR que interviniera como registro de emergencia para África. Esa frase es una idea poderosa. Tampoco es un procedimiento. Una regla de reemplazo creíble no puede ser una explicación de prensa de un posible apoyo de emergencia. Debe ser un documento que los operadores puedan ejecutar y los miembros puedan probar.

El problema no es que el reemplazo de emergencia deba ser imposible. El problema es que debería ser difícil, acotado y predefinido. Un operador temporal puede preservar el servicio si la entidad jurídica titular no puede hacerlo. El mismo operador temporal puede crear una crisis de legitimidad si la selección, el consentimiento, la transferencia de datos, el alcance, el límite de tiempo y la devolución son vagos. En una región que ya desconfía del poder externo, «otro RIR intervendrá» puede sonar menos a continuidad y más a desplazamiento a menos que la regla sea explícita.

El mostrador de recepción debe, por tanto, identificarse antes de que se utilice la amenaza. No necesariamente nombrando de antemano a un sucesor permanente, sino definiendo qué tipo de entidad puede prestar el servicio, quién debe estar de acuerdo, qué servicios puede operar, qué datos puede recibir, qué no puede decidir, cuánto tiempo puede actuar y cómo se escucha a la comunidad afectada. La revisión de reconocimiento sin una regla de reemplazo es medio puente sobre un río profundo.

La crisis electoral convirtió la continuidad en una cuestión práctica

La crisis de la elección de la junta de AFRINIC no fue simplemente un asunto interno de la asociación. La junta de un registro regional controla los presupuestos, los nombramientos ejecutivos, la supervisión, la postura jurídica, la rendición de cuentas de los miembros y el entorno de confianza en torno a los servicios técnicos. Por lo tanto, una elección disputada puede convertirse en un problema de servicio de registro incluso si los servidores de bases de datos siguen respondiendo.

El problema electoral de junio de 2025 tenía varias capas. ICANN describió informes de que los miembros enfrentaban dificultades de registro. Describió una diferencia entre los límites ordinarios de poder y los poderes notariales para la votación en persona. Transmitió informes de que algunos poderes notariales se habían obtenido de forma fraudulenta o se habían presentado sin autorización. Preguntó si se habían compartido externamente listas de miembros de recursos de votación autorizados y si un tercero había sido autorizado a usar el logotipo de AFRINIC en comunicaciones de apoyo a candidatos.

También preguntó por el estado del mantenimiento de registros y las copias de seguridad de los datos de registro y los registros de los miembros de recursos.

Estas preguntas muestran por qué la integridad electoral y la continuidad del servicio están vinculadas. Una autoridad de voto falsificada no es lo mismo que una transferencia de recursos corrupta, pero ambas dependen de la capacidad de la institución para reconocer quién puede vincular a un miembro. Una lista de miembros filtrada no es lo mismo que una corrupción de base de datos, pero sugiere debilidad de control en torno a la información confidencial o sensible de los miembros.

Una investigación poco clara no es lo mismo que una interrupción del servicio, pero debilita la confianza en que las decisiones futuras serán imparciales y estarán documentadas.

Al mismo tiempo, el vínculo tiene límites. Una mala elección no significa automáticamente que todos los registros de direcciones no sean fiables. Un voto anulado no requiere automáticamente un nuevo registro. Una mala comunicación del administrador judicial no significa necesariamente que el servicio de asistencia no pueda procesar tickets rutinarios. Un vacío temporal en la junta no justifica necesariamente trasladar los registros confidenciales a otra organización. La regla de reemplazo debe respetar estas distinciones.

Aquí es donde muchos argumentos de crisis fracasan. Un lado dice que la continuidad requiere dejar tranquilo al titular porque cualquier intervención externa corre el riesgo de desestabilizar los servicios. El otro lado dice que el fallo de gobernanza demuestra que el titular debe ser reemplazado. Ninguna de las dos respuestas es suficientemente precisa. La continuidad requiere un mapa de servicios. ¿Qué servicios funcionan? ¿Qué servicios están en riesgo? ¿Qué decisiones están contaminadas por el defecto de gobernanza? ¿Qué registros necesitan preservación independiente? ¿Qué derechos de los miembros necesitan verificación?

¿Qué cambios pueden continuar con seguridad? ¿Qué cambios deben pausarse?

Para AFRINIC, un mapa de servicios incluiría los datos de registro públicos, los archivos no públicos de cuentas y miembros, las delegaciones de DNS inverso, el estado de la certificación de recursos, las transferencias pendientes, la facturación, las comunicaciones con los miembros, los archivos de autoridad corporativa, los registros de políticas, las colas de asistencia, las órdenes judiciales, los contratos con proveedores, el acceso bancario y las credenciales.

También incluiría las dependencias que otros actores utilizan para confiar en los registros de AFRINIC: incorporación a la nube, filtros de enrutamiento, diligencia debida, contratación pública y opiniones jurídicas en transacciones de direcciones.

La NRO reconoció la continuidad desde el nombramiento del administrador judicial. Sudeclaración del 14 de septiembre de 2023acogió al administrador como una vía hacia una gobernanza funcional y dijo que el nombramiento ayudaría a garantizar que los miembros siguieran recibiendo servicios de registro. Ese era el marco correcto: preservar los servicios mientras se restablece la gobernanza. Pero una crisis prolongada convierte la preservación temporal en una cuestión más difícil. Si la preservación misma falla, ¿quién se hace cargo solo de las partes que deben continuar?

La regla debe poder responder sin dramatizar cada defecto como un reemplazo. Debe partir de la clasificación de servicios, no de la condena institucional.

El servicio de emergencia no es gobernanza sucesora

Un operador de emergencia no es un nuevo gobierno regional. Debe ser un proveedor de servicios temporal con una autoridad estrictamente delimitada. Puede operar un servicio de asistencia, mantener registros, procesar cambios rutinarios definidos, preservar la continuidad del DNS inverso y del RPKI, almacenar datos de forma segura e informar sobre las métricas del servicio. No debe reescribir la política regional, reestructurar los derechos de los miembros, resolver disputas privadas sobre recursos, tomar partido en las elecciones ni convertirse en la institución de servicio permanente por defecto.

El borrador del Documento de Gobernanza de los RIR Versión 2 de la NRO avanza hacia esta distinción. Define a un operador de emergencia como una entidad cualificada seleccionada para proporcionar servicios RIR temporalmente. Dice que la continuidad de emergencia puede iniciarse cuando un RIR no puede proporcionar adecuadamente todos o parte de sus servicios.

Requiere el acuerdo unánime de todos los demás RIR y de ICANN, la discusión con el RIR afectado y su comunidad cuando sea razonablemente posible, la publicación inmediata de la justificación y el alcance, la participación de la comunidad, la cooperación en la transferencia, el derecho del RIR afectado a reanudar los servicios una vez que se restaure y verifique la capacidad, y un límite inicial de noventa días a menos que se renueve bajo la misma sección.

Ese marco es útil porque rechaza la idea de que el reemplazo es simplemente una adquisición institucional. Trata el servicio de emergencia como temporal, delimitado y revisable. También requiere una revisión posterior al evento, incluyendo un informe público sobre las circunstancias, los servicios prestados, la duración, el proceso de devolución, el rendimiento del operador, los comentarios y las mejoras.

Los detalles siguen siendo decisivos. La operación temporal aún requiere credenciales, registros, conocimientos del personal, procedimientos, límites de protección de datos, autoridad para responder a las solicitudes, expectativas de nivel de servicio y reglas de conflicto. Si estos no están preparados, un operador de emergencia puede estar técnicamente dispuesto pero prácticamente ciego.

Puede no tener una copia actual de los archivos de autoridad de los miembros, ningún estado validado de las transferencias pendientes, ninguna forma segura de firmar o cambiar el material de certificación de recursos, ningún conocimiento de las cuentas restringidas por orden judicial y ninguna vía para verificar quién puede darle instrucciones.

El operador de emergencia también necesita un mandato no gubernamental. Debería poder procesar una actualización de contacto rutinaria si se verifica la autoridad del miembro. No debería decidir si un candidato a la junta en disputa fue excluido legalmente. Debería poder preservar un estado de transferencia pendiente. No debería adjudicar los méritos comerciales de la transferencia si el registro titular no había tomado una decisión. Debería poder mantener activas las delegaciones de DNS inverso. No debería imponer una nueva política regional de DNS inverso. Debería poder publicar una página de estado.

No debería hacer campaña por una facción de gobernanza.

La crisis de AFRINIC es exactamente el caso en el que este límite sería importante. Si se hubiera pedido a otro RIR que proporcionara servicios de emergencia, los miembros africanos se preguntarían razonablemente si ese RIR solo mantenía la función de utilidad o absorbía la autoridad regional. Los tribunales de Mauricio se preguntarían si el operador temporal respetaba las órdenes locales. Otros RIR se preguntarían si estaban asumiendo responsabilidad por registros disputados. Los titulares de recursos se preguntarían si sus registros confidenciales se habían trasladado y bajo qué base legal.

La regla debe establecer que el servicio de emergencia no es gobernanza sucesora. La cuestión de la gobernanza sucesora puede surgir más tarde si se produce la des-reconocimiento, pero no debe introducirse de contrabando en un puente de servicio de noventa días. Ese puente debe mantener las luces encendidas, preservar las pruebas, prevenir daños irreversibles y ganar tiempo para una restauración legal o una transición justificada por separado.

El consentimiento del operador no puede darse por sentado

La frase «otro RIR podría intervenir» oculta un difícil problema de consentimiento. Un registro regional no es una instancia de nube de repuesto. Es una entidad jurídica con su propia junta, miembros, leyes, apetito de riesgo, capacidad de personal, presupuesto, seguro, deberes de protección de datos y responsabilidad regional. Pedirle que opere servicios para otra región durante una crisis plantea riesgos operativos y políticos.

El operador debe consentir con conocimiento de causa. Debe comprender el alcance del servicio, los registros que recibirá, las limitaciones legales, la financiación, la indemnidad, los deberes de confidencialidad, las tareas técnicas, las necesidades lingüísticas, los plazos, las obligaciones de información y las condiciones de salida. Debe saber si se espera que proporcione solo continuidad técnica o que maneje decisiones de cara a los miembros. Debe saber si sus propios miembros asumirán los costos. Debe saber si la región afectada puede impugnar sus acciones.

El consentimiento de los otros RIR también es importante colectivamente. El borrador de la NRO requiere el acuerdo unánime de todos los demás RIR y de ICANN para la continuidad de emergencia. Esa es una salvaguarda sólida. Reduce el riesgo de que un actor externo pueda instalar a un operador favorecido. También obliga al sistema a enfrentar la capacidad y la legitimidad antes de actuar.

Pero la unanimidad tiene un costo. En una interrupción que avanza rápidamente, obtener un acuerdo unánime puede ser lento. En un caso políticamente cargado, un RIR puede dudar por responsabilidad o reputación. Por tanto, la regla debe distinguir entre preparación y activación. La preparación puede prepararse con antelación: inventarios de servicios, expectativas de custodia, términos de confidencialidad estándar, cualificaciones de los operadores temporales, fórmulas de financiación, plantillas de comunicación, listas de verificación legales y pruebas.

La activación puede entonces ser más limitada y rápida porque los actores no están inventando condiciones bajo presión.

El consentimiento del registro afectado es más complicado. Si el registro puede cooperar adecuadamente, el apoyo de emergencia debe discutirse con él y su comunidad. Si el registro no puede cooperar debido a una parálisis de gobernanza, una restricción judicial o mala fe, la regla puede necesitar una vía sin el consentimiento pleno del titular. Pero esa vía debe ser excepcional y explicada. Debe identificar por qué la cooperación no fue razonablemente posible, qué base legal permite la transferencia limitada y cómo el registro afectado puede reanudar los servicios una vez que se restaure la capacidad.

El consentimiento de los miembros tampoco es monolítico. Los miembros de la región afectada no son una sola voz. Algunos pueden temer al titular, otros pueden temer el control externo, algunos pueden querer una restauración rápida del servicio, otros pueden ser litigantes y muchos pueden simplemente necesitar estabilidad rutinaria. Una regla que requiera un consenso regional total haría imposible la acción de emergencia. Una regla que ignore las opiniones de los miembros carecería de legitimidad.

La mejor respuesta es una aportación estructurada: aviso, breves ventanas de retroalimentación cuando sea práctico, canales protegidos para la evidencia, un resumen publicado de las preocupaciones y una revisión posterior al evento.

En AFRINIC, el consentimiento del operador y la legitimidad de los miembros serían especialmente sensibles porque la crisis ya involucraba reclamaciones sobre la autoridad de voto, los poderes notariales y las listas de miembros. Cualquier operador de emergencia necesitaría evitar depender de los mismos archivos de autoridad en disputa sin verificación. También necesitaría un plan de comunicaciones que llegue a los miembros directamente a través de los registros de contacto conservados, protegiendo al mismo tiempo la confidencialidad.

Por lo tanto, el consentimiento no es una firma ceremonial. Es la diferencia entre la continuidad del servicio y la ocupación disputada. La regla de reemplazo debe tratarlo como infraestructura.

La portabilidad de los registros es el activo central

Lo más importante que se mueve en una emergencia de registro no es la marca, la oficina o las actas de la junta. Es el estado actual de los registros. Si los registros están incompletos, obsoletos, disputados, no son portables o son legalmente inaccesibles, ningún operador de emergencia puede proporcionar un servicio creíble. Heredará una niebla.

La portabilidad de los registros tiene varias capas. La capa pública incluye las entradas de registro visibles a través de los servicios de directorio, las asignaciones y asignaciones de recursos, los roles de contacto, las referencias relacionadas con el enrutamiento y las delegaciones de DNS inverso. La capa protegida incluye las credenciales de la cuenta, la evidencia de autoridad, los archivos de los miembros, los registros de facturación, los documentos legales, las comprobaciones de identidad, los contactos no públicos, los tickets pendientes, la evidencia de transferencias, los archivos de disputas y las restricciones judiciales.

La capa de confianza técnica incluye el material de certificación de recursos, el estado del repositorio, los acuerdos de firma, los detalles de la zona inversa y las credenciales operativas. La capa de gobernanza incluye el estado de los miembros, la autoridad de voto, los registros de la junta y los comités, los documentos de políticas y el historial de decisiones.

Cada capa tiene un problema de portabilidad diferente. Los datos públicos pueden copiarse, pero pueden no mostrar quién puede ordenar cambios. Los datos protegidos pueden ser necesarios, pero deben manejarse bajo reglas de confidencialidad y protección de datos. El material de confianza técnica puede requerir una gestión cuidadosa de las claves y los repositorios; un movimiento descuidado puede romper la validación o crear una autoridad duplicada. Los registros de gobernanza pueden estar impugnados; moverlos sin anotación puede convertir una autoridad en disputa en un hecho aceptado.

El texto de ICP-2 de 2001 ya reconocía que el mantenimiento de registros era esencial. Exigía registros adecuados de las actividades del registro y la información de archivo recopilada de los LIR al realizar las asignaciones de espacio de direcciones, describiendo estos datos como necesarios para la evaluación futura y la auditabilidad de las operaciones responsables y neutrales. Ese requisito no fue escrito como una regla de portabilidad completa, pero apunta a la verdad central: la continuidad del registro depende de los registros que pueden ser auditados.

La carta de ICANN de 2025 a AFRINIC pidió al administrador judicial que confirmara el estado del mantenimiento de registros y las copias de seguridad de los datos de registro y los registros de los miembros de recursos. Esa pregunta debe estar en el centro de cualquier regla de reemplazo. Si los registros solo se respaldan dentro de la institución en problemas, la continuidad de emergencia puede ser imposible. Si existen copias de seguridad pero no pueden usarse legalmente, la continuidad es teórica.

Si las copias de seguridad están actualizadas pero carecen de evidencia de autoridad, las consultas de rutina pueden continuar mientras las acciones de los miembros se vuelven inseguras.

La portabilidad debe probarse antes de la crisis. Un registro debería poder producir un inventario de servicios y un conjunto de custodia cifrado actualizado bajo controles claros. El conjunto de custodia no debería ser un volcado de datos públicos. Debería estar lo suficientemente estructurado para que un operador de emergencia pueda identificar los registros públicos actuales, los cambios pendientes, los archivos de autoridad, las categorías de confidencialidad, el material de confianza técnica, el estado del DNS inverso, los tickets de servicio y las disputas. Debería probarse para restaurarlo en un entorno controlado.

Probar no es lo mismo que usar. Un operador de emergencia no necesita acceder a los registros confidenciales en tiempos normales. Pero un auditor independiente puede verificar que exista el depósito de custodia, que esté actualizado, que los controles de acceso sean viables y que una restauración sería posible si ocurriera el desencadenante. El informe puede publicar categorías de aprobado, rechazado y excepción sin exponer los secretos de los miembros.

AFRINIC demostró por qué esto no es abstracto. Una crisis sobre la autoridad de voto, el posible acceso a las listas y las copias de seguridad de los registros plantea inmediatamente la cuestión de si el estado de los registros es lo suficientemente fiable como para moverlos. Una regla de reemplazo debe decir cómo se transportan los registros en disputa: con anotación, congelación, validación independiente o exclusión de la acción rutinaria hasta que se resuelva. Debe impedir que una transferencia lave una autoridad incierta convirtiéndola en un estado operativo limpio.

La portabilidad de los registros es, por tanto, el activo central del reemplazo. Sin ella, el operador de emergencia es solo un nombre. Con ella, el reemplazo se convierte en un acto disciplinado de preservación en lugar de un acto político.

El estado de los datos debe viajar antes que la autoridad

La autoridad debe seguir al estado de los datos, no precederlo. En una emergencia de registro, el sistema debe primero definir el estado del servicio que se va a preservar, y luego decidir qué operador puede preservarlo legal y técnicamente. Si la autoridad se mueve primero, el nuevo operador puede verse obligado a tomar decisiones sin saber lo que controla.

Un archivo de migración debe contener un mapa de servicios actualizado. Debe enumerar los servicios de registro público, los archivos no públicos de miembros y titulares de recursos, los servicios de confianza técnica, las responsabilidades de DNS inverso, las solicitudes pendientes, las disputas pendientes, las órdenes judiciales, las dependencias de personal y proveedores, las credenciales, la supervisión, el estado de las copias de seguridad y los canales de comunicación. Para cada categoría, debe indicar si el servicio no está afectado, está en riesgo, congelado, restringido, en disputa o no disponible.

El archivo también debe identificar los estados de las transacciones. Las transferencias pendientes son especialmente sensibles. Una transferencia puede estar solicitada, en revisión, a la espera de pruebas, aprobada pero no completada, en disputa, retenida por orden judicial o retrasada por tasas. Si esos estados se pierden, compradores y vendedores pueden enfrentarse a doble presentación, promesas contradictorias o pérdida de prioridad. Un operador temporal no debería tener que inferir el estado a partir de fragmentos de correo electrónico.

El RPKI y el DNS inverso requieren sus propios archivos de transición. Para la certificación de recursos, el operador debe conocer las relaciones de la autoridad de certificación, los puntos de publicación, el estado del repositorio, los ROA, las expectativas de validación y los límites de revocación de emergencia. Para el DNS inverso, el operador debe conocer las delegaciones de zona principal, los registros DS cuando corresponda, el estado del servidor de nombres y los cambios pendientes. Estos servicios pueden afectar a la seguridad del enrutamiento, la reputación del correo, los diagnósticos de red y la incorporación a la nube.

No pueden trasladarse únicamente con lenguaje corporativo general.

La facturación y la situación de los miembros también importan. Si los miembros deben seguir pagando para preservar el servicio, necesitan saber a quién pagar y cómo se acreditan los pagos. Si la buena situación de un miembro está en disputa porque se congelaron las cuentas bancarias o se retrasaron las facturas, un operador temporal no debe convertir esa incertidumbre en pérdida de derechos de voto o de servicio sin revisión.

El archivo de migración debe preservar el contexto legal. Las órdenes judiciales nacionales pueden restringir activos, decisiones de gobernanza, comunicaciones o acciones sobre recursos. El operador de emergencia debe saber qué órdenes existen y cómo afectan al servicio. No debe asumir que una decisión de ICANN o de la NRO anula la legislación local. Tampoco debe interpretarse una orden local como que destruye la continuidad del servicio global cuando es posible un cumplimiento más limitado.

La regla debe definir un punto de congelación. En el momento en que comienza la continuidad de emergencia, los cambios ordinarios pueden necesitar una breve pausa controlada mientras se concilia el estado. La pausa debe ser corta y publicada. Los cambios de emergencia que eviten la pérdida de servicio deben seguir siendo posibles. Una vez confirmado el estado, los servicios rutinarios de bajo riesgo deben reanudarse bajo el mandato limitado del operador temporal.

Por eso la regla de reemplazo no puede ser solo jurídica. Es operativa. Es un procedimiento para mover un sistema de registros vivo sin perder el tiempo presente. La regla debe probarse como un simulacro de emergencia. Si los actores no pueden reconstruir el estado actual en una prueba, no pueden prometer continuidad en una crisis.

Los miembros necesitan un procedimiento de migración, no un eslogan

Para los miembros y titulares de recursos, el reemplazo se experimenta como una secuencia de preguntas prácticas. ¿Dónde inicio sesión? ¿Quién puede firmar? ¿Cuenta mi factura? ¿Puedo actualizar un contacto de abuso? ¿Puedo cambiar una delegación de DNS inverso? ¿Es válido mi estado RPKI? ¿Puede cerrarse una transferencia pendiente? ¿Se moverán mis documentos confidenciales? ¿Qué ley protege mis datos? ¿Qué pasa si el antiguo registro y el operador temporal dan respuestas diferentes?

Una regla de reemplazo debería responder a esas preguntas de antemano. El aviso público debe indicar el operador de emergencia, la hora de inicio, el alcance del servicio, los servicios no afectados, los servicios en pausa, los contactos de emergencia, el método de autenticación de miembros, el resumen de protección de datos, la notación de disputas, el tratamiento de facturación, la duración prevista y la vía de revisión. Debe evitar las afirmaciones amplias de rescate institucional y centrarse en la continuidad del servicio.

La autenticación merece un cuidado especial. Si la crisis implica una autoridad de miembro en disputa, el operador temporal no puede confiar ciegamente en los usuarios existentes del portal o en los poderes notariales. Debe utilizar un método de verificación en capas: registros actuales del registro, contactos previamente verificados, pruebas de autoridad corporativa cuando sea necesario, confirmación multicontacto para cambios de alto riesgo y marcas de disputa cuando se cuestione la autoridad. Las correcciones públicas de bajo riesgo pueden utilizar pruebas más ligeras.

Las transferencias de alto riesgo o los cambios en la confianza técnica requieren pruebas más sólidas.

El procedimiento debe preservar los derechos existentes sin ampliarlos. Un titular de recursos no debe obtener un derecho de transferencia simplemente porque comience la continuidad de emergencia. Tampoco debe perder un servicio reconocido simplemente porque la gobernanza esté bajo revisión. El operador temporal debe mantener el statu quo de los registros a menos que se permita un cambio definido y verificado. Ese statu quo debe incluir la notación de disputa cuando el registro esté impugnado.

Las comunicaciones deben ser directas y multilingües cuando la región lo requiera. Una crisis en la región de AFRINIC abarca muchos países, sistemas jurídicos y comunidades de operadores. El inglés puede seguir siendo el idioma oficial del sistema de registro para la revisión central, pero la continuidad de cara a los miembros necesita avisos claros y accesibles. La regla debe definir canales de comunicación mínimos: aviso en el sitio web, correo electrónico directo a los contactos verificados, página de estado público, instrucciones del servicio de asistencia e informes periódicos.

Los miembros también necesitan una forma de presentar pruebas. Si el archivo de contacto de un miembro es incorrecto, si falta una solicitud pendiente, si un poder notarial es falso, si el estado de una transferencia está mal registrado o si una orden judicial afecta a sus recursos, el operador temporal necesita una vía de clasificación. La vía debe ser rápida, documentada y limitada a los hechos de continuidad. No debe convertirse en un foro general de argumentación política.

El procedimiento también debe proteger al personal. En muchas crisis de registro, el personal mantiene los servicios en funcionamiento mientras las juntas, los tribunales y las facciones públicas luchan. Un operador temporal puede necesitar la cooperación del personal titular, pero el personal puede enfrentarse a instrucciones contradictorias. La regla debe indicar cómo el personal puede proporcionar información de continuidad, preservar los registros y evitar la exposición personal. No debe obligar a los empleados individuales a decidir entre las órdenes nacionales y las expectativas de continuidad global sin claridad jurídica.

Un eslogan dice «otro RIR puede intervenir». Un procedimiento de migración dice cómo experimenta cada miembro el lunes por la mañana. Esto último es lo que requiere la continuidad.

Lo que ICANN puede exigir legítimamente

La exigencia legítima de ICANN en una crisis del tipo de AFRINIC es la evidencia de capacidad de servicio, neutralidad y continuidad. Puede preguntar si se conservan los registros, si los miembros son tratados por igual, si la gobernanza puede restablecerse, si se contiene la influencia indebida, si funcionan los servicios esenciales, si las copias de seguridad están actualizadas, si el personal tiene autoridad para actuar y si la comunidad de la región está recibiendo información veraz. Estas exigencias son coherentes con la función que desempeña ICANN en la coordinación del sistema de RIR reconocidos.

ICANN no debe exigir lealtad política, un resultado electoral preferido, la derrota de un litigante en particular o una posición política elegida en Los Ángeles. No debe utilizar el reconocimiento para castigar a una región por discrepar de un actor global. No debe convertir la preocupación por la influencia de un miembro en autoridad para aprobar todos los cambios de estatutos. La línea es el riesgo del servicio y el deber reconocido.

La carta de junio de 2025 fue más contundente cuando nombró deberes concretos: apoyo de la comunidad, trato igualitario, imparcialidad, independencia, membresía abierta, mantenimiento de registros y copias de seguridad. Fue más vulnerable cuando planteó preocupaciones sobre influencias que podrían llevar la política de AFRINIC a posiciones contrarias a la coordinación global. Esa puede ser una preocupación legítima si la influencia compromete el servicio imparcial o el sistema de numeración. Se necesita una declaración de pruebas precisa para evitar que suene a vigilancia política.

Una regla de reemplazo ayuda a ICANN a hacer mejores exigencias. En lugar de hacer preguntas generales bajo presión, ICANN puede asignar cada solicitud a un desencadenante conocido y una consecuencia de servicio. «Proporcione el estado de las copias de seguridad de los registros porque la continuidad de emergencia requiere una portabilidad de registros verificada». «Proporcione los resultados de la investigación de la autoridad de los miembros porque la gobernanza rutinaria y las acciones de los miembros de alto riesgo dependen de una autoridad verificada».

«Proporcione métricas de servicio porque la revisión formal requiere pruebas de capacidad operativa». Esto hace que la exigencia sea menos política y más responsable.

ICANN también puede exigir la preservación. La destrucción o alteración de archivos electorales, registros de recursos, pruebas de autoridad, copias de seguridad, registros de tickets o material de confianza técnica amenazaría la revisión y la continuidad. Un aviso de preservación está justificado cuando aparecen pruebas creíbles de crisis. El aviso debe indicar las categorías, los custodios, el método de conservación y la confidencialidad.

ICANN puede exigir transparencia al administrador judicial o al órgano de gobierno porque la confianza pública es parte de la legitimidad del servicio del RIR. Pero la transparencia debe calibrarse. Algunos detalles de la investigación, datos personales, credenciales y archivos confidenciales de los miembros no pueden publicarse. La exigencia debe ser para un informe de estado público, no para una exposición imprudente.

Por último, ICANN puede exigir un plan de remediación. Si el registro afectado puede restaurar la gobernanza, verificar la autoridad de los miembros, preservar los registros, reparar los servicios y someterse a una auditoría, el reemplazo debería seguir siendo innecesario. La regla debe hacer de la remediación el resultado preferido. El reemplazo no es una victoria. Es una respuesta controlada al fracaso.

Lo que debería decir una regla de reemplazo

La regla de reemplazo debería comenzar con los desencadenantes. La continuidad de emergencia solo debería estar disponible cuando un RIR no pueda proporcionar adecuadamente todos o una parte definida de sus servicios, o cuando la provisión continuada cree un riesgo material para los registros, la neutralidad o la integridad del servicio que no pueda abordarse con medidas más limitadas. La des-reconocimiento formal debería requerir un umbral separado y más alto.

Debería definir los operadores elegibles. Un operador debería ser un RIR cualificado u otra entidad aprobada con capacidad técnica, capacidad jurídica, controles de protección de datos, capacidad financiera, independencia de la disputa, divulgación de conflictos, experiencia en el servicio y acuerdo con el mandato temporal. El propio órgano de gobierno del operador debería aprobar la función según sus propias normas.

Debería definir el consentimiento y la aprobación. La operación de emergencia debería requerir el acuerdo de ICANN y de los otros RIR, la discusión con el RIR afectado y la comunidad cuando sea razonablemente posible, y la publicación de las razones si no es posible una discusión completa. La sucesión permanente o la des-reconocimiento deberían requerir una vía de propuesta separada y recomendaciones publicadas.

Debería definir el alcance del servicio. El aviso debería enumerar qué servicios prestará el operador: búsqueda pública, servicio de asistencia, actualizaciones de contacto, procesamiento de transferencias, DNS inverso, certificación de recursos, facturación, comunicaciones, preservación de registros, apoyo a políticas o solo un subconjunto. Todo lo que no figure en la lista queda fuera del mandato temporal.

Debería definir el movimiento de datos. El registro afectado debería depositar regularmente en custodia un conjunto actualizado y restaurable de los registros necesarios bajo controles independientes. El acceso debería ser activado por el evento, registrado, limitado por la confidencialidad y revisado después del uso. Los registros en disputa deberían trasladarse con anotaciones en lugar de normalizarse en silencio.

Debería definir la autenticación de los miembros. Las solicitudes rutinarias de bajo riesgo, los cambios de recursos de alto riesgo, las instrucciones de transferencia, las disputas de facturación y la autoridad de voto requieren cada uno pruebas diferentes. Una crisis que involucre poderes notariales no debe utilizar los poderes notariales como única vía de autoridad sin verificación.

Debería definir la continuidad de la confianza técnica. El RPKI, el DNS inverso y los servicios de directorio necesitan pasos de traspaso específicos, incluyendo puntos de congelación, comprobaciones de validación, estado del repositorio, estado de las delegaciones, contactos de emergencia, retención del servicio antiguo y criterios de devolución.

Debería definir los límites de tiempo y la renovación. El período inicial de noventa días del borrador de la NRO es una base útil, pero la renovación debería requerir razones actualizadas, pruebas de rendimiento, comentarios de la comunidad y un plan de devolución o escalada.

Debería definir la revisión. El registro afectado, los titulares de recursos afectados y el operador temporal deberían tener vías para impugnar el alcance, los errores, el exceso de autoridad o las instrucciones inseguras. La revisión debe ser lo suficientemente rápida como para ser relevante durante la emergencia.

Debería definir la devolución. El RIR afectado debería reanudar los servicios una vez que se restaure y verifique la capacidad operativa. La devolución debería incluir la reconciliación del estado, auditoría, aviso a los miembros, comprobaciones técnicas, informe de incidentes y lecciones para la próxima emergencia.

La regla debe ser lo suficientemente detallada para funcionar, pero lo suficientemente contenida como para no centralizar la autonomía ordinaria del registro. Ese es el equilibrio que AFRINIC puso de manifiesto.

La dependencia ordinaria necesita su propia protección

El electorado menos visible en una crisis de reconocimiento suele ser el más importante: el titular de recursos común que no provocó la disputa. Un pequeño proveedor de acceso, una red universitaria, un participante de un punto de intercambio regional, un alojador de contenidos, un banco, un hospital, una red de investigación o un organismo público pueden no tener ningún papel en una lucha de juntas y ningún apetito por la discusión institucional global.

Aún así, depende del registro para mantener registros precisos, contactos accesibles, cambios de DNS inverso, estado de certificación de recursos, datos de contacto de abuso, situación de la cuenta y pruebas de que sus recursos de numeración siguen en posesión legítima.

Esa dependencia ordinaria es la razón por la que el reemplazo no puede diseñarse solo para juntas, administradores judiciales, tribunales y organismos de coordinación global. La regla tiene que proteger a las personas que experimentan el fracaso del registro como interrupción, incertidumbre y riesgo de transacción.

Si el único mensaje público es que ICANN puede revisar el reconocimiento y que otro operador puede intervenir, los miembros se quedan conjeturando si sus servicios diarios se interrumpirán, si las credenciales existentes siguen siendo válidas, si se respetará una transferencia que ya está en revisión, si se copiarán los documentos confidenciales y si los cambios rutinarios se convierten en pruebas de un conflicto político.

El problema de la dependencia es práctico. Los operadores de red utilizan los registros del registro para filtrar rutas, evaluar clientes, investigar abusos, demostrar derechos de recursos a proveedores, responder a preguntas de compras, demostrar continuidad a bancos y aseguradoras y pasar la diligencia debida en las transacciones. Incluso cuando los paquetes siguen fluyendo, una crisis de legitimidad del registro puede hacer que terceros duden. Un proveedor de nube puede pedir pruebas de recursos más claras. Un comprador puede retrasar una transferencia. Un prestamista puede descontar activos de direcciones.

Un comprador gubernamental puede cuestionar si un proveedor controla sus recursos. Un equipo de seguridad puede tratar los registros de registro obsoletos como una señal de riesgo. Estos efectos no son interrupciones dramáticas, pero son costos reales.

Por lo tanto, una regla de reemplazo debería definir un escudo de dependencia. Durante la operación de emergencia, ningún titular de recursos debería perder el servicio reconocido, la situación de la cuenta o los derechos rutinarios únicamente porque el reconocimiento esté bajo revisión. El operador temporal debería preservar el último estado de recursos verificado, marcar los registros impugnados cuando sea necesario y mantener los servicios rutinarios de bajo riesgo tan pronto como se complete una breve pausa de conciliación.

Los cambios de alto riesgo pueden requerir pruebas más sólidas, pero la dependencia ordinaria no debería congelarse indefinidamente porque un archivo electoral esté en disputa.

El escudo también debería decir lo que sigue siendo válido. Los registros de registro público existentes deberían seguir siendo accesibles públicamente a menos que se sepa que un registro específico no es seguro. El estado de certificación de recursos existente debería preservarse mientras se realizan las comprobaciones de transición. Las delegaciones de DNS inverso existentes deberían permanecer activas a menos que exista una razón de seguridad o legal para cambiarlas. Los tickets existentes deberían conservar su lugar en la cola con un estado visible. Las facturas y pagos existentes deberían conciliarse en lugar de descartarse.

Las comunicaciones confidenciales existentes deberían seguir siendo confidenciales bajo los deberes del operador temporal.

Este enfoque protege ambos lados del argumento de la legitimidad. Impide que un titular en quiebra tome como rehenes a los miembros diciendo que cualquier apoyo externo destruiría el servicio. También impide que un actor externo utilice la continuidad del servicio como excusa para reordenar los derechos de los miembros. La base es la preservación. El cambio requiere una razón definida, una vía de autoridad definida y un registro que pueda ser revisado.

El escudo de dependencia debería incluir una suspensión de las acciones punitivas. Durante el periodo de emergencia inicial, el operador temporal no debería suspender recursos, cancelar la membresía, rechazar la renovación, cerrar una transferencia o cambiar la situación de un miembro debido a los registros afectados por la crisis a menos que la seguridad inmediata, el cumplimiento judicial o un fraude claro requieran una acción. Las tarifas pueden seguir cobrándose y las obligaciones rutinarias pueden seguir manteniéndose, pero el operador no debería convertir la confusión administrativa en pérdida de derechos.

La anotación de disputa es mejor que la normalización silenciosa. Si dos partes reclaman la autoridad sobre la misma cuenta de miembro, el operador temporal debería marcar la cuenta como en disputa, permitir servicios de continuidad de bajo riesgo cuando sea seguro y exigir pruebas más sólidas para los cambios de alto riesgo. Si un archivo de transferencia está incompleto porque una orden judicial o un problema de acceso del personal interrumpió la revisión, el archivo debería conservarse con su estado descrito.

Si se cuestiona un poder notarial, no debería aceptarse ni rechazarse por defecto simplemente porque estuviera en el conjunto de registros. Debería revisarse bajo la regla de autenticación de emergencia.

La misma protección debería aplicarse a los datos. Los miembros deberían saber a qué categorías de su información puede acceder el operador de emergencia, por qué es necesario el acceso, qué deberes de confidencialidad se aplican, dónde se almacenarán los datos, cómo se registra el acceso, cuándo se devolverán o eliminarán los datos y cómo puede un miembro informar de un error. Esto no es una higiene jurídica opcional. En una región de servicios multinacional, la confianza en el manejo de los datos forma parte de la confianza en el propio reemplazo.

La dependencia ordinaria también necesita métricas públicas. Un operador temporal debería informar sobre los volúmenes de tickets, la disponibilidad del servicio, el tiempo de respuesta de las solicitudes rutinarias, las categorías de servicios en pausa, los recuentos de disputas, el estado de la confianza técnica y los hitos previstos para la devolución. El informe no necesita exponer los archivos confidenciales de los miembros. Debería dar a los miembros suficiente información para decidir si el puente está funcionando. El silencio genera rumores, y los rumores aumentan los costos de transacción.

La crisis de AFRINIC muestra por qué esta protección es central. Los titulares de recursos de la región no necesitaban un debate teórico sobre la autoridad de reconocimiento. Necesitaban que el registro funcionara, que los registros siguieran siendo creíbles y que cualquier plan de continuidad externo respetara los derechos regionales. Una regla de reemplazo que falle en la dependencia ordinaria será juzgada no por su teoría institucional, sino por si los miembros pueden seguir operando sus redes el lunes por la mañana.

El riesgo de no hacer nada

El riesgo no es solo que un registro en quiebra pueda perjudicar a la región. El riesgo es que un poder de rescate indefinido perjudique a la región mientras intenta ayudar. Una amenaza vaga puede aumentar los costos de transacción, profundizar las facciones, alarmar a los tribunales, congelar las inversiones, fomentar los litigios oportunistas y hacer que cada miembro común se pregunte si su servicio está a punto de trasladarse. Un operador de emergencia vago puede crear problemas de datos, responsabilidad y legitimidad que sobrevivan a la crisis.

No hacer nada también protege demasiado a los titulares. Si no existe una regla de reemplazo, un registro en crisis puede argumentar que cualquier movimiento sería demasiado peligroso. Puede utilizar la ausencia de un plan como escudo contra la revisión. Eso crea un riesgo moral. Cuanto peor es el plan de continuidad, más indispensable parece el titular. Una institución crítica no debería volverse inmune porque el reemplazo sería difícil.

La respuesta correcta no es la intervención agresiva. Es la preparación. El sistema debería hacer que el reemplazo sea menos atractivo pero más posible. Menos atractivo, porque la remediación, la auditoría y las salvaguardas limitadas deberían resolver la mayoría de los problemas antes de la transición. Más posible, porque los registros, los mapas de servicios y las reglas del operador deberían existir si la función pública realmente no puede continuar.

La crisis de AFRINIC ya ha mostrado el costo de un diseño tardío. Las cartas, las presentaciones judiciales, los informes de prensa, las acusaciones de los miembros y los conceptos de emergencia llegaron mientras los servicios aún tenían que funcionar. Ese es el peor momento para decidir quién puede conservar los registros, quién puede autenticar a los miembros, quién paga al operador, quién responde a un ticket de transferencia o cómo restaurar los servicios al titular.

ICANN y los RIR deberían tratar la advertencia de AFRINIC como un plazo de diseño. La revisión del reconocimiento tiene ahora un precedente visible. El siguiente paso debería ser una regla de reemplazo que los miembros puedan leer antes de necesitarla. La regla debería ser lo suficientemente operativa para los ingenieros, lo suficientemente jurídica para los tribunales, lo suficientemente limitada para la autonomía regional y lo suficientemente pública para los mercados.

El objetivo no es facilitar la des-reconocimiento. Es hacer que la continuidad sea creíble. Si un registro puede ser restaurado, restáurese con pruebas. Si se necesita un operador temporal, limítese. Si los registros deben trasladarse, trasládense con anotación y confidencialidad. Si la autoridad debe cambiar, publíquense las razones y los derechos de revisión. Si el titular regresa, devuélvase limpiamente. Si no puede, utilícese una vía de sucesión separada y razonada.

La amenaza de ICANN a AFRINIC fue, por tanto, una advertencia para todo el sistema, no solo para un administrador judicial. La capa de reconocimiento necesita ahora la regla que falta debajo de ella. Hasta que esa regla exista, cada amenaza de revisión llevará consigo una segunda amenaza innecesaria: no solo que el titular pueda fracasar, sino que nadie ha escrito todavía la forma segura de reemplazar el servicio sin reemplazar los derechos de la región.

Fuentes