O Plano de Contingência do NRO para a AFRINIC e o Consentimento Ausente do Operador

Resumo

• A arquitetura de continuidade pública do NRO não é um plano completo de assunção de controle da AFRINIC. É um conjunto de compromissos de ajuda mútua, um Fundo de Estabilidade (Joint RIR Stability Fund), procedimentos de avaliação ICP-2, expectativas técnicas e um documento de governança preliminar ainda não adotado.
• Backups, custódia, pessoal de suporte entre pares e financiamento emergencial são salvaguardas necessárias. Eles preservam opções e reduzem o risco de indisponibilidade. Eles não conferem automaticamente autoridade para alterar registros de recursos, revogar certificados, assumir contratos, cobrar taxas ou decidir direitos contestados.
• Os procedimentos ICP-2 de 2024 permitem que a ICANN e os registros restantes identifiquem um provedor de serviços emergenciais se um RIR não puder ser restaurado, mas o registro de ratificação da ICANN diz expressamente que os procedimentos formais de desreconhecimento e transição ainda não estavam cobertos.
• “Consentimento do operador” não deve significar que todo titular de recurso pode vetar uma transferência de emergência estritamente necessária. Deve significar que a autoridade, os gatilhos, os usos de dados, os poderes temporários, notificação, correção, recurso, portabilidade e condições de retorno foram aceitos por meio de um instrumento válido antes da crise, ou fornecidos por um processo legal competente durante ela.
• O próximo texto de governança deve preservar a ativação técnica rápida enquanto evita desvio de mandato: separar a continuidade somente leitura do poder discricionário do registro, publicar o gatilho e o escopo, proteger dados confidenciais, manter trilhas de auditoria a nível de operador e exigir um caminho cronometrado de volta à AFRINIC ou a um sucessor legalmente reconhecido.

O “plano” de contingência é na verdade uma pilha de instrumentos parciais

Discussões públicas frequentemente se referem a um plano de contingência do NRO como se os cinco registros regionais de Internet tivessem adotado um documento completo especificando o que acontece quando a AFRINIC falha. O registro público é mais fragmentado. Existe um memorando do NRO alocando responsabilidades coletivas. Existe um Joint RIR Stability Fund para suporte financeiro e em espécie. Existem os procedimentos de 2024 da ICANN para avaliar a conformidade contínua com o ICP-2. Existem expectativas sobre registros, backups e confidencialidade.

Existe também um documento de governança preliminar de 2025 que propõe um operador de emergência e regras de transição mais explícitas, mas permanece em desenvolvimento em 2026.

Cada elemento resolve parte do problema. O fundo pode pagar pela recuperação. Registros pares podem fornecer pessoal experiente e capacidade técnica. Backups podem preservar registros. Uma avaliação pode estabelecer que um RIR é incapaz de cumprir. Um operador temporário pode manter funções críticas disponíveis. Nenhum desses elementos, sozinho, responde a todas as questões de autoridade levantadas pela ativação.

Quem decide que a AFRINIC não pode continuar? A decisão é técnica, corporativa, judicial ou baseada em reconhecimento? Quais serviços o substituto pode executar? Ele pode fazer novas alocações, alterar contatos de uma organização, revogar um certificado Resource Public Key Infrastructure, alterar delegações de DNS reverso, faturar clientes ou encerrar um relacionamento? Quais dados podem ser copiados e para qual finalidade? Como um operador contesta um erro? Quando e como o serviço retorna?

Chamar a pilha de plano pode esconder essas lacunas. A melhor abordagem é identificar cada função, seu instrumento e seu tomador de decisão. A engenharia de continuidade é necessária. A engenharia de mandato é igualmente necessária, porque um substituto tecnicamente capaz ainda pode carecer de autoridade para tomar uma decisão contestada.

Backup é prudente porque a administração de números não pode improvisar após a falha

Os registros da AFRINIC conectam organizações a recursos numéricos da Internet, contatos, material de autorização de rota e histórico de serviços. Uma perda repentina de acesso, pessoal ou infraestrutura pode obstruir atualizações legítimas e enfraquecer a confiança em quem pode agir por um titular de recurso. Portanto, é totalmente razoável que o sistema de registros regionais mantenha dados replicados, procedimentos de recuperação testados, financiamento emergencial e assistência de pares.

Orelatório de reconhecimento da IANA de 2005 para a AFRINICjá tratava robustez técnica e recuperação de desastres como considerações de reconhecimento. Registrou arranjos de backup e a migração planejada de relacionamentos de serviço existentes dos registros regionais incumbentes. A continuidade não foi inventada em resposta a litígios recentes; fez parte do design da instituição.

A lição dessa história não é que transferências são proibidas. É que uma transição é mais do que copiar arquivos. A migração original envolveu organizações reconhecidas, alcance regional, comunicações com partes afetadas e uma mudança acordada dos provedores de serviço existentes para a AFRINIC. Combinou prontidão técnica com autorização institucional.

Hoje, um backup que não pode ser ativado sob pressão tem valor limitado. Mas a ativação deve ser projetada antes que a pressão chegue. A autorização pode ser escrita em um acordo de serviço válido, um pacto de associação, um padrão de governança reconhecido ou um arranjo supervisionado por tribunal. O que deve ser evitado é uma escolha entre dois extremos ruins: nenhuma preparação, ou um substituto preparado cujos poderes são definidos apenas depois que ele assume o controle.

Apoio e sucessão são eventos legais diferentes

A ajuda mútua pode preservar a identidade e autoridade do registro afetado. Um par pode emprestar engenheiros, financiar folha de pagamento, hospedar um sistema secundário ou assessorar um administrador judicial enquanto a AFRINIC permanece como provedora de serviço e tomadora de decisões. O par age em apoio à AFRINIC, sob a instrução legal da AFRINIC ou outro mandato definido.

Sucessão é diferente. Um sucessor ou provedor temporário de emergência pode se tornar a instituição que autentica usuários, interpreta direitos, altera registros autoritativos, emite ou revoga credenciais, celebra contratos, cobra pagamentos e resolve disputas. Mesmo que a transferência seja temporária, o substituto exerce poder sobre os operadores em vez de meramente ajudar a AFRINIC a exercer o seu próprio.

A distinção pode ser expressa como um teste. Se a AFRINIC permanece responsável pela decisão e o par fornece capacidade, o arranjo é apoio. Se o par decide em seu próprio nome ou sob uma nova autoridade, o arranjo é substituição. A interface técnica pode parecer idêntica ao usuário, mas a relação jurídica não é.

Isso é importante porque muitos documentos de continuidade são mais fortes no apoio. Eles especificam dinheiro, pessoal e coordenação. São mais fracos em sucessão: transferência de contrato, status de controlador de dados, lei aplicável, recursos, responsabilidade e retorno. Uma arquitetura de contingência deve dizer claramente onde a assistência termina e onde a autoridade substituída começa.

O Stability Fund é uma ferramenta de recuperação, não uma carta de transferência

OJoint RIR Stability Funddo NRO é um compromisso sério e útil. Os registros participantes comprometem suporte financeiro e em espécie para ajudar um RIR a restaurar a estabilidade. O suporte pode incluir pessoal operacional, e as regras esperam um plano concreto, orçamento, relatórios e aprovação pelo Conselho Executivo do NRO.

O gatilho ordinário do fundo é revelador. Uma solicitação formal é esperada do conselho de governança do registro afetado, explicando as razões e o suporte solicitado. Espera-se que o órgão de governança do registro afetado decida a direção da recuperação. Essa estrutura respeita a autonomia: os pares assistem porque o RIR afetado pede.

A crise da AFRINIC expôs o caso extremo. O que acontece quando o conselho cujo pedido legitima a assistência não existe, não tem quórum ou é ele próprio contestado? Um administrador judicial pode possuir autoridade local para solicitar ajuda, mas as regras públicas do fundo não explicam completamente como essa autoridade se mapeia para cada função do registro. Os outros registros podem aprovar o financiamento por unanimidade, mas a disposição unânime de ajudar não é o mesmo que autorização da organização cujos contratos e registros estão envolvidos.

Portanto, o fundo resolve capacidade melhor do que mandato. Isso não é uma crítica à existência do fundo. É uma razão para complementá-lo. Um instrumento de contingência moderno deve identificar solicitantes substitutos quando o conselho não estiver disponível, especificar como sua autoridade é verificada e distinguir gastos de suporte da ativação de um provedor de serviço substituto.

A posição pública de 2022 prometeu ajuda sem anunciar uma assunção de controle

Em julho de 2022, os registros regionais publicaram umamensagem para a comunidade AFRINIC. Expressou preocupação, ofereceu apoio e enfatizou que a atividade e a política do registro regional permaneciam nas mãos da comunidade regional. A mensagem disse, em efeito, que a AFRINIC continuava sendo o RIR da África.

Essa declaração foi uma posição institucional, não uma adjudicação vinculante. Ainda assim, fornece um referencial útil para interpretar medidas de contingência posteriores. O apoio foi publicamente enquadrado como preservação da instituição regional, não substituição. Qualquer transferência emergencial posterior deve, portanto, identificar o evento que mudou a postura, o instrumento que permitiu a mudança e as condições sob as quais a instituição regional retoma o serviço.

No mesmo mês, o NRO escreveu ao governo mauriciano sobre as circunstâncias da AFRINIC e a importância da continuidade. Essa advocacia demonstrou a preocupação dos pares, mas uma carta ao governo não atribuiu por si só as obrigações da AFRINIC a outro registro. Buscou ajuda da autoridade capaz de agir sob a lei local.

A linha de base pública continha, portanto, uma restrição saudável: os pares podiam preparar, apoiar e advogar, reconhecendo que a AFRINIC e sua comunidade mantinham uma posição institucional distinta. Um design emergencial crível deve preservar essa restrição mesmo quando uma ação rápida é necessária.

O memorando do NRO permite coordenação, mas rejeita agência implícita

Omemorando do NROé o pacto constitucional entre os registros regionais. Permite atividade coletiva operacional e externa em questões delegadas sob o acordo. Compromissos importantes dependem de acordo escrito ou unânime entre os registros participantes. Tarefas técnicas podem ser atribuídas, e o Conselho Executivo pode representar os registros em assuntos especificamente delegados.

Os limites são tão importantes quanto as concessões. O memorando diz que o arranjo não cria uma parceria, agência, associação ou franquia entre os signatários. Também restringe a transferência ou cessão de interesses, direitos e obrigações sem o consentimento prévio por escrito dos signatários.

Essas cláusulas impedem uma inferência casual de que um registro automaticamente fala por ou sucede outro. O NRO pode coordenar atividade comum. Seu Conselho Executivo pode comprometer recursos coletivos sob as regras acordadas. Mas o memorando não é uma procuração universal sobre os relacionamentos com clientes da AFRINIC.

Aadesão da AFRINIC em 2005 ao arranjo do NROconfirma a participação na estrutura coletiva. Não identifica titulares de recursos individuais como tendo atribuído seus direitos contratuais ao NRO ou aos outros quatro registros. Nem especifica que um par pode exercer todas as funções da AFRINIC durante a administração judicial.

Portanto, o mandato para uma transferência de emergência deve vir de algo mais específico: consentimento prévio nos arranjos relevantes, uma solicitação autorizada da AFRINIC, um administrador judicial ou ordem judicial lícito, uma regra válida de reconhecimento-transição ou uma combinação. Prontidão técnica coletiva não é esse instrumento faltante.

A relação ASO não preenche a lacuna do consentimento do operador

Omemorando ASO de 2019faz do NRO o veículo através do qual os registros regionais realizam o papel da Address Supporting Organization dentro da ICANN. Estabelece responsabilidades globais de política, recomendações de reconhecimento, nomeações e coordenação.

Essa relação importa se o reconhecimento contínuo da AFRINIC for questionado. Também importa quando os registros restantes aconselham a ICANN ou solicitam uma avaliação. Mas não está escrito como um acordo de serviço direto com operadores de rede africanos. Não diz a um operador qual lei rege uma conta transferida, quem arca com a responsabilidade por uma revogação equivocada ou como uma solicitação de alocação disputada é recorrida após a transferência.

O arranjo ASO, portanto, ajuda a responder quem participa das decisões globais de reconhecimento. Não responde completamente quem pode assumir relacionamentos de serviço downstream. Este é um problema de design recorrente: instituições a nível de sistema podem decidir que um nó reconhecido está falhando, enquanto os mecanismos legais de mover os clientes desse nó permanecem subespecificados.

A solução não é negar autoridade a nível de sistema. É conectá-la a direitos a nível de operador. Uma determinação de reconhecimento ou emergência deve ativar um protocolo de continuidade de serviço pré-acordado que os operadores possam inspecionar. O protocolo deve nomear o substituto, definir seus poderes e preservar direitos de contestação e retorno. Sem essa ponte, uma decisão global válida ainda pode produzir relações locais incertas.

O papel da IANA mostra por que hierarquia técnica não é sucessão contratual

Apágina de serviços numéricos da IANAexplica a hierarquia de alocação. A IANA aloca pools não alocados de recursos numéricos da Internet aos registros regionais. Os registros então distribuem e administram recursos sob política regional. A IANA não gerencia ordinariamente as contas dos operadores africanos.

Essa hierarquia é crucial para a continuidade. Se a AFRINIC não puder receber ou administrar recursos numéricos, as funções IANA da ICANN e os registros pares devem saber como o registro global permanece coerente. A IANA pode preservar a unicidade no topo e coordenar com um provedor reconhecido ou emergencial.

Mas hierarquia não equivale a relação contratual. Os direitos cotidianos de um operador, taxas, contatos e histórico de recursos surgem através das políticas, estrutura de associação e termos de serviço da AFRINIC. A capacidade da IANA de coordenar pools de topo não transfere automaticamente esses relacionamentos para outro registro.

Ofolheto informativo da IANAtambém descreve a IANA como implementadora, não formuladora de políticas. A política regional e o serviço regional permanecem camadas distintas. Uma contingência que mantém o registro de topo correto ainda pode deixar sem resolver quem pode tomar uma decisão regional contestada.

A arquitetura deve, portanto, separar a função global mínima da função regional completa. Preservar a unicidade e o acesso de leitura pode exigir ação imediata. Alterar direitos, contratos ou resultados baseados em políticas requer um mandato mais forte e mais procedimento.

Um mapa de serviço útil começa com cinco camadas distintas

“Serviço de registro” é um termo muito amplo para design emergencial. Pelo menos cinco camadas devem ser distinguidas.

A primeira é preservação: manter cópias completas, imutáveis e testadas de registros públicos e protegidos. Isso pode ocorrer antes da falha e deve envolver custódia estrita, criptografia e controles de auditoria.

A segunda é disponibilidade: manter informações de diretório público, repositórios de segurança de roteamento e funções essenciais de consulta acessíveis. Algumas medidas de disponibilidade podem ser automatizadas e somente leitura.

A terceira é manutenção autenticada: permitir que um titular de recurso conhecido atualize contatos, objetos de rota, certificados ou informações de DNS reverso. Isso requer verificação confiável de identidade e um registro de autoridade.

A quarta é administração discricionária: aprovar uma nova alocação, interpretar política, resolver reivindicações concorrentes, recuperar recursos ou sancionar não conformidade. Esses atos afetam direitos substantivos e frequentemente exigem julgamento.

A quinta é a relação comercial e corporativa: faturar, gerenciar depósitos ou taxas, alterar termos contratuais, admitir membros, processar votos e aceitar citação judicial.

Uma contingência pode ativar essas camadas em estágios. A preservação deve ser contínua. A disponibilidade somente leitura pode ter um baixo limiar de ativação. A manutenção autenticada pode exigir incapacidade verificada da AFRINIC e autoridade mais forte. Atos discricionários e comerciais devem exigir o mandato mais claro, procedimento explícito e revisão. Tratar todas as cinco como um único interruptor técnico torna muito fácil para a custódia de backup se tornar poder de governança não examinado.

Registros públicos, registros confidenciais e autoridade decisória não são intercambiáveis

Algumas informações de recursos numéricos são destinadas a ser públicas. Outro material inclui contatos pessoais, credenciais de conta, contratos, faturas, documentos de identidade, dados de segurança e históricos de decisões internas. Um espelho que detém legalmente registros públicos não tem necessariamente permissão para usar registros confidenciais para um novo propósito.

Osprocedimentos de avaliação ICP-2 de 2024contêm uma regra de confidencialidade notável. As informações de registro devem ser usadas para fins de registro e podem ser transmitidas a outro RIR ou à IANA mediante solicitação; outra transmissão geralmente requer consentimento por escrito do titular do recurso. O texto dá ao sistema de registro uma base importante para custódia controlada entre pares. Também vincula os dados a um propósito.

Essa regra apoia backup e continuidade mais fortemente do que os críticos às vezes admitem. Permissão individual não é necessariamente exigida cada vez que dados de registro protegidos são espelhados com segurança para um par autorizado para o propósito declarado de registro. No entanto, a regra não responde a todas as questões de ativação. Possuir os dados não é o mesmo que se tornar o provedor contratante. Usá-los para manter um registro existente não é necessariamente o mesmo que usá-los para julgar uma disputa, comercializar um novo serviço, alterar taxas ou expô-los sob um regime legal diferente.

O instrumento de contingência deve, portanto, definir papéis: custodiante, processador, operador de serviço temporário, tomador de decisão e sucessor. Também deve definir finalidades permitidas e deveres de exclusão ou devolução. O consentimento para custódia não deve ser estendido a consentimento para todo exercício futuro de discrição.

Os procedimentos de 2024 autorizam avaliação e apontam para serviço emergencial

Os procedimentos de 2024 dão à ICANN e aos outros registros um papel mais claro do que o texto ICP-2 mais antigo. Os RIRs restantes podem solicitar uma revisão por unanimidade. A ICANN pode iniciar uma revisão limitada se razoavelmente acreditar que a coordenação segura e estável de identificadores únicos está em risco. O procedimento prevê coleta de informações, conclusões preliminares, correção factual e, em casos críticos, tratamento acelerado.

Se a conformidade não puder ser restaurada, os procedimentos dizem que a ICANN trabalhará transparentemente com os RIRs restantes para identificar um provedor de serviços emergenciais. Eles também incentivam backups ou custódia suficientes. Este é um mandato de contingência real no nível do sistema de reconhecimento. Não é meramente uma promessa informal entre engenheiros.

Seus limites permanecem materiais. A identificação de um provedor não especifica por si só todas as funções que esse provedor pode executar. O texto não estabelece um regime completo de notificação ao operador, mecanismo de transferência de contrato, alocação de responsabilidade ou via recursal. Não define completamente quando o serviço temporário se torna sucessão permanente.

Os procedimentos também permitem ação emergencial quando o atraso seria inseguro, mas exigem que a revisão permaneça conectada ao risco do identificador. Essa conexão deve determinar o escopo da ativação. Se o risco é perda de registros, preserve registros. Se o risco é indisponibilidade de atualizações autenticadas, ative esse serviço. Uma transferência completa de autoridade discricionária e comercial precisa de justificativa adicional.

O registro de ratificação da ICANN expressamente deixou a transição inacabada

Oaviso de ratificação do Conselho da ICANN de dezembro de 2024disse que os procedimentos de implementação não adicionavam novas obrigações substantivas. Também afirmou que os procedimentos formais de desreconhecimento e transição estavam fora do texto adotado e exigiam maior desenvolvimento de políticas.

Esse reconhecimento é a evidência mais clara da lacuna de mandato. O sistema tinha um método para revisar um RIR e uma direção para identificar serviço emergencial se a restauração falhasse, mas ainda não tinha um código adotado completo para desreconhecimento e transição.

A lacuna não significa que o apoio emergencial seja ilegítimo. Um contrato existente, ordem judicial, instrução de administrador judicial ou outro arranjo lícito pode autorizar atos particulares. A necessidade também pode justificar medidas estreitamente protetivas em alguns sistemas legais. Mas o procedimento público ICP-2 não deve ser descrito como resolvendo questões que seu registro de ratificação diz terem sido deixadas para política futura.

É por isso que o consentimento do operador é importante. Quando o instrumento global para antes da transição de contrato e serviço, os relacionamentos afetados não desaparecem. A autoridade faltante deve ser encontrada em outra fonte válida ou incorporada no próximo texto de governança.

As cartas da ICANN para a AFRINIC focaram corretamente em backup, mas não ainda em direitos de ativação

Acarta de 7 de março de 2025 da ICANNperguntou ao administrador judicial da AFRINIC sobre registros adequados, informações protegidas de clientes, alinhamento com ICP-2 e backups regulares. Suacarta de 3 de julhoretornou à manutenção de registros, backups e custódia, preservando a possibilidade de uma revisão de conformidade.

Essas perguntas foram apropriadas. Antes que qualquer provedor emergencial possa operar, o sistema deve saber que existe um registro completo, atual e confiável. A custódia deve ser testada, não assumida. O acesso não deve depender de um ocupante de cargo contestado ou de um local falho.

A correspondência pública não forneceu um pacto de ativação igualmente detalhado. Quem poderia liberar a custódia? Qual evento constituía falha? O substituto poderia fazer alterações ou apenas servir uma cópia? O que aconteceria com credenciais e chaves de assinatura? Quais termos de privacidade regeriam? Como o administrador judicial, membros e operadores seriam notificados? Quem corrigiria um registro incorreto?

Essas omissões podem refletir arranjos confidenciais não visíveis publicamente. Portanto, devem ser tratadas como perguntas não respondidas, não como prova de que não existia preparação. Mas a legitimidade pública requer mais do que confiança técnica privada quando a ativação afeta direitos de terceiros. O gatilho, o escopo e a arquitetura de reparação devem ser publicáveis, mesmo que detalhes sensíveis de implementação permaneçam protegidos.

O documento de governança preliminar de 2025 melhora a arquitetura de gatilho

Odocumento de governança preliminar do NRO, versão 2, publicado em agosto de 2025, tenta preencher várias lacunas. Exige preparação de continuidade, incluindo o compartilhamento de registros, procedimentos e sistemas relevantes com um operador de emergência, sujeito a condições de custódia e proteção de dados. Propõe que os outros registros e a ICANN possam autorizar por unanimidade um operador temporário de emergência quando um RIR não puder fornecer serviço.

O documento preliminar também propõe consulta ao RIR afetado e à comunidade regional quando razoavelmente possível, publicação da justificativa e escopo, engajamento da comunidade, um direito do RIR afetado de retomar o serviço e um período emergencial de 90 dias. Exige um relatório pós-evento, avaliação e feedback. Estas são melhorias substanciais em relação a uma transferência indefinida.

Em 13 de julho de 2026, no entanto, ocronograma de processo publicado do NROainda descrevia atualizações adicionais no terceiro trimestre de 2026 e adoção planejada no quarto trimestre. Portanto, o documento preliminar deve ser analisado como uma proposta, não citado como já vinculante.

Mesmo como proposta, demonstra reconhecimento institucional de que a continuidade precisa de regras. Fornece conceitos de ativação, divulgação e limite de tempo que estavam ausentes no quadro público anterior. A tarefa restante é conectar esses conceitos mais diretamente aos direitos do operador e aos mecanismos legais de substituição de serviço.

O limite de 90 dias do documento preliminar é valioso, mas não suficiente

Um período emergencial curto reduz o risco de que uma medida temporária se torne permanente por inércia. Noventa dias criam pressão para restaurar o registro afetado, renovar a autoridade de forma transparente ou iniciar uma transição formal. Um relatório pós-evento pode expor se o operador emergencial permaneceu dentro do escopo.

O tempo sozinho não define poder. Um provedor temporário pode cometer um erro irreversível no primeiro dia. Pode revogar um certificado, rejeitar uma transferência, divulgar dados privados ou alterar um registro autoritativo. O texto de governança deve, portanto, combinar o limite de tempo com um limite de função.

Durante o período inicial, o provedor emergencial pode ser autorizado a preservar registros, manter serviços públicos existentes, processar alterações autenticadas de baixo risco e evitar expiração. Atos discricionários de alto impacto podem exigir uma segunda aprovação, revisão independente ou validação judicial. Novas alocações, recuperação involuntária, grandes mudanças de taxas e revogação contestada de credenciais podem ser pausados a menos que essenciais para evitar dano imediato.

A condição de retorno também precisa de precisão. “O RIR pode retomar” deve significar que registros, logs, chaves, solicitações pendentes e responsabilidade legal podem ser devolvidos sem lacunas. O provedor emergencial não deve se tornar a única instituição capaz de explicar o que aconteceu durante o intervalo.

Consentimento faltante do operador não é uma demanda por 10.000 vetos individuais

A frase “consentimento do operador” pode soar impraticável. Uma emergência não pode esperar que toda rede assine um novo formulário. Um titular de recurso malicioso ou inalcançável não deve ser capaz de bloquear uma medida necessária para preservar o registro regional.

Esse não é o modelo de consentimento exigido. Infraestruturas maduras usam consentimento constitucional prévio. Os operadores concordam, por meio de termos de serviço publicados, regras de associação e políticas reconhecidas, que funções especificadas podem ser transferidas quando condições objetivas são atendidas. O instrumento identifica a classe substituta, usos de dados permitidos, poderes, duração, direitos de notificação e contestação. Um tribunal competente ou administrador judicial estatutário pode fornecer autoridade quando arranjos prévios falham, sujeito à lei local e revisão.

Consentimento nesse sentido é uma arquitetura de mandato. Diz ao operador, antes da crise, o que pode acontecer com sua conta e registros. Diz ao substituto o que ele não pode fazer. Dá ao operador uma via para corrigir um erro sem vetar a continuidade de todos os outros.

O registro público ainda não mostra um pacto completo voltado ao operador desse tipo para a AFRINIC. Os documentos do NRO e da ICANN estabelecem autoridade coletiva e a nível de reconhecimento, mas a ponte para os direitos individuais de serviço permanece incompleta. Esse é o problema do consentimento faltante.

Aprovação de membros não é um substituto completo para direitos de titulares de recursos

A AFRINIC é baseada em associação, e um conselho eleito por membros restaurado é central para a legitimidade. No entanto, nem toda parte operacionalmente dependente do serviço de registro possui necessariamente direitos idênticos de associação ou voto. Um voto corporativo pode autorizar a organização dentro de sua constituição; não reescreve automaticamente todo contrato ou renuncia a todo direito de dados.

A distinção também funciona no sentido oposto. O contrato de um titular de recurso individual não deve permitir que ele capture a governança corporativa. Os direitos devem seguir o relacionamento relevante. Os membros votam onde a constituição permite. Os titulares de recursos recebem serviço e protegem seus direitos de conta e dados. Os operadores arcam com as consequências operacionais das decisões do registro. A comunidade regional contribui com legitimidade política. A ICANN e os outros registros protegem a coordenação global dentro de seus instrumentos.

Um pacto de transferência deve, portanto, usar várias formas de autorização em vez de um apelo vago à “comunidade”. Aprovação corporativa, termos de operador, procedimentos de reconhecimento e autoridade judicial podem se reforçar mutuamente. Não devem ser tratados como intercambiáveis.

A lacuna de mandato se torna perigosa quando uma instituição alega que o apoio de um eleitorado autoriza ação sobre todos os outros. Uma consulta pública pode mostrar legitimidade, mas não transferir contratos. Uma resolução de membros pode direcionar a AFRINIC, mas não vincular um não membro sob um termo não declarado. Uma avaliação global pode justificar coordenação emergencial, mas não resolver uma disputa privada de cobrança.

Os operadores são as partes que absorvem erros do registro em redes ativas

Operadores de rede assinam contratos de cliente, configuram roteadores, mantêm sistemas de segurança e respondem por indisponibilidades. Decisões do registro podem afetar sua capacidade de demonstrar autoridade de recurso, atualizar contatos operacionais, criar autorizações de rota ou manter delegações de DNS reverso. O operador não é meramente um observador da governança do registro.

Isso não significa que os operadores possuem o registro ou podem ignorar a política regional. Significa que o design de continuidade deve reconhecer onde a perda prática recai. Se um substituto identifica erroneamente um titular de conta autorizado, o atraso ou revogação resultante pode afetar o roteamento e o serviço ao cliente. Se os registros se tornam inacessíveis, o operador arca com o custo de provar um direito que o registro já deveria saber.

Os direitos voltados ao operador não são, portanto, uma concessão opcional. Eles fazem parte da confiabilidade do sistema. Notificação, correção, portabilidade e recurso reduzem erros técnicos porque as partes mais próximas das redes afetadas podem identificar erros. Trilhas de auditoria permitem que estabeleçam o que mudou e sob qual autoridade.

Um plano de contingência que fala apenas entre registros pode ser tecnicamente sofisticado, mas incompleto. O serviço existe para titulares de recursos e redes, não para o conforto institucional dos próprios registros.

Os registros de recursos devem ser portáteis sem tornar os direitos casualmente transferíveis

A portabilidade tem duas dimensões. A primeira é probatória: um operador deve poder obter um registro verificável de seus recursos, status, contatos, solicitações enviadas e decisões relevantes. A segunda é operacional: um substituto lícito deve poder continuar o serviço sem forçar o operador a reconstruir seu histórico a partir de e-mails ou arquivos privados.

Registros portáteis reduzem a dependência de uma instituição falha. Também melhoram a responsabilidade porque o operador pode comparar o estado pré-transferência com alterações posteriores. Um instantâneo assinado, registro de alterações e proveniência clara podem estabelecer se uma alteração contestada ocorreu antes ou depois da ativação.

Portabilidade não deve ser confundida com transferibilidade livre dos direitos subjacentes. Um registro de recurso pode ser portátil enquanto uma alocação permanece sujeita à política regional e ao contrato. O substituto recebe a evidência e uma autoridade limitada para administrá-la; não adquire propriedade do recurso ou discrição ilimitada para reescrever o relacionamento.

O pacto de contingência deve especificar o registro portátil mínimo e o mecanismo de autenticação. Também deve exigir que o provedor temporário devolva um delta completo de cada alteração, decisão e assunto pendente. Sem essa exigência, a restauração pode produzir duas histórias incompatíveis.

RPKI e DNS reverso tornam a questão da autoridade operacionalmente urgente

Algumas funções do registro não são diretórios passivos. A Resource Public Key Infrastructure permite que titulares autorizem origens de rota através de objetos criptograficamente verificáveis. A delegação de DNS reverso vincula o espaço numérico à infraestrutura de nomes de domínio. Mudanças em contas e delegações podem, portanto, influenciar como as redes validam roteamento e resolvem endereços.

Um backup pode preservar repositórios e material de assinatura, mas o uso desse material é uma autoridade separada. Quem pode emitir, revogar ou substituir um certificado? O que acontece quando um titular contesta a autenticação do substituto? Chaves emergenciais podem ser ativadas sem invalidar a confiança existente? Como uma ação equivocada é revertida e comunicada?

As respostas exigem tanto cerimônias técnicas quanto mandato legal. A custódia de chaves pode ser dividida, a ativação pode exigir múltiplas aprovações, e ações emergenciais podem ser limitadas a manter a validade existente. No entanto, o instrumento de governança deve identificar essas aprovações e o escopo da ação.

O mesmo vale para DNS reverso e atualizações de registro. Manter dados existentes disponíveis é de menor risco do que aceitar uma alteração contestada. Um mapa de serviço deve classificar ações por reversibilidade e impacto, com limites de autoridade mais altos para operações destrutivas ou que alterem direitos.

É por isso que a lacuna de consentimento não pode ser descartada como direito corporativo abstrato. Ela determina quem pode pressionar os botões que alteram a confiança operacional.

Transferência de contrato, proteção de dados e lei aplicável precisam de tratamento explícito

Se outro registro se tornar o provedor temporário, várias questões legais surgem imediatamente. O acordo AFRINIC do operador é cedido, novado ou apenas administrado em nome da AFRINIC? Qual entidade fatura e recebe pagamento? Qual aviso de privacidade rege? Onde o operador pode apresentar uma reclamação? Quem arca com a responsabilidade por um erro de serviço? O substituto aplica a política da AFRINIC ou suas próprias regras regionais?

Essas perguntas não devem ser respondidas por padrão técnico. Um registro par pode estar melhor posicionado para operar o sistema, mas sua lei doméstica e políticas ordinárias podem diferir. O serviço emergencial não deve realocar silenciosamente o relacionamento contratual ou importar a política de outra região.

O modelo preferido é serviço similar a agência, sem agência geral implícita: o provedor temporário age sob um mandato emergencial estritamente definido, aplica a política e os termos existentes da AFRINIC onde lícito, segrega dados e dinheiro, e não adquire os relacionamentos permanentemente. Se a lei local exigir cessão ou novação, o instrumento deve dizê-lo e fornecer notificação e proteções.

Onde um administrador judicial nomeado por tribunal autoriza o arranjo, a ordem deve identificar essas consequências. Onde termos prévios autorizam, os termos devem ser acessíveis e específicos. Uma promessa genérica de cooperar não é suficiente para funções de alto impacto.

Gatilhos de ativação devem ser objetivos, em camadas e revisáveis

Uma contingência sólida não deve depender de uma declaração indefinida de que um RIR está “instável”. A instabilidade pode descrever litígios, pressão financeira, perda de pessoal, comprometimento de registros, interrupção de serviço ou falta de governança lícita. Essas condições justificam respostas diferentes.

Uma matriz de gatilhos poderia incluir:

A matriz permite ação rápida sem conceder o poder máximo ao primeiro sinal de problema. Também dá a tribunais, operadores e registros um vocabulário compartilhado para o que foi realmente ativado.

A notificação deve explicar a consequência, não meramente anunciar o substituto

Uma notificação ao operador deve identificar o evento desencadeador, o tomador de decisão, o instrumento, o horário efetivo, as funções ativadas e a duração esperada. Deve dizer se as credenciais existentes permanecem válidas, para onde as solicitações devem ser enviadas, qual política se aplica e como correções urgentes são tratadas.

A notificação também deve dizer o quenãofoi transferido. Se o substituto não pode fazer novas alocações, alterar taxas ou decidir reivindicações contestadas, esse limite é importante. Se um tribunal autorizou poderes mais amplos, a ordem ou um resumo acessível deve ser vinculado.

A notificação pode ser escalonada em uma emergência genuína. Uma mensagem inicial curta pode acompanhar a ativação, seguida rapidamente por uma justificativa detalhada. Detalhes de implementação sensíveis à segurança não precisam ser publicados. O público ainda deve receber informações suficientes para entender autoridade e escopo.

Os operadores devem ter um canal de contato verificado independente de uma conta AFRINIC potencialmente comprometida. O sistema também precisa de um mecanismo para alcançar operadores cujos dados de contato estão desatualizados, sem tratar a falta de resposta como consentimento para toda mudança.

Transparência não é apenas responsabilidade retrospectiva. É parte da ativação segura porque ajuda usuários legítimos a distinguir um provedor emergencial real de phishing, personificação ou intervenção não autorizada.

Correção e recurso devem funcionar durante, não após, a emergência

Um provedor emergencial encontrará registros inconsistentes e reivindicações contestadas. Esperar até que o serviço retorne à AFRINIC pode ser inaceitável. O substituto, portanto, precisa de um processo de correção que seja rápido, probatório e limitado.

Erros administrativos rotineiros podem ser corrigidos através de evidência verificada e aprovação dupla. Disputas de alto impacto devem preservar o status quo quando possível e passar para um revisor independente, administrador judicial ou tribunal. O operador deve receber uma decisão fundamentada e uma referência de auditoria. A equipe emergencial não deve confiar em conhecimento pessoal não documentado ou pressão privada.

Recurso não precisa suspender toda ação. Um comprometimento de credenciais claramente malicioso pode exigir suspensão protetiva imediata. Mas o titular afetado deve receber notificação imediata, evidência suficiente para responder e uma revisão rápida. A distinção entre proteção reversível e privação final deve permanecer visível.

O relatório pós-evento do documento de governança preliminar é útil, mas não pode substituir a reparação em tempo real. Um relatório três meses depois não restaura um objeto de autorização de rota necessário hoje. Os direitos devem viajar com o serviço.

A transparência deve operar antes, durante e depois da ativação

Antes de uma crise, os registros devem publicar o modelo de autoridade, mapa de serviço, classes de gatilho, funções de dados e via de responsabilidade. Podem testar a recuperação técnica sem expor credenciais ou detalhes exploráveis. Os operadores devem saber como verificar um aviso emergencial autêntico.

Durante a ativação, o tomador de decisão deve publicar o motivo, escopo, provedor e duração. Métricas agregadas de serviço, mudanças materiais de escopo e riscos não resolvidos devem ser relatados. Incidentes confidenciais podem ser descritos sem expor dados de clientes.

Após a ativação, um relatório público deve comparar o gatilho com a evidência, listar as funções usadas, explicar decisões de alto impacto, divulgar indisponibilidades ou erros, prestar contas de fundos e avaliar se o mandato foi adequado. Operadores afetados devem receber seus próprios históricos de alterações.

A transparência também disciplina as instituições. Se o provedor sabe que toda expansão de escopo será registrada, é menos provável que transforme um papel estreito de continuidade em formulação de políticas. Se a AFRINIC sabe que sua prontidão de restauração será avaliada publicamente, tem um incentivo para manter registros portáteis e capacidade de recuperação testada.

O objetivo não é publicidade por si só. É tornar a autoridade auditável sem publicar segredos.

Governança split-brain é tão perigosa quanto dados split-brain

Engenheiros projetam contra sistemas split-brain em que dois nós acreditam ser autoritativos. Uma crise de registro pode produzir o equivalente de governança. O administrador judicial da AFRINIC ou o conselho restaurado pode reivindicar autoridade enquanto um provedor temporário já está processando solicitações. Tribunais ou instituições diferentes podem reconhecer atores diferentes. Operadores podem enviar instruções contraditórias a ambos.

O instrumento de contingência deve definir um único estado autoritativo e um método para alterá-lo. O tempo de ativação, o escopo do serviço e a autoridade de assinatura devem ser registrados em um log à prova de adulteração. Solicitações recebidas durante a transição devem ter um identificador de caso. O sistema não autoritativo deve se tornar somente leitura ou rotear solicitações para o provedor ativo.

A restauração precisa da mesma disciplina. Deve haver uma decisão de corte, dados reconciliados, transição de chaves e horário efetivo publicado. Disputas pendentes não devem desaparecer entre instituições. Ambos os lados devem atestar o estado transferido, com um caminho independente se discordarem.

Clareza de mandato previne split-brain institucional. Se dois corpos podem cada um plausivelmente reivindicar terem se ativado, a consistência técnica sozinha não restaurará a confiança.

Retorno é um direito central do operador, não um pensamento administrativo posterior

Um provedor temporário deve entrar com uma obrigação de saída. O operador precisa de garantia de que seus registros, solicitações pendentes, credenciais e status de pagamento retornarão intactos quando a AFRINIC retomar, ou se moverão através de uma transição permanente lícita se a AFRINIC não puder.

Os critérios de retorno devem ser objetivos: governança lícita, capacidade técnica verificada, registros reconciliados, testes de segurança, pessoal adequado e um status de reconhecimento válido. A AFRINIC não deve recuperar controle sensível meramente por anunciar prontidão, mas o provedor emergencial também não deve reter o serviço porque o retorno é inconveniente.

O período preliminar de 90 dias fornece um ponto de decisão. Antes de expirar, as instituições autorizadas devem publicar se o serviço retorna, o mandato emergencial é renovado sob autoridade declarada, ou um processo formal de sucessão começa. Extensões repetidas devem exigir revisão mais forte.

Os operadores não devem ter que reprovar direitos estabelecidos unicamente porque o provedor muda. O registro completo, incluindo decisões do período emergencial, deve acompanhar o relacionamento. Esse é o conteúdo prático de portabilidade e continuidade.

Um modelo de mandato positivo está disponível

A lacuna de mandato pode ser fechada sem desacelerar cada ação emergencial. Os registros, ICANN, membros da AFRINIC e titulares de recursos podem estabelecer um pacto em camadas com os seguintes elementos.

Primeiro, custódia contínua e depósito entre pares para registros definidos, com recuperação testada e limites estritos de propósito. Segundo, classes objetivas de ativação ligadas a falhas específicas de serviço. Terceiro, autorização unânime a nível de sistema para um provedor temporário, combinada com autoridade local ou contratual válida para atos downstream. Quarto, um cronograma de funções distinguindo preservação, manutenção rotineira, decisões discricionárias e poderes comerciais.

Quinto, notificação ao operador, acesso verificado, correção, recurso e registros portáteis. Sexto, segregação de dados, fundos e política para que o substituto não absorva a AFRINIC por padrão. Sétimo, duração curta, mudanças de escopo publicadas e revisão independente. Oitavo, um processo testado de retorno ou sucessão lícita. Nono, relatório pós-evento e históricos de alterações específicos do operador. Décimo, disposições claras de responsabilidade e lei aplicável.

Este modelo trata o backup técnico como um ativo, não uma ameaça. Permite que engenheiros se preparem agressivamente enquanto exigem que instituições justifiquem a ativação. Também reconhece que o consentimento pode ser fornecido antecipadamente através de um pacto público e executável, em vez de coletado individualmente durante uma interrupção.

A questão chave é quem pode decidir, não quem pode operar os servidores

Os outros registros regionais quase certamente possuem experiência técnica relevante. Eles entendem sistemas de recursos numéricos e podem fornecer pessoal, infraestrutura e suporte de continuidade mais credivelmente do que um outsider improvisado. A postura de ajuda mútua do NRO é, portanto, uma força do sistema regional.

Capacidade, no entanto, não é mandato. Uma instituição pode ser capaz de operar um serviço sem ter autoridade para decidir um direito contestado. Pode deter legalmente um backup sem ter direito a usar os dados para um propósito diferente. Pode ser unanimemente selecionada por seus pares sem ter adquirido o contrato do operador afetado.

Os instrumentos públicos avançaram na direção certa. O Stability Fund apoia a recuperação. Os procedimentos de 2024 criam conceitos de avaliação e provedor emergencial. O documento preliminar de 2025 adiciona gatilhos, limites de tempo, consulta e relatórios. O que resta é uma ponte direta para as pessoas e empresas cujas redes dependem do serviço.

O NRO não precisa abandonar o planejamento de contingência. Precisa terminar a parte constitucional do plano.

A lacuna de mandato é corrigível antes da próxima ativação

A crise da AFRINIC já forneceu o hipotético difícil: um registro regional pode precisar de ajuda enquanto não possui um conselho incontestável capaz de solicitá-la. O sistema não deve esperar por uma interrupção para decidir se um administrador judicial pode autorizar pessoal de suporte entre pares, se a custódia pode ser liberada ou se um provedor temporário pode fazer alterações contestadas.

A prioridade imediata é publicar um cronograma de autoridade voltado ao operador junto com o próximo texto de governança ICP-2. O cronograma deve citar a fonte para cada poder, explicar como a lei doméstica interage com as decisões de reconhecimento e identificar o tratamento contratual. Os próprios termos da AFRINIC devem ser revisados para que a autoridade emergencial prévia seja explícita e proporcional.

A segunda prioridade é um teste público que exercite não apenas a restauração de dados, mas a restauração de direitos. Um operador pode autenticar? Pode ver seu histórico autoritativo? Uma alteração contestada pode ser pausada e recorrida? O substituto pode devolver todo registro e caso pendente? Uma recuperação tecnicamente bem-sucedida que não pode responder a essas perguntas é incompleta.

A terceira prioridade é tornar o status temporário real. Escopo, tempo e retorno devem ser aplicados, não meramente prometidos. Se a sucessão permanente se tornar necessária, deve prosseguir sob o processo adotado de desreconhecimento e reconhecimento, em vez de extensões emergenciais repetidas.

Essas medidas aumentariam, em vez de diminuir, a confiança no apoio do NRO. Os operadores são mais propensos a aceitar ativação rápida quando conhecem sua autoridade e limites.

Continuidade sem consentimento é frágil; consentimento sem continuidade é vazio

O debate não deve ser enquadrado como direito versus engenharia. Um direito puramente legal ao serviço é de pouco conforto se todo registro do registro for perdido. Um backup perfeito é perigoso se ninguém pode dizer quem pode ativá-lo ou corrigir seus erros. Infraestrutura resiliente requer ambos.

As medidas públicas do NRO mostram preparação substancial para financiamento, assistência técnica e coordenação entre pares. Também mostram um reconhecimento em evolução de que a operação emergencial precisa de publicação, consulta, limite de tempo e revisão. A fraqueza restante não é hostilidade aos operadores. É a ausência, na arquitetura pública adotada, de um mandato completo voltado ao operador para substituição de serviço.

Essa lacuna pode ser preenchida por termos prévios, um pacto de governança reconhecido e autoridade legal competente. O pacto não precisa conceder vetos individuais. Deve conceder notificação, limitação de propósito, correção, recurso, portabilidade e retorno, enquanto autoriza ação estritamente necessária sob gatilhos objetivos.

Backup técnico é bom. Ajuda mútua é boa. Um provedor emergencial preparado é bom. A falha de governança seria permitir que esses pontos fortes substituam a pergunta não respondida: por qual autoridade o provedor age sobre os operadores que deve proteger?

Fontes e limites analíticos

Esta análise baseia-se principalmente nomemorando do NRO, naadesão da AFRINIC ao NRO em 2005, noJoint RIR Stability Fund, namensagem dos registros regionais de julho de 2022, nomemorando ASO de 2019, nosprocedimentos de avaliação ICP-2 de 2024, noaviso de ratificação da ICANN, nodocumento de governança preliminar do NRO, versão 2, nocronograma de revisão do NROe norelatório de reconhecimento da IANA de 2005 para a AFRINIC.

Os materiais citados estabelecem os compromissos institucionais públicos, regras propostas e declarações de seus autores. O documento de governança preliminar não foi tratado como adotado. O registro público não expõe todos os arranjos de custódia, cerimônias de segurança, contratos de serviço, termos de privacidade, instruções do administrador judicial ou preparações dos registros pares. Portanto, é possível que instrumentos privados respondam a algumas questões de ativação.

Este artigo não divulga ou avalia detalhes técnicos protegidos, e não conclui que qualquer ato emergencial específico seria ilegal sem examinar seu instrumento e lei aplicável. Sua conclusão é mais restrita: a arquitetura pública adotada ainda não demonstra um mandato completo, voltado ao operador, para toda a gama de poderes de serviço que um substituto pode precisar.