O Plano de Contingência do NRO para a AFRINIC e o Consentimento Ausente do Operador

Resumo

• A arquitetura pública de continuidade do NRO não é um plano completo de aquisição da AFRINIC. É um conjunto de compromissos de ajuda mútua, um Fundo de Estabilidade, procedimentos de avaliação ICP-2, expectativas técnicas e um documento de governança preliminar ainda não adotado.
• Backups, custódia, pessoal de pares e financiamento de emergência são salvaguardas necessárias. Eles preservam opções e reduzem o risco de interrupção. Eles não conferem automaticamente autoridade para alterar registros de recursos, revogar certificados, assumir contratos, cobrar taxas ou decidir direitos contestados.
• Os procedimentos ICP-2 de 2024 permitem que o ICANN e os registros restantes identifiquem um provedor de serviços de emergência se um RIR não puder ser restaurado, mas o registro de ratificação do ICANN afirma expressamente que os procedimentos formais de desreconhecimento e transição ainda não foram cobertos.
• O "consentimento do operador" não deve significar que cada titular de recurso pode vetar uma transferência de emergência estritamente necessária. Deve significar que a autoridade, gatilhos, usos de dados, poderes temporários, notificação, correção, apelação, portabilidade e condições de retorno foram aceitos por meio de um instrumento válido antes da crise, ou fornecidos por um processo legal competente durante ela.
• O próximo texto de governança deve preservar a ativação técnica rápida enquanto evita o desvio de mandato: separar a continuidade somente leitura do poder discricionário do registro, publicar o gatilho e o escopo, proteger dados confidenciais, manter trilhas de auditoria no nível do operador e exigir um caminho cronometrado de volta à AFRINIC ou a um sucessor legalmente reconhecido.

O "plano" de contingência é realmente uma pilha de instrumentos parciais

A discussão pública frequentemente se refere a um plano de contingência do NRO como se os cinco registros regionais de Internet tivessem adotado um documento completo especificando o que acontece quando a AFRINIC falha. O registro público é mais fragmentado. Há um memorando do NRO alocando responsabilidades coletivas. Há um Fundo de Estabilidade Conjunto dos RIRs para apoio financeiro e em espécie. Há os procedimentos de 2024 do ICANN para avaliar a conformidade contínua com o ICP-2. Há expectativas sobre registros, backups e confidencialidade.

Há também um documento de governança preliminar de 2025 que propõe um operador de emergência e regras de transição mais explícitas, mas permanece em desenvolvimento em 2026.

Cada elemento resolve parte do problema. O fundo pode pagar pela recuperação. Registros pares podem fornecer pessoal experiente e capacidade técnica. Backups podem preservar registros. Uma avaliação pode estabelecer que um RIR não consegue cumprir. Um operador temporário pode manter funções críticas disponíveis. Nenhum desses elementos, sozinho, responde a todas as questões de autoridade levantadas pela ativação.

Quem decide que a AFRINIC não pode continuar? A decisão é técnica, corporativa, judicial ou baseada em reconhecimento? Quais serviços o substituto pode realizar? Ele pode fazer novas alocações, alterar contatos de uma organização, revogar um certificado de Resource Public Key Infrastructure, alterar delegação de DNS reverso, faturar clientes ou encerrar um relacionamento? Quais dados podem ser copiados e com qual finalidade? Como um operador contesta um erro? Quando e como o serviço retorna?

Chamar a pilha de plano pode esconder essas lacunas. A melhor abordagem é identificar cada função, seu instrumento e seu tomador de decisão. A engenharia de continuidade é necessária. A engenharia de mandato é igualmente necessária porque um substituto tecnicamente capaz ainda pode não ter autoridade para tomar uma decisão contestada.

Backup é prudente porque a administração de números não pode improvisar após uma falha

Os registros da AFRINIC conectam organizações a recursos de número de Internet, contatos, material de autorização de rota e histórico de serviços. Uma perda súbita de acesso, pessoal ou infraestrutura pode obstruir atualizações legítimas e enfraquecer a confiança sobre quem pode agir em nome de um titular de recurso. Portanto, é totalmente razoável que o sistema de registros regionais mantenha dados replicados, procedimentos de recuperação testados, financiamento de emergência e assistência de pares.

Orelatório de reconhecimento da IANA para a AFRINIC de 2005já tratava a robustez técnica e a recuperação de desastres como considerações de reconhecimento. Ele registrou arranjos de backup e a migração planejada de relacionamentos de serviço existentes dos registros regionais incumbentes. A continuidade não foi inventada em resposta a litígios recentes; fazia parte do projeto da instituição.

A lição dessa história não é que as transferências são proibidas. É que uma transição é mais do que copiar arquivos. A migração original envolveu organizações reconhecidas, alcance regional, comunicações com as partes afetadas e uma mudança acordada dos provedores de serviços existentes para a AFRINIC. Ela combinou prontidão técnica com autorização institucional.

Hoje, um backup que não pode ser ativado sob pressão tem valor limitado. Mas a ativação deve ser projetada antes que a pressão chegue. A autorização pode ser escrita em um acordo de serviço válido, um pacto de associação, um padrão de governança reconhecido ou um arranjo supervisionado por tribunal. O que deve ser evitado é a escolha entre dois extremos ruins: nenhuma preparação, ou um substituto preparado cujos poderes são definidos somente depois que ele assume o controle.

Apoio e sucessão são eventos legais diferentes

A ajuda mútua pode preservar a identidade e a autoridade do registro afetado. Um par pode emprestar engenheiros, financiar folha de pagamento, hospedar um sistema secundário ou aconselhar um administrador enquanto a AFRINIC permanece como provedora de serviços e tomadora de decisões. O par age em apoio à AFRINIC, sob sua instrução legal ou outro mandato definido.

Sucessão é diferente. Um sucessor ou provedor temporário de emergência pode se tornar a instituição que autentica usuários, interpreta direitos, altera registros autoritativos, emite ou revoga credenciais, celebra contratos, cobra pagamentos e resolve disputas. Mesmo que a transferência seja temporária, o substituto exerce poder sobre os operadores, em vez de meramente ajudar a AFRINIC a exercer o seu próprio.

A distinção pode ser expressa como um teste. Se a AFRINIC permanece responsável pela decisão e o par fornece capacidade, o arranjo é de apoio. Se o par decide em seu próprio nome ou sob uma nova autoridade, o arranjo é de substituição. A interface técnica pode parecer idêntica para o usuário, mas o relacionamento legal não é.

Isso é importante porque muitos documentos de continuidade são mais fortes em apoio. Eles especificam dinheiro, pessoal e coordenação. Eles são mais fracos em sucessão: transferência de contrato, status de controlador de dados, lei aplicável, apelações, responsabilidade e retorno. Uma arquitetura de contingência deve dizer claramente onde a assistência termina e a autoridade substituída começa.

O Fundo de Estabilidade é uma ferramenta de recuperação, não uma carta de transferência

OFundo de Estabilidade Conjunto dos RIRsdo NRO é um compromisso sério e útil. Os registros participantes prometem apoio financeiro e em espécie para ajudar um RIR a restaurar a estabilidade. O apoio pode incluir pessoal operacional, e as regras esperam um plano concreto, orçamento, relatórios e aprovação pelo Conselho Executivo do NRO.

O gatilho comum do fundo é revelador. Espera-se um pedido formal do conselho de governança do registro afetado, explicando os motivos e o apoio solicitado. Espera-se que o órgão de governança do registro afetado decida a direção da recuperação. Essa estrutura respeita a autonomia: os pares ajudam porque o RIR afetado pede.

A crise da AFRINIC expôs o caso extremo. O que acontece quando o conselho cujo pedido legitima a assistência não existe, não tem quórum ou é ele próprio contestado? Um administrador pode possuir autoridade local para solicitar ajuda, mas as regras públicas do fundo não explicam completamente como essa autoridade se aplica a cada função do registro. Os outros registros podem aprovar o financiamento por unanimidade, mas a vontade unânime de ajudar não é o mesmo que autorização da organização cujos contratos e registros estão envolvidos.

Portanto, o fundo resolve a capacidade melhor do que o mandato. Isso não é uma crítica à existência do fundo. É uma razão para complementá-lo. Um instrumento de contingência moderno deve identificar solicitantes substitutos quando o conselho não estiver disponível, especificar como sua autoridade é verificada e distinguir gastos de apoio da ativação de um provedor de serviços substituto.

A posição pública de 2022 prometeu ajuda sem anunciar uma tomada de controle

Em julho de 2022, os registros regionais publicaram umamensagem para a comunidade da AFRINIC. Ela expressou preocupação, ofereceu apoio e enfatizou que a atividade e a política do registro regional permaneciam nas mãos da comunidade regional. A mensagem dizia, em efeito, que a AFRINIC continuava sendo o RIR da África.

Essa declaração era uma posição institucional, não uma adjudicação vinculante. Ainda assim, fornece um parâmetro útil para interpretar medidas de contingência posteriores. O apoio foi publicamente enquadrado como preservação da instituição regional, não sua substituição. Qualquer transferência de emergência posterior deve, portanto, identificar o evento que mudou a postura, o instrumento que permitiu a mudança e as condições sob as quais a instituição regional retoma o serviço.

No mesmo mês, o NRO escreveu ao governo mauriciano sobre as circunstâncias da AFRINIC e a importância da continuidade. Essa defesa demonstrou a preocupação dos pares, mas uma carta ao governo não atribuiu por si só as obrigações da AFRINIC a outro registro. Buscou ajuda da autoridade capaz de agir sob a lei local.

A linha de base pública continha, portanto, uma restrição saudável: os pares podiam se preparar, apoiar e defender, reconhecendo que a AFRINIC e sua comunidade mantinham uma posição institucional distinta. Um projeto de emergência crível deve preservar essa restrição mesmo quando uma ação rápida é necessária.

O memorando do NRO permite coordenação, mas rejeita representação implícita

Omemorando do NROé o pacto constitucional entre os registros regionais. Ele permite atividade operacional e externa coletiva em assuntos delegados sob o acordo. Compromissos importantes dependem de acordo escrito ou unânime entre os registros participantes. Tarefas técnicas podem ser atribuídas, e o Conselho Executivo pode representar os registros em assuntos especificamente delegados.

Os limites são tão importantes quanto as concessões. O memorando diz que o arranjo não cria uma parceria, representação, associação ou franquia entre os signatários. Também restringe a transferência ou cessão de interesses, direitos e obrigações sem o consentimento prévio por escrito dos signatários.

Essas cláusulas impedem uma inferência casual de que um registro automaticamente fala por ou sucede outro. O NRO pode coordenar atividades comuns. Seu Conselho Executivo pode comprometer recursos coletivos sob as regras acordadas. Mas o memorando não é uma procuração universal sobre os relacionamentos com clientes da AFRINIC.

Aadesão da AFRINIC de 2005 ao arranjo do NROconfirma a participação na estrutura coletiva. Não identifica titulares individuais de recursos como tendo cedido seus direitos contratuais ao NRO ou aos outros quatro registros. Nem especifica que um par pode exercer todas as funções da AFRINIC durante a administração judicial.

O mandato para uma transferência de emergência deve, portanto, vir de algo mais específico: consentimento prévio nos arranjos relevantes, um pedido autorizado da AFRINIC, um administrador ou ordem judicial legal, uma regra de transição de reconhecimento válida, ou uma combinação. A prontidão técnica coletiva não é esse instrumento ausente.

O relacionamento ASO não preenche a lacuna de consentimento do operador

Omemorando ASO de 2019faz do NRO o veículo através do qual os registros regionais desempenham o papel de Organização de Apoio a Endereços dentro do ICANN. Ele estabelece responsabilidades de política global, recomendações de reconhecimento, nomeações e coordenação.

Esse relacionamento é importante se o reconhecimento contínuo da AFRINIC for questionado. Também é importante quando os registros restantes aconselham o ICANN ou solicitam uma avaliação. Mas não está escrito como um acordo de serviço direto com operadores de rede africanos. Não diz a um operador qual lei rege uma conta transferida, quem arca com a responsabilidade por uma revogação equivocada, ou como um pedido de alocação contestado é apelado após a transferência de emergência.

O arranjo ASO, portanto, ajuda a responder quem participa das decisões globais de reconhecimento. Ele não responde completamente quem pode assumir relacionamentos de serviço downstream. Este é um problema de projeto recorrente: instituições de nível sistêmico podem decidir que um nó reconhecido está falhando, enquanto a mecânica legal de mover os clientes desse nó permanece subespecificada.

A solução não é negar a autoridade de nível sistêmico. É conectá-la aos direitos do operador. Uma determinação de reconhecimento ou emergência deve ativar um protocolo de continuidade de serviço pré-acordado que os operadores possam inspecionar. O protocolo deve nomear o substituto, definir seus poderes e preservar direitos de contestação e retorno. Sem essa ponte, uma decisão global válida ainda pode produzir relacionamentos locais incertos.

O papel da IANA mostra por que a hierarquia técnica não é sucessão contratual

Apágina de serviços de números da IANAexplica a hierarquia de alocação. A IANA aloca pools não alocados de recursos de número de Internet para os registros regionais. Os registros então distribuem e administram recursos sob política regional. A IANA não gerencia normalmente as contas dos operadores africanos.

Essa hierarquia é crucial para a continuidade. Se a AFRINIC não puder receber ou administrar recursos de número, as funções da IANA do ICANN e os registros pares devem saber como o registro global permanece coerente. A IANA pode preservar a unicidade de nível superior e coordenar com um provedor reconhecido ou de emergência.

Mas hierarquia não é igual a relação contratual direta. Os direitos diários de um operador, taxas, contatos e histórico de recursos surgem através das políticas, estrutura de associação e termos de serviço da AFRINIC. A capacidade da IANA de coordenar pools de nível superior não transfere automaticamente esses relacionamentos para outro registro.

Olivreto informativo da IANAtambém descreve a IANA como implementadora, não formuladora de políticas. A política regional e o serviço regional permanecem camadas distintas. Uma contingência que mantém o registro de nível superior correto pode ainda deixar sem solução quem pode tomar uma decisão regional contestada.

A arquitetura deve, portanto, separar a função global mínima da função regional completa. Preservar a unicidade e o acesso de leitura pode exigir ação imediata. Mudar direitos, contratos ou resultados baseados em políticas requer um mandato mais forte e mais procedimento.

Um mapa de serviços útil começa com cinco camadas distintas

"Serviço de registro" é um termo muito amplo para projeto de emergência. Pelo menos cinco camadas devem ser distinguidas.

A primeira é a preservação: manter cópias completas, imutáveis e testadas de registros públicos e protegidos. Isso pode ocorrer antes da falha e deve envolver custódia estrita, criptografia e controles de auditoria.

A segunda é a disponibilidade: manter informações de diretório público, repositórios de segurança de roteamento e funções de consulta essenciais acessíveis. Algumas medidas de disponibilidade podem ser automatizadas e somente leitura.

A terceira é a manutenção autenticada: permitir que um titular de recurso conhecido atualize contatos, objetos de rota, certificados ou informações de DNS reverso. Isso requer verificação confiável de identidade e um registro de autoridade.

A quarta é a administração discricionária: aprovar uma nova alocação, interpretar política, resolver reivindicações concorrentes, recuperar recursos ou sancionar não conformidade. Esses atos afetam direitos substantivos e frequentemente exigem julgamento.

A quinta é o relacionamento comercial e corporativo: faturamento, manuseio de depósitos ou taxas, alteração de termos contratuais, admissão de membros, processamento de votos e aceitação de citação judicial.

Uma contingência pode ativar essas camadas em estágios. A preservação deve ser contínua. A disponibilidade somente leitura pode ter um limite de ativação baixo. A manutenção autenticada pode exigir incapacidade verificada da AFRINIC e autoridade mais forte. Atos discricionários e comerciais devem exigir o mandato mais claro, procedimento explícito e revisão. Tratar todas as cinco como um único interruptor técnico torna muito fácil para a custódia de backup se tornar poder de governança não examinado.

Registros públicos, registros confidenciais e autoridade de decisão não são intercambiáveis

Algumas informações de recursos numéricos são destinadas a ser públicas. Outro material inclui contatos pessoais, credenciais de conta, contratos, faturas, documentos de identidade, dados de segurança e históricos de decisão internos. Um espelho que detém legalmente registros públicos não tem necessariamente permissão para usar registros confidenciais para um novo propósito.

Osprocedimentos de avaliação ICP-2 de 2024contêm uma regra de confidencialidade notável. As informações de registro devem ser usadas para fins de registro e podem ser transmitidas a outro RIR ou à IANA mediante solicitação; outras transmissões geralmente exigem consentimento por escrito do titular do recurso. O texto dá ao sistema de registro uma base importante para custódia controlada entre pares. Também vincula os dados à finalidade.

Essa regra apoia o backup e a continuidade mais fortemente do que os críticos às vezes admitem. A permissão individual não é necessariamente necessária cada vez que dados de registro protegidos são espelhados com segurança para um par autorizado para a finalidade declarada de registro. No entanto, a regra não responde a todas as questões de ativação. Possuir os dados não é o mesmo que se tornar o provedor contratante. Usá-los para manter um registro existente não é necessariamente o mesmo que usá-los para julgar uma disputa, comercializar um novo serviço, alterar taxas ou expô-los sob um regime legal diferente.

O instrumento de contingência deve, portanto, definir papéis: custodiante, processador, operador de serviço temporário, tomador de decisão e sucessor. Também deve definir finalidades permitidas e deveres de exclusão ou devolução. O consentimento para custódia não deve ser esticado para consentimento a todo exercício futuro de discrição.

Os procedimentos de 2024 autorizam avaliação e apontam para serviço de emergência

Os procedimentos de 2024 dão ao ICANN e aos outros registros um papel mais claro do que o texto ICP-2 mais antigo. Os RIRs restantes podem solicitar uma revisão por unanimidade. O ICANN pode iniciar uma revisão limitada se acreditar razoavelmente que a coordenação segura e estável de identificadores únicos está em risco. O procedimento prevê coleta de informações, conclusões preliminares, correção factual e, em casos críticos, tratamento acelerado.

Se a conformidade não puder ser restaurada, os procedimentos dizem que o ICANN trabalhará de forma transparente com os RIRs restantes para identificar um provedor de serviços de emergência. Eles também incentivam backups ou custódia suficientes. Este é um mandato de contingência real no nível do sistema de reconhecimento. Não é meramente uma promessa informal entre engenheiros.

Seus limites ainda são materiais. A identificação de um provedor não especifica por si só todas as funções que esse provedor pode realizar. O texto não estabelece um regime completo de notificação ao operador, mecanismo de transferência de contrato, alocação de responsabilidade ou via de recurso. Ele não define completamente quando o serviço temporário se torna sucessão permanente.

Os procedimentos também permitem ação de emergência quando o atraso seria inseguro, mas exigem que a revisão permaneça conectada ao risco do identificador. Essa conexão deve determinar o escopo da ativação. Se o risco é perda de registros, preserve registros. Se o risco é indisponibilidade de atualizações autenticadas, ative esse serviço. Uma transferência total de autoridade discricionária e comercial precisa de justificativa adicional.

O registro de ratificação do ICANN deixou expressamente a transição inacabada

Oaviso de ratificação do Conselho do ICANN de dezembro de 2024disse que os procedimentos de implementação não adicionavam novas obrigações substantivas. Também afirmou que os procedimentos formais de desreconhecimento e transição estavam fora do texto adotado e exigiam maior desenvolvimento de política.

Esse reconhecimento é a evidência mais clara da lacuna de mandato. O sistema tinha um método para revisar um RIR e uma direção para identificar serviço de emergência se a restauração falhasse, mas ainda não tinha um código adotado completo para desreconhecimento e transição.

A lacuna não significa que o apoio de emergência é ilegítimo. Um contrato existente, ordem judicial, instrução de administrador ou outro arranjo legal pode autorizar atos específicos. A necessidade também pode justificar medidas estritamente protetivas em alguns sistemas legais. Mas o procedimento público ICP-2 não deve ser descrito como resolvendo questões que seu registro de ratificação disse terem sido deixadas para política futura.

É por isso que o consentimento do operador é importante. Quando o instrumento global para antes da transição de contrato e serviço, os relacionamentos afetados não desaparecem. A autoridade ausente deve ser encontrada em outra fonte válida ou construída no próximo texto de governança.

As cartas do ICANN sobre a AFRINIC focaram corretamente no backup, mas ainda não nos direitos de ativação

Acarta de 7 de março de 2025 do ICANNperguntou ao administrador da AFRINIC sobre registros adequados, informações protegidas de clientes, alinhamento com ICP-2 e backups regulares. Suacarta de 3 de julhoretornou à manutenção de registros, backups e custódia, preservando a possibilidade de uma revisão de conformidade.

Essas perguntas eram apropriadas. Antes que qualquer provedor de emergência possa operar, o sistema deve saber que existe um registro completo, atual e confiável. A custódia deve ser testada, não assumida. O acesso não deve depender de um único ocupante contestado ou de um único local com falhas.

A correspondência pública não forneceu um pacto de ativação igualmente detalhado. Quem poderia liberar a custódia? Qual evento constituiu falha? O substituto poderia fazer alterações ou apenas servir uma cópia? O que aconteceria com credenciais e chaves de assinatura? Quais termos de privacidade regeriam? Como o administrador, membros e operadores seriam notificados? Quem corrigiria um registro incorreto?

Essas omissões podem refletir arranjos confidenciais não visíveis publicamente. Elas devem, portanto, ser tratadas como perguntas sem resposta, não como prova de que nenhuma preparação existia. Mas a legitimidade pública requer mais do que confiança técnica privada uma vez que a ativação afeta direitos de terceiros. O gatilho, escopo e arquitetura de reparação devem ser publicáveis, mesmo que detalhes de implementação sensíveis permaneçam protegidos.

O documento de governança preliminar de 2025 melhora a arquitetura de gatilho

ODocumento de Governança de RIR preliminar, versão 2, publicado em agosto de 2025, tenta preencher várias lacunas. Exige preparação de continuidade, incluindo compartilhamento de registros relevantes, procedimentos e sistemas com um operador de emergência sujeito a condições de custódia e proteção de dados. Propõe que os outros registros e o ICANN possam autorizar por unanimidade um operador de emergência temporário quando um RIR não puder fornecer serviço.

O rascunho também propõe consulta com o RIR afetado e a comunidade regional sempre que razoavelmente possível, publicação da razão e escopo, engajamento da comunidade, um direito do RIR afetado de retomar o serviço e um período de emergência de 90 dias. Exige um relatório pós-evento, avaliação e feedback. Estas são melhorias substanciais em relação a uma transferência de emergência indefinida.

Em 13 de julho de 2026, no entanto, ocronograma de processo do NRO publicadoainda descrevia atualizações adicionais no terceiro trimestre de 2026 e adoção planejada no quarto trimestre. O rascunho deve, portanto, ser analisado como uma proposta, não citado como já vinculante.

Mesmo como proposta, demonstra reconhecimento institucional de que a continuidade precisa de regras. Fornece conceitos de ativação, divulgação e limite de tempo que estavam ausentes da estrutura pública anterior. A tarefa restante é conectar esses conceitos mais diretamente aos direitos do operador e à mecânica legal da substituição de serviço.

O limite de 90 dias do rascunho é valioso, mas não suficiente

Um período de emergência curto reduz o risco de que uma medida temporária se torne permanente por inércia. Noventa dias cria pressão para restaurar o registro afetado, renovar a autoridade de forma transparente ou iniciar uma transição formal. Um relatório pós-evento pode expor se o operador de emergência permaneceu dentro do escopo.

O tempo sozinho não define o poder. Um provedor temporário pode cometer um erro irreversível no primeiro dia. Pode revogar um certificado, rejeitar uma transferência, divulgar dados privados ou alterar um registro autoritativo. O texto de governança deve, portanto, combinar o limite de tempo com um limite de função.

Durante o período inicial, o provedor de emergência pode ser autorizado a preservar registros, manter serviços públicos existentes, processar alterações autenticadas de baixo risco e evitar expiração. Atos discricionários de alto impacto poderiam exigir uma segunda aprovação, revisão independente ou validação judicial. Novas alocações, recuperação involuntária, grandes alterações de taxas e revogação contestada de credenciais poderiam ser pausadas, a menos que essenciais para evitar dano imediato.

A condição de retorno também precisa de precisão. "O RIR pode retomar" deve significar que registros, logs, chaves, solicitações pendentes e responsabilidade legal podem ser devolvidos sem lacunas. O provedor de emergência não deve se tornar a única instituição capaz de explicar o que aconteceu durante o intervalo.

O consentimento ausente do operador não é uma demanda por 10.000 vetos individuais

A frase "consentimento do operador" pode parecer impraticável. Uma emergência não pode esperar que cada rede assine um novo formulário. Um titular de recurso malicioso ou inatingível não deve ser capaz de bloquear uma medida necessária para preservar o registro regional.

Esse não é o modelo de consentimento exigido. Infraestruturas maduras usam consentimento antecipado e constitucional. Os operadores concordam, por meio de termos de serviço publicados, regras de associação e políticas reconhecidas, que funções especificadas podem ser transferidas quando condições objetivas são atendidas. O instrumento identifica a classe de substituto, usos de dados permitidos, poderes, duração, notificação e direitos de contestação. Um tribunal competente ou administrador legal pode fornecer autoridade quando arranjos antecipados falham, sujeito à lei local e revisão.

Consentimento nesse sentido é uma arquitetura de mandato. Diz ao operador, antes da crise, o que pode acontecer com sua conta e registros. Diz ao substituto o que ele não pode fazer. Dá ao operador uma via para corrigir um erro sem vetar a continuidade para todos os outros.

O registro público ainda não mostra um pacto completo voltado para o operador desse tipo para a AFRINIC. Os documentos do NRO e do ICANN estabelecem autoridade coletiva e de nível de reconhecimento, mas a ponte para os direitos individuais de serviço permanece incompleta. Esse é o problema do consentimento ausente.

A aprovação dos membros não é um substituto completo para os direitos do titular do recurso

A AFRINIC é baseada em associação, e um conselho eleito por membros restaurado é central para a legitimidade. No entanto, nem toda parte operacionalmente dependente do serviço de registro possui necessariamente direitos de associação ou voto idênticos. Um voto corporativo pode autorizar a organização dentro de sua constituição; não reescreve automaticamente todos os contratos ou renuncia a todos os direitos de dados.

A distinção também funciona no sentido contrário. O contrato de um titular de recurso individual não deve permitir que ele capture a governança corporativa. Os direitos devem seguir o relacionamento relevante. Os membros votam onde a constituição permite. Os titulares de recursos recebem serviço e protegem seus direitos de conta e dados. Os operadores arcam com as consequências operacionais das decisões do registro. A comunidade regional contribui com legitimidade política. O ICANN e os outros registros protegem a coordenação global dentro de seus instrumentos.

Um pacto de transferência de emergência deve, portanto, usar várias formas de autorização, em vez de um apelo vago à "comunidade". Aprovação corporativa, termos do operador, procedimentos de reconhecimento e autoridade judicial podem se reforçar mutuamente. Eles não devem ser tratados como intercambiáveis.

A lacuna de mandato se torna perigosa quando uma instituição alega que o apoio de um eleitorado autoriza ação sobre todos os outros. Uma consulta pública pode mostrar legitimidade, mas não transferir contratos. Uma resolução de membros pode direcionar a AFRINIC, mas não vincular um não membro sob um termo não declarado. Uma avaliação global pode justificar coordenação de emergência, mas não resolver uma disputa privada de faturamento.

Os operadores são as partes que absorvem os erros do registro em redes ativas

Os operadores de rede assinam contratos de cliente, configuram roteadores, mantêm sistemas de segurança e respondem por interrupções. As decisões do registro podem afetar sua capacidade de demonstrar autoridade sobre recursos, atualizar contatos operacionais, criar autorizações de rota ou manter delegações de DNS reverso. O operador não é meramente um observador da governança do registro.

Isso não significa que os operadores possuem o registro ou podem ignorar a política regional. Significa que o projeto de continuidade deve reconhecer onde o prejuízo prático recai. Se um substituto identifica erroneamente um titular de conta autorizado, o atraso ou revogação resultante pode afetar o roteamento e o atendimento ao cliente. Se os registros se tornarem inacessíveis, o operador arca com o custo de provar um direito que o registro já deveria saber.

Os direitos voltados para o operador não são, portanto, uma concessão opcional. Eles fazem parte da confiabilidade do sistema. Notificação, correção, portabilidade e apelação reduzem o erro técnico porque as partes mais próximas das redes afetadas podem identificar erros. Trilhas de auditoria permitem que eles estabeleçam o que mudou e sob cuja autoridade.

Um plano de contingência que fala apenas entre registros pode ser tecnicamente sofisticado, mas incompleto. O serviço existe para titulares de recursos e redes, não para o conforto institucional dos próprios registros.

Os registros de recursos devem ser portáveis sem tornar os direitos livremente transferíveis

A portabilidade tem duas dimensões. A primeira é probatória: um operador deve poder obter um registro verificável de seus recursos, status, contatos, solicitações enviadas e decisões relevantes. A segunda é operacional: um substituto legal deve poder continuar o serviço sem forçar o operador a reconstruir seu histórico a partir de e-mails ou arquivos privados.

Registros portáteis reduzem a dependência de uma instituição com falhas. Eles também melhoram a prestação de contas porque o operador pode comparar o estado pré-transferência com alterações posteriores. Uma captura de tela assinada, registro de alterações e proveniência clara podem estabelecer se uma alteração contestada ocorreu antes ou depois da ativação.

A portabilidade não deve ser confundida com livre transferibilidade dos direitos subjacentes. Um registro de recurso pode ser portátil enquanto uma alocação permanece sujeita à política regional e ao contrato. O substituto recebe a evidência e uma autoridade limitada para administrá-la; não adquire propriedade do recurso ou discrição ilimitada para reescrever o relacionamento.

O pacto de contingência deve especificar o registro portátil mínimo e o mecanismo de autenticidade. Também deve exigir que o provedor temporário devolva um delta completo de cada alteração, decisão e assunto pendente. Sem esse requisito, a restauração pode produzir dois históricos incompatíveis.

RPKI e DNS reverso tornam a questão da autoridade operacionalmente urgente

Algumas funções do registro não são diretórios passivos. A Resource Public Key Infrastructure permite que titulares autorizem origens de rota através de objetos criptograficamente verificáveis. A delegação de DNS reverso vincula o espaço de números à infraestrutura de nomes de domínio. Alterações de conta e delegação podem, portanto, influenciar como as redes validam roteamento e resolvem endereços.

Um backup pode preservar repositórios e material de assinatura, mas o uso desse material é uma autoridade separada. Quem pode emitir, revogar ou substituir um certificado? O que acontece quando um titular contesta a autenticação do substituto? As chaves de emergência podem ser ativadas sem invalidar a confiança existente? Como uma ação equivocada é revertida e comunicada?

As respostas exigem tanto cerimônias técnicas quanto mandato legal. A custódia de chaves pode ser dividida, a ativação pode exigir múltiplas aprovações, e as ações de emergência podem ser limitadas a manter a validade existente. No entanto, o instrumento de governança deve identificar essas aprovações e o escopo da ação.

O mesmo vale para DNS reverso e atualizações de registro. Manter os dados existentes disponíveis é de menor risco do que aceitar uma alteração contestada. Um mapa de serviço deve classificar as ações por reversibilidade e impacto, com limites de autoridade mais altos para operações destrutivas ou que alteram direitos.

É por isso que a lacuna de consentimento não pode ser descartada como direito societário abstrato. Ela determina quem pode apertar os botões que alteram a confiança operacional.

Transferência de contrato, proteção de dados e lei aplicável precisam de tratamento explícito

Se outro registro se tornar o provedor temporário, várias questões legais surgem imediatamente. O acordo da AFRINIC do operador é cedido, novado ou apenas administrado em nome da AFRINIC? Qual entidade fatura e recebe pagamento? Qual aviso de privacidade rege? Onde o operador pode apresentar uma reclamação? Quem arca com a responsabilidade por um erro de serviço? O substituto aplica a política da AFRINIC ou suas próprias regras regionais?

Essas questões não devem ser respondidas por padrão técnico. Um registro par pode estar na melhor posição para operar o sistema, mas sua lei doméstica e políticas comuns podem diferir. O serviço de emergência não deve realocar silenciosamente o relacionamento contratual ou importar a política de outra região.

O modelo preferido é um serviço do tipo agência sem representação geral implícita: o provedor temporário atua sob um mandato de emergência estritamente definido, aplica a política e os termos existentes da AFRINIC onde legal, segrega dados e dinheiro, e não adquire os relacionamentos permanentemente. Se a lei local exigir cessão ou novação, o instrumento deve dizer isso e fornecer notificação e proteções.

Onde um administrador nomeado por tribunal autoriza o arranjo, a ordem deve identificar essas consequências. Onde os termos antecipados autorizam, os termos devem ser acessíveis e específicos. Uma promessa genérica de cooperar não é suficiente para funções de alto impacto.

Os gatilhos de ativação devem ser objetivos, em camadas e revisáveis

Uma contingência sólida não deve depender de uma declaração indefinida de que um RIR está "instável". Instabilidade pode descrever litígio, pressão financeira, perda de pessoal, comprometimento de registros, interrupção de serviço ou falta de governança legal. Essas condições justificam respostas diferentes.

Uma matriz de gatilhos poderia incluir:

A matriz permite ação rápida sem conceder o poder máximo ao primeiro sinal de problema. Também dá a tribunais, operadores e registros um vocabulário compartilhado para o que foi realmente ativado.

A notificação deve explicar a consequência, não apenas anunciar o substituto

Uma notificação ao operador deve identificar o evento desencadeador, o tomador de decisão, o instrumento, o horário efetivo, as funções ativadas e a duração esperada. Deve dizer se as credenciais existentes permanecem válidas, para onde as solicitações devem ser enviadas, qual política se aplica e como correções urgentes são tratadas.

A notificação também deve dizer o quenãofoi transferido. Se o substituto não pode fazer novas alocações, alterar taxas ou decidir reivindicações contestadas, esse limite é importante. Se um tribunal autorizou poderes mais amplos, a ordem ou um resumo acessível deve ser vinculado.

A notificação pode ser escalonada em uma emergência real. Uma mensagem inicial curta pode acompanhar a ativação, seguida rapidamente por uma justificativa detalhada. Detalhes de implementação sensíveis à segurança não precisam ser publicados. O público ainda deve receber informações suficientes para entender a autoridade e o escopo.

Os operadores devem ter uma rota de contato verificada independente de uma conta da AFRINIC potencialmente comprometida. O sistema também precisa de um mecanismo para alcançar operadores cujos dados de contato estão desatualizados, sem tratar a falta de resposta como consentimento a qualquer alteração.

A transparência não é apenas responsabilidade retrospectiva. É parte da ativação segura porque ajuda usuários legítimos a distinguir um provedor de emergência real de phishing, impersonação ou intervenção não autorizada.

Correção e apelação devem funcionar durante, não depois, a emergência

Um provedor de emergência encontrará registros inconsistentes e reivindicações contestadas. Esperar até que o serviço retorne à AFRINIC pode ser inaceitável. O substituto precisa, portanto, de um processo de correção rápido, probatório e limitado.

Erros administrativos de rotina podem ser corrigidos através de evidências verificadas e aprovação dupla. Disputas de alto impacto devem preservar o status quo quando possível e encaminhar para um revisor independente, administrador ou tribunal. O operador deve receber uma decisão fundamentada e uma referência de auditoria. A equipe de emergência não deve confiar em conhecimento pessoal não documentado ou pressão privada.

A apelação não precisa suspender toda ação. Um comprometimento de credencial claramente malicioso pode exigir suspensão protetiva imediata. Mas o titular afetado deve receber notificação rápida, evidências suficientes para responder e uma revisão rápida. A distinção entre proteção reversível e privação definitiva deve permanecer visível.

O relatório pós-evento do documento de governança preliminar é útil, mas não pode substituir a reparação em tempo real. Um relatório três meses depois não restaura um objeto de autorização de rota necessário hoje. Os direitos devem viajar com o serviço.

A transparência deve operar antes, durante e depois da ativação

Antes de uma crise, os registros devem publicar o modelo de autoridade, mapa de serviço, classes de gatilho, papéis de dados e via de responsabilidade. Eles podem testar a recuperação técnica sem expor credenciais ou detalhes exploráveis. Os operadores devem saber como verificar um aviso de emergência autêntico.

Durante a ativação, o tomador de decisão deve publicar a razão, escopo, provedor e duração. Métricas de serviço agregadas, mudanças materiais de escopo e risco não resolvido devem ser relatados. Incidentes confidenciais podem ser descritos sem expor dados do cliente.

Após a ativação, um relatório público deve comparar o gatilho com as evidências, listar as funções usadas, explicar decisões de alto impacto, divulgar interrupções ou erros, prestar contas dos fundos e avaliar se o mandato foi adequado. Os operadores afetados devem receber seus próprios históricos de alterações.

A transparência também disciplina as instituições. Se o provedor sabe que toda expansão de escopo será registrada, é menos provável que transforme um papel de continuidade restrito em formulação de políticas. Se a AFRINIC sabe que sua prontidão para restauração será avaliada publicamente, tem um incentivo para manter registros portáteis e capacidade de recuperação testada.

O objetivo não é publicidade por si só. É tornar a autoridade auditável sem publicar segredos.

Governança split-brain é tão perigosa quanto dados split-brain

Engenheiros projetam contra sistemas split-brain em que dois nós acreditam ser autoritativos. Uma crise de registro pode produzir o equivalente em governança. O administrador ou conselho restaurado da AFRINIC pode reivindicar autoridade enquanto um provedor temporário já está processando solicitações. Tribunais ou instituições diferentes podem reconhecer atores diferentes. Os operadores podem enviar instruções contraditórias para ambos.

O instrumento de contingência deve definir um único estado autoritativo e um método para alterá-lo. O horário de ativação, escopo de serviço e autoridade de assinatura devem ser registrados em um log à prova de violação. As solicitações recebidas durante a transição devem ter um identificador de caso. O sistema não autoritativo deve se tornar somente leitura ou rotear solicitações para o provedor ativo.

A restauração precisa da mesma disciplina. Deve haver uma decisão de corte, dados reconciliados, transição de chave e horário efetivo publicado. Disputas pendentes não devem desaparecer entre instituições. Ambos os lados devem atestar o estado transferido, com um caminho independente se discordarem.

A clareza do mandato previne split-brain institucional. Se dois corpos podem cada um plausivelmente reivindicar terem se ativado, a consistência técnica sozinha não restaurará a confiança.

O retorno é um direito central do operador, não um pensamento administrativo posterior

Um provedor temporário deve entrar com uma obrigação de saída. O operador precisa de garantia de que seus registros, solicitações pendentes, credenciais e status de pagamento retornarão intactos quando a AFRINIC retomar, ou passarão por uma transição permanente legal se a AFRINIC não puder.

Os critérios de retorno devem ser objetivos: governança legal, capacidade técnica verificada, registros reconciliados, teste de segurança, pessoal adequado e status de reconhecimento válido. A AFRINIC não deve recuperar o controle sensível meramente anunciando prontidão, mas o provedor de emergência também não deve reter o serviço porque o retorno é inconveniente.

O período de 90 dias do rascunho fornece um ponto de decisão. Antes de expirar, as instituições autorizadas devem publicar se o serviço retorna, se o mandato de emergência é renovado sob autoridade declarada, ou se um processo de sucessão formal começa. Extensões repetidas devem exigir revisão mais rigorosa.

Os operadores não devem ter que reprovar direitos estabelecidos apenas porque o provedor muda. O registro completo, incluindo decisões do período de emergência, deve seguir o relacionamento. Esse é o conteúdo prático da portabilidade e continuidade.

Um modelo de mandato positivo está disponível

A lacuna de mandato pode ser fechada sem desacelerar toda ação de emergência. Os registros, ICANN, membros da AFRINIC e titulares de recursos podem estabelecer um pacto em camadas com os seguintes elementos.

Primeiro, custódia contínua e depósito entre pares para registros definidos, com recuperação testada e limites estritos de finalidade. Segundo, classes de ativação objetivas ligadas a falhas de serviço específicas. Terceiro, autorização unânime em nível de sistema para um provedor temporário, combinada com autoridade local ou contratual válida para atos downstream. Quarto, um cronograma de funções distinguindo preservação, manutenção de rotina, decisões discricionárias e poderes comerciais.

Quinto, notificação ao operador, acesso verificado, correção, apelação e registros portáteis. Sexto, segregação de dados, fundos e política para que o substituto não absorva a AFRINIC por padrão. Sétimo, duração curta, mudanças de escopo publicadas e revisão independente. Oitavo, processo de retorno testado ou sucessor legal. Nono, relatório pós-evento e históricos de alterações específicos do operador. Décimo, disposições claras de responsabilidade e lei aplicável.

Este modelo trata o backup técnico como um ativo, não uma ameaça. Permite que engenheiros se preparem agressivamente enquanto exigem que instituições justifiquem a ativação. Também reconhece que o consentimento pode ser fornecido antecipadamente através de um pacto público e executável, em vez de coletado individualmente durante uma interrupção.

A questão chave é quem pode decidir, não quem pode operar os servidores

Os outros registros regionais quase certamente possuem experiência técnica relevante. Eles entendem sistemas de recursos numéricos e podem fornecer pessoal, infraestrutura e apoio de continuidade de forma mais crível do que um outsider improvisado. A postura de ajuda mútua do NRO é, portanto, um ponto forte do sistema regional.

Capacidade, no entanto, não é mandato. Uma instituição pode ser capaz de operar um serviço sem ter autoridade para decidir um direito contestado. Pode deter legalmente um backup sem ter direito de usar os dados para um propósito diferente. Pode ser selecionada por unanimidade por seus pares sem ter adquirido o contrato do operador afetado.

Os instrumentos públicos avançaram na direção certa. O Fundo de Estabilidade apoia a recuperação. Os procedimentos de 2024 criam conceitos de avaliação e provedor de emergência. O rascunho de 2025 adiciona gatilhos, limites de tempo, consulta e relatórios. O que resta é uma ponte direta para as pessoas e empresas cujas redes dependem do serviço.

O NRO não precisa abandonar o planejamento de contingência. Precisa concluir a parte constitucional do plano.

A lacuna de mandato é corrigível antes da próxima ativação

A crise da AFRINIC já forneceu o difícil hipotético: um registro regional pode precisar de ajuda enquanto não tem um conselho incontestável capaz de solicitá-la. O sistema não deve esperar por uma interrupção para decidir se um administrador pode autorizar pessoal de pares, se a custódia pode ser liberada ou se um provedor temporário pode fazer alterações contestadas.

A prioridade imediata é publicar um cronograma de autoridade voltado para o operador junto com o próximo texto de governança ICP-2. O cronograma deve citar a fonte para cada poder, explicar como a lei doméstica interage com decisões de reconhecimento e identificar o tratamento contratual. Os próprios termos da AFRINIC devem ser revisados para que a autoridade de emergência antecipada seja explícita e proporcional.

A segunda prioridade é um teste público que exercita não apenas a restauração de dados, mas a restauração de direitos. Um operador consegue se autenticar? Consegue ver seu histórico autoritativo? Uma alteração contestada pode ser pausada e apelada? O substituto consegue devolver todos os registros e casos pendentes? Uma recuperação tecnicamente bem-sucedida que não pode responder a essas perguntas é incompleta.

A terceira prioridade é tornar o status temporário real. Escopo, tempo e retorno devem ser aplicados, não apenas prometidos. Se a sucessão permanente se tornar necessária, deve prosseguir sob o processo adotado de desreconhecimento e reconhecimento, em vez de através de extensões de emergência repetidas.

Essas medidas aumentariam, em vez de diminuir, a confiança no apoio do NRO. Os operadores são mais propensos a aceitar uma ativação rápida quando conhecem sua autoridade e limites.

Continuidade sem consentimento é frágil; consentimento sem continuidade é vazio

O debate não deve ser enquadrado como lei versus engenharia. Um direito puramente legal ao serviço é de pouco conforto se todos os registros do registro forem perdidos. Um backup perfeito é perigoso se ninguém puder dizer quem pode ativá-lo ou corrigir seus erros. Infraestrutura resiliente requer ambos.

As medidas públicas do NRO mostram preparação substancial para financiamento, assistência técnica e coordenação entre pares. Também mostram um reconhecimento em evolução de que a operação de emergência precisa de publicação, consulta, limite de tempo e revisão. A fraqueza restante não é hostilidade aos operadores. É a ausência, na arquitetura pública adotada, de um mandato completo voltado para o operador para substituição de serviço.

Essa lacuna pode ser preenchida por termos antecipados, um pacto de governança reconhecido e autoridade legal competente. O pacto não precisa conceder vetos individuais. Deve conceder notificação, limitação de finalidade, correção, apelação, portabilidade e retorno, enquanto autoriza ação estritamente necessária sob gatilhos objetivos.

Backup técnico é bom. Ajuda mútua é boa. Um provedor de emergência preparado é bom. A falha de governança seria permitir que esses pontos fortes substituam a pergunta sem resposta: por cuja autoridade o provedor age sobre os operadores que pretende proteger?

Fontes e limites analíticos

Esta análise baseia-se principalmente nomemorando do NRO, naadesão da AFRINIC ao NRO de 2005, noFundo de Estabilidade Conjunto dos RIRs, namensagem dos registros regionais de julho de 2022, nomemorando ASO de 2019, nosprocedimentos de avaliação ICP-2 de 2024, noaviso de ratificação do ICANN, noDocumento de Governança de RIR preliminar, versão 2, nocronograma de revisão do NROe norelatório de reconhecimento da IANA para a AFRINIC de 2005.

Os materiais citados estabelecem os compromissos institucionais públicos, regras propostas e declarações de seus autores. O documento de governança preliminar não foi tratado como adotado. O registro público não expõe todos os arranjos de custódia, cerimônias de segurança, contratos de serviço, termos de privacidade, instruções do administrador ou preparações dos registros pares. É, portanto, possível que instrumentos privados respondam a algumas questões de ativação.

Este artigo não divulga ou avalia detalhes técnicos protegidos, e não conclui que qualquer ato de emergência específico seria ilegal sem examinar seu instrumento e lei aplicável. Sua conclusão é mais restrita: a arquitetura pública adotada ainda não demonstra um mandato completo e voltado para o operador para toda a gama de poderes de serviço que um substituto pode precisar.