Resumo

  • A cadeia de registros de números não é desprovida de autoridade. Os membros dos RIRs podem exercer seus direitos corporativos, os conselhos de administração podem dirigir suas organizações, os tribunais podem aplicar o direito local, a ICANN pode agir no âmbito dos acordos de reconhecimento, os cinco RIRs podem coletivamente substituir o operador dos serviços de numeração da IANA, e as redes podem escolher as rotas a aceitar.
  • Esses poderes apontam em direções diferentes. Nenhum dos instrumentos adotados atualmente citados fornece um caminho completo em escala de sistema para retirar o papel de um RIR em operação, transferir os registros autoritativos e o material de segurança, proteger os detentores, financiar a continuidade e designar um sucessor.
  • ICP-2, aceito em 2001, estabelece critérios de entrada para um novo RIR proposto. O dossiê de revisão oficial até agosto de 2025 discute um projeto de documento de governança cobrindo operação e revogação, mas o dossiê citado não prova adoção final ou preparação testada.
  • Um regime de sucessão crível requer mais que uma decisão de retirar o reconhecimento. Requer a guarda, a autoridade, os dados, as chaves, os contratos, o pessoal, o financiamento, os recursos, a transição da região de serviço e uma comutação técnica reversível.
  • A governança policêntrica pode ser mais segura que um único superior global. Sua legitimidade sob pressão depende da publicação de regras de decisão ex ante para que a continuidade não se torne uma negociação improvisada entre os detentores, credores e tribunais.

Uma hierarquia sem superior claramente identificado

O sistema de registros de números parece vertical. A IANA mantém os registros de números de primeiro nível e aloca os pools disponíveis aos cinco Registros Regionais da Internet. Cada RIR administra uma região de serviço e mantém relações com os registros locais, operadores de rede e outros detentores. Os RIRs se coordenam por meio da Number Resource Organization e desempenham o papel de Address Supporting Organization dentro da ICANN. O diagrama parece ter um topo, um meio e uma base.

Mas uma hierarquia de serviços não contém necessariamente um superior legal com poder de revogação sobre cada camada. A IANA desempenha um papel definido. A ICANN opera os serviços de numeração da IANA no âmbito de um acordo com os cinco RIRs. Os RIRs são instituições de direito privado distintas. Seus membros e conselhos agem de acordo com as constituições regionais e o direito local. Os operadores tomam decisões de roteamento por meio de seus próprios sistemas e contratos.

Cada relação responde a uma questão real. Quem aloca os pools de primeiro nível? Quem mantém os registros regionais? Quem elege um conselho? Quem pode fazer cumprir um acordo de adesão? Quem reconhece um par proposto? Quem pode substituir o provedor de serviços IANA? Quem decide aceitar uma rota? No entanto, as respostas não convergem automaticamente para uma pessoa ou instituição única capaz de revogar um RIR em operação e instalar outro.

Essa ausência de convergência só importa ocasionalmente. Em períodos normais, o reconhecimento mútuo e a continuidade operacional fazem o sistema parecer auto validante. Um RIR é o RIR porque as outras instituições o tratam como tal, seus membros contratam com ele, a IANA o atende e as redes confiam em seus registros. A circularidade é tolerável enquanto todas as partes funcionam.

A crise muda a questão. Se um titular se torna incapaz ou se recusa a funcionar, alguém deve decidir se a falha é temporária, remediável ou desqualificante. Alguém deve preservar os registros, as chaves e os serviços. Alguém deve proteger os detentores contra reivindicações duplicadas e instruções inconsistentes. Alguém deve escolher um sucessor e persuadir cada dependência a reconhecê-lo. Os instrumentos públicos atuais revelam elementos dessa resposta, mas nenhum mandato completo de ponta a ponta adotado.

A regionalização começou como uma solução de escalonamento

Asdiretrizes de 1992 para a gestão do espaço de endereçamento IPpropuseram registros regionais distribuídos à medida que a Internet se expandia. A administração centralizada não poderia escalar indefinidamente. Os organismos regionais aproximariam o conhecimento e os serviços das comunidades locais enquanto permanecem parte integrante de uma hierarquia coordenada.

Essa origem histórica explica em grande parte o caráter do sistema. A regionalização foi uma resposta prática ao crescimento, e não a criação de cinco jurisdições soberanas por tratado. A responsabilidade administrativa se moveu para fora porque um registro central não podia lidar eficientemente com as necessidades globais. As comunidades técnicas construíram instituições em torno desse trabalho.

O sucesso da proposta pode mascarar seu conteúdo constitucional limitado. Ele descrevia uma estrutura e oferecia orientações. Não estabeleceu uma legislatura, definiu um eleitorado global, transferiu a propriedade do espaço de endereçamento nem redigiu um código completo de revogação e substituição. As instituições que surgiram posteriormente adquiriram personalidade jurídica, contratos, políticas e reconhecimento por etapas adicionais.

Esse desenvolvimento progressivo teve vantagens. Permitiu que os arranjos regionais se adaptassem às condições locais e evitou esperar que os estados negociassem uma única convenção global. Apoiou a expertise técnica e manteve a administração diária dos números relativamente imune a barganhas geopolíticas.

O crescimento progressivo também deixou limitações. O sistema desenvolveu entrada, operação e confiança mútua antes de desenvolver uma teoria madura de saída institucional. Isso é comum em infraestruturas bem-sucedidas. Os fundadores se concentram em trazer entidades competentes e manter a confiabilidade do serviço. A revogação parece distante até que uma falha de governança, insolvência, injunção ou impasse interno a torne concreta.

O texto de 1992 deve, portanto, ser lido como o início de uma linhagem administrativa, e não como uma concessão permanente a qualquer sociedade que mais tarde ocupe um papel regional. Explica por que a descentralização foi escolhida. Não decide quem pode transferir esse papel décadas depois.

ICP-2 define admissão mais claramente que sucessão

Oscritérios ICP-2, aceitos em 4 de junho de 2001, fornecem o padrão de entrada adotado mais claro. Um RIR proposto deve atender a uma região de escala suficiente, mostrar amplo apoio, comprometer-se com políticas de baixo para cima, permanecer neutro e imparcial, demonstrar expertise técnica, apresentar um plano de negócios, obter financiamento, manter registros confiáveis e proteger a confidencialidade.

Essas condições refletem um julgamento institucional sólido. Um registro não pode ser reconhecido simplesmente porque um proponente constitui uma empresa e declara um território. Precisa de capacidades operacionais, legitimidade comunitária e um plano de serviço sustentável. O reconhecimento também deve preservar a unicidade global e a coordenação com registros existentes.

Os critérios de entrada podem fornecer marcos substanciais para um titular. Se neutralidade, financiamento e manutenção de registros eram essenciais no reconhecimento, seu colapso posterior não pode ser irrelevante. Os critérios ajudam a explicar por que uma crise pode justificar um exame.

No entanto, um marco não é um procedimento de revogação. O texto de 2001 não identifica completamente quem abre um processo de revogação, quem investiga, quais medidas provisórias se aplicam, qual limiar decide, como os conflitos são gerenciados, que recurso está disponível, quem fica com a guarda dos dados, como um sucessor é escolhido ou quando a comutação técnica se torna definitiva.

A retirada do reconhecimento também não é idêntica à dissolução da empresa. A ICANN poderia mudar a forma como reconhece uma instituição enquanto a pessoa jurídica continua a existir sob o direito local. Os membros poderiam substituir diretores enquanto o reconhecimento permanece. Um tribunal poderia nomear um administrador sem escolher um novo registro regional. Um credor poderia controlar os ativos sem possuir a legitimidade técnica para operar a região de serviço.

ICP-2 é, portanto, essencial, mas incompleto para a governança de crise. Indica a um candidato o que precisa ser demonstrado para entrar. Ainda não funciona, em sua forma adotada de 2001, como uma carta de sucessão testada para um titular que falha após décadas de operação.

O memorando ASO de 2019 coordena pares em vez de nomear um superior

Omemorando ASO de 2019coloca a NRO dentro da estrutura da ICANN para política de endereçamento. Define procedimentos de política global, nomeações, recomendações de reconhecimento, conceitos de região de serviço, revisão e tratamento de disputas entre suas partes.

Esse arranjo dá um papel significativo à ICANN. O reconhecimento de um novo RIR proposto não é uma mera declaração unilateral dos registros existentes. Recomendações e ação do Conselho são importantes. Isso pode ter consequências práticas substanciais para a administração voltada para a IANA e a coordenação entre pares.

O mesmo instrumento se recusa a criar uma relação principal entre as partes. Uma parte não pode assumir compromissos vinculantes por outra sem consentimento prévio por escrito. Essa cláusula corresponde a um sistema de instituições distintas coordenando-se como pares. Não identifica a ICANN como proprietária dos RIRs nem a NRO como sua controladora global.

Esse design tem valor protetor. Um centro único não pode assumir o controle de uma empresa regional levianamente, reescrever seus contratos ou envolver seus ativos. Cada RIR mantém seus órgãos de governança e obrigações legais. As comunidades regionais mantêm certa autonomia. O sistema evita um gargalo político único.

O preço dessa proteção aparece em caso de falha. Se nenhuma parte é principal de outra, uma decisão de retirar o reconhecimento do sistema não transfere automaticamente os ativos ou contratos da empresa. A ICANN pode ter uma decisão institucional. Os membros podem ter outra. Um tribunal do país de origem pode controlar os registros ou servidores. Os outros RIRs podem precisar coordenar a continuidade. Os detentores podem contestar relações de serviço alteradas.

O memorando pode enquadrar a questão do reconhecimento, mas o texto adotado citado não revela o caminho completo de sucessão. Ele coordena pares competentes mais claramente do que rege a substituição de um par incompetente.

A IANA é um papel, não o proprietário da cadeia

RFC 7020descreve a IANA como um papel na raiz da hierarquia de registros de números. Ela aloca aos RIRs de acordo com a política global. Os RIRs atendem aos registros locais e outros. Um registro preciso apoia a unicidade e a coordenação operacional.

O papel pode parecer propriedade porque está no topo do diagrama. Mas administração de primeiro nível e propriedade são proposições diferentes. A IANA mantém os registros e faz alocações no âmbito de arranjos definidos. A descrição pública não diz que a IANA possui cada base de dados regional, emprega cada membro da equipe dos RIRs ou pode ceder cada acordo de detentor a um sucessor.

O RFC 7020 também observa que o antigo recurso final das decisões dos RIRs à IANA não era mais considerado apropriado. Essa mudança histórica é reveladora. Afasta-se da ideia da IANA como superior geral de apelação sobre decisões regionais. A hierarquia de registros manteve a coordenação técnica enquanto reduzia uma interpretação simples de cadeia de comando.

O documento separa ainda a administração de registros do roteamento. Uma rede pode escolher que rotas anunciar ou aceitar. Os registros de registro podem influenciar essa escolha, especialmente por meio de sistemas de segurança de roteamento, mas nenhuma entrada de registro de primeiro nível controla mecanicamente cada roteador.

Essas distinções impedem dois exageros. Um é que a IANA pode resolver a sucessão regional simplesmente por estar no ponto de alocação de primeiro nível. Outro é que a IANA não tem influência porque os operadores permanecem autônomos. Na realidade, o reconhecimento de primeiro nível e o estado do registro podem tornar um sucessor viável ou não, mesmo sem transferir os ativos regionais.

Uma comutação bem-sucedida exigiria tanto alinhamento institucional quanto operacional. Os registros voltados para a IANA precisariam reconhecer o sucessor. As bases de dados e serviços regionais precisariam ser transferidos. Os operadores e contrapartes precisariam confiar no novo estado. O primeiro passo é poderoso, mas não é a cadeia inteira.

As operações atuais da IANA preservam o propósito estreito da hierarquia

Apágina de recursos de números da IANAdescreve o modelo operacional atual. A IANA aloca pools não alocados aos cinco RIRs de acordo com a política global, em vez de atribuir recursos ordinários diretamente aos usuários finais ou provedores de serviços. Os RIRs são as contrapartes regionais para esse nível de administração.

Esse relato mostra por que o reconhecimento regional é importante. Um órgão fora do conjunto aceito não pode simplesmente exigir pools de primeiro nível e se tornar um par. Também mostra por que a IANA está mal posicionada para substituir um RIR da noite para o dia. Sua função ordinária não é um serviço de registro de varejo ou regional.

A distinção protege a subsidiariedade. As organizações regionais mantêm relações locais, idiomas, políticas e registros. Um operador central não precisa administrar cada conta. Isso reduz a concentração e preserva a expertise perto das comunidades relevantes.

Em caso de crise, no entanto, a divisão ordinária cria um problema de continuidade. Se um titular não pode funcionar, a IANA pode preservar as informações de primeiro nível e coordenar dentro de sua função. Ela não possui necessariamente os dados de conta regional, arquivos confidenciais, históricos de pagamento, registros de adesão, sistemas DNS reverso ou equipamentos de chave privada necessários para o serviço completo.

Uma descrição web operacional também não cria autoridade coercitiva. Ela registra o que a IANA faz e com quem. É uma evidência da dependência atual, não um instrumento jurídico que transfere os ativos de um RIR falido ou que anula ordens do país de origem.

A conclusão prática não é que a IANA é irrelevante. O reconhecimento no nível superior é uma das várias portas que um sucessor deve atravessar. Mas um guardião não é sempre um principal. A capacidade de aceitar ou recusar uma nova contraparte regional não fornece, por si só, o poder de obter tudo o que a nova contraparte precisa.

O acordo de 2016 prova que a substituição de um operador pode ser projetada

Oacordo de nível de serviço para serviços de numeração IANA, assinado em 29 de junho de 2016, cria uma relação explícita entre a ICANN como operadora e os cinco RIRs. Inclui padrões de serviço, revisões, gerenciamento de falhas, não renovação, rescisão, continuidade e disposições para sucessores.

Os cinco RIRs devem exercer direitos especificados coletivamente e por unanimidade. Essa regra torna difícil uma substituição abrupta ou faccionária. Reconhece que a função de numeração da IANA atende a todas as regiões e que uma transição dividida poderia prejudicar a unicidade e a confiança.

O acordo é notável porque rejeita a permanência institucional. A ICANN pode ser a operadora atual, mas o contrato prevê um caminho para outro provedor. As obrigações de continuidade e o planejamento de sucessores reduzem o risco de que a dependência se torne um veto sobre a responsabilidade.

Sua direção é igualmente notável. Os RIRs supervisionam coletivamente o operador para este serviço. O operador não recebe um poder simétrico de revogar uma de suas cinco contrapartes. O contrato rege a prestação de serviços de primeiro nível, e não a sucessão da empresa regional.

Essa assimetria revela o principal ausente. O sistema tem uma resposta clara para a pergunta "quem pode substituir o operador dos serviços de numeração da IANA?" Tem uma resposta adotada menos completa para a pergunta "quem pode substituir um RIR, e como cada ativo e relação regional segue?"

O acordo fornece um modelo de redação. Definir desempenho. Medir falha. Exigir aviso prévio e correção. Identificar o limiar de decisão. Proteger a continuidade. Estabelecer obrigações de dados e cooperação. Prever um sucessor. Um regime de sucessão regional exigiria disciplina comparável, ampliada para o conjunto muito maior de registros, contratos, pessoal e restrições de direito local detidos por um RIR.

Os parâmetros de protocolo mostram como é uma relação principal mais clara

Omemorando IETF-ICANN publicado como RFC 2860oferece outra comparação. Para o trabalho em parâmetros de protocolo da IETF, o IAB pode designar a função IANA, o IESG fornece direção técnica e qualquer uma das partes pode rescindir com aviso prévio de seis meses.

Este é um arranjo reconhecível de direção e saída. As instituições comunitárias relevantes, o operador e o escopo são identificados. Um leitor pode ver quem fornece a direção técnica e como a relação termina.

O texto também exclui expressamente questões políticas relativas à atribuição de blocos de endereços IP. Essa exclusão importa mais que qualquer analogia. Impede que a relação clara sobre parâmetros de protocolo seja tratada como a autoridade ausente sobre registros regionais de números.

A comparação demonstra dois pontos. Primeiro, a coordenação da Internet é capaz de redigir poderes expressos de designação e anulação. A ambiguidade não é tecnicamente inevitável. Segundo, as funções permanecem separadas. Um poder bem definido em uma parte da IANA não migra para outra por associação institucional.

Um futuro arranjo de sucessão regional deveria imitar a clareza, e não tomar emprestada a autoridade. Deveria identificar o órgão autorizado a iniciar a revisão, o padrão de prova, o operador interino, o limiar de decisão, a designação do sucessor e as condições de rescisão. Deveria indicar quais contratos e ativos não são automaticamente transferidos e, em seguida, fornecer mecanismos legais para tratá-los.

Isso é menos glamoroso que declarar um guardião da Internet. É mais útil. Um poder claro pode ser examinado. Um poder implícito descoberto durante uma crise tende a ser contestado precisamente no momento em que a coordenação rápida é mais necessária.

Os membros controlam uma empresa, não automaticamente o papel no sistema

Os RIRs têm membros, conselhos de administração e regras corporativas. Dependendo da instituição, os membros podem eleger diretores, aprovar mudanças constitucionais, receber relatórios, convocar reuniões ou contestar decisões. Esses são mecanismos reais de responsabilidade e podem ser a forma mais rápida de corrigir uma falha de gestão.

O controle corporativo não deve ser subestimado. Substituir um conselho ou executivo pode restaurar as operações sem desestabilizar o papel do registro. Os membros entendem as necessidades regionais e têm interesse direto na continuidade. O direito local fornece tribunais e recursos quando as regras internas falham.

Mas o controle da pessoa jurídica não é automaticamente a autoridade para transferir o papel de sistema regional para outra pessoa jurídica. Os membros podem alterar os estatutos enquanto a mesma empresa permanece o RIR reconhecido. Eles podem revogar diretores, mas não têm o poder de ceder cada contrato. O direito da insolvência pode limitar transferências de ativos. Dados confidenciais podem não ser movidos sem base legal. Credores podem ter reivindicações.

A adesão também apresenta um problema de denominador. Os membros são um eleitorado corporativo definido, não necessariamente cada detentor, cliente downstream, operador de rota, governo ou usuário da Internet na região de serviço. Um voto válido dos membros pode governar a empresa sem provar que todas as partes interessadas autorizaram a sucessão regional.

Inversamente, o reconhecimento da ICANN não pode apagar os direitos dos membros. Se a ICANN deixar de reconhecer uma instituição, seus membros e sua empresa ainda existem sob o direito local. Os servidores, contratos de trabalho e contas bancárias não desaparecem. Um sucessor técnico não pode simplesmente tomá-los porque uma coordenação mais ampla favorece a continuidade.

A sucessão requer, portanto, uma ponte entre a ação corporativa e a ação do sistema. Idealmente, os documentos constitutivos do RIR, os acordos de adesão e os arranjos de continuidade antecipariam o caminho de decisão reconhecido e permitiriam a transferência dentro de garantias definidas. Sem essas conexões, os atores institucionais podem tomar decisões conflitantes que são cada uma válidas em seu próprio domínio.

Os tribunais podem salvar ativos sem escolher o sucessor da Internet

Os tribunais do país de origem possuem poderes que os órgãos técnicos globais não têm. Eles podem fazer cumprir contratos, preservar ativos, nomear administradores, supervisionar insolvência, restringir diretores, compelir divulgação e resolver disputas corporativas. Em caso de crise, esses poderes podem determinar se as operações de registro sobrevivem.

No entanto, a competência de um tribunal está ligada à lei e às partes perante ele. Um juiz pode decidir quem controla uma empresa ou como os ativos são tratados. O tribunal pode não ter um papel global adotado para escolher a instituição que cada RIR, ICANN, IANA e redes devem reconhecer como o sucessor regional.

Essa separação pode criar um caso difícil. Uma comunidade técnica pode favorecer um novo operador. Um tribunal pode exigir que os ativos da empresa atual permaneçam sob administração. Contratos de adesão podem restringir a cessão. Regras de dados podem limitar a transferência internacional. O pessoal pode ter obrigações para com o titular. Credores podem resistir à movimentação não compensada de sistemas de valor.

Qualificar a decisão técnica de "revogação" não resolve essas reivindicações legais. Qualificar a ordem do tribunal de "controle" não garante que a IANA ou os registros pares aceitem o operador nomeado pelo tribunal. Ambas as partes podem deter poderes significativos sem que nenhuma complete a transição.

Um regime de continuidade maduro deveria antecipar a interseção. Deveria identificar a lei aplicável, arranjos de depósito ou replicação, direitos sobre registros essenciais, licenças de serviço de emergência, financiamento, garantias de confidencialidade e obrigações de cooperação. Deveria evitar depender de um tribunal para inventar uma coordenação global a partir de recursos corporativos locais.

Os tribunais permanecem indispensáveis. O objetivo não é contornar ordens legais. É reduzir o número de questões técnicas críticas deixadas para litígios de emergência, criando arranjos válidos antes da crise.

A escolha de roteamento não é nem sucessão de registro nem um detalhe negligenciável

Redes autônomas podem decidir quais rotas anunciar, propagar e aceitar. Essa liberdade significa que nenhuma instituição de registro pode garantir acessibilidade global simplesmente alterando uma entrada de banco de dados. Os operadores aplicam suas próprias políticas comerciais, técnicas e de segurança.

A escolha de roteamento oferece uma forma de saída. As redes podem continuar trocando tráfego apesar de uma disputa institucional, ou podem rejeitar anúncios que consideram perigosos. Esse julgamento distribuído é uma salvaguarda contra o controle administrativo total.

Não substitui a sucessão de registro. Os operadores precisam de uma base estável para transferências, DNS reverso, credenciais de segurança de roteamento, registros de contato e alocações futuras. Escolhas de roteamento bilaterais não podem reconstruir um banco de dados regional perdido nem decidir qual solicitante pode emitir credenciais válidas.

O roteamento também tem efeitos de coordenação. Se grandes provedores de trânsito e sistemas de validação seguem os registros do titular, um sucessor pode ser nominalmente reconhecido, mas operacionalmente fraco. Se os operadores se dividem entre fontes concorrentes, a unicidade e a segurança sofrem. A aceitação prática faz, portanto, parte do planejamento da comutação.

O sistema deveria indicar onde começa a escolha do operador. Uma designação de sucessor pode estabelecer a contraparte de registro aceita. Não deve ser descrita como uma ordem para cada roteador. Os operadores precisam saber quais dados mudaram, por que, quando e se o estado é definitivo ou contestado. Precisam de informações sobre reversão e transição de chaves.

A autonomia de roteamento torna a legitimidade mensurável na prática. Uma transição que muitos operadores rejeitam pode revelar consulta deficiente, execução técnica defeituosa ou reivindicações legais conflitantes. Não dá necessariamente um veto a cada operador. Obriga os planejadores a tratar a aceitação operacional como uma condição distinta, em vez de supor que o reconhecimento se propaga automaticamente pela rede.

O problema de continuidade é maior que uma cópia de banco de dados

Um RIR detém várias categorias de memória institucional. Bancos de dados de registro mantêm organizações, recursos, históricos e contatos. Delegações de DNS reverso ligam o espaço de números ao sistema de nomes. Serviços de segurança de roteamento dependem de certificados, chaves, repositórios e expectativas das partes usuárias. Arquivos internos podem conter provas de identidade, investigações de fraude, registros de transferência e correspondência confidencial.

A instituição também detém contratos. Membros e detentores concordaram com uma pessoa jurídica particular sob uma lei particular. Fornecedores fornecem datacenters, sistemas em nuvem, serviços bancários, seguros e segurança. Funcionários detêm conhecimento operacional que nenhuma exportação de arquivo captura completamente. Escritórios e equipamentos podem estar sujeitos a arrendamentos, ônus ou ordens locais.

Um sucessor precisa de autoridade tanto quanto de posse. Um banco de dados copiado não é autoritativo simplesmente porque está completo. Instituições pares, IANA, detentores e operadores precisam saber qual versão é válida e quando. Atualizações concorrentes durante a transição poderiam dividir o registro.

O material de segurança é particularmente sensível. Mover chaves privadas sem cuidado pode comprometer a confiança. Reemitir credenciais abruptamente pode invalidar sistemas de usuários. Manter chaves antigas por muito tempo pode deixar uma instituição falida capaz de atos contraditórios. Uma transição requer cerimônias, auditoria, revogação, sobreposição e planejamento de recuperação.

A confidencialidade não pode ser suspensa porque a continuidade é urgente. Registros pessoais e corporativos podem ser regidos por contratos e lei de dados. O sucessor precisa de base legal, controles de acesso e limitações de finalidade. Dados de registro público e registros protegidos não devem ser tratados como um ativo indiferenciado.

Finalmente, o sucessor precisa de dinheiro. Operação de emergência, retenção de pessoal, infraestrutura e conformidade legal têm custos. Se o titular é insolvente, as taxas dos membros podem estar bloqueadas ou contestadas. Um fundo de continuidade ou mecanismo de seguro deveria ser definido antes da falha, em vez de coletado durante ela.

Esses elementos transformam a revogação de uma declaração política em um programa de engenharia e jurídico. Sem eles, a retirada do reconhecimento pode aumentar a instabilidade que pretende curar.

Uma regra de decisão precisa de um eleitorado e um denominador

Quem deve decidir que um titular falhou? O Conselho da ICANN, os outros quatro RIRs, o Conselho Executivo da NRO, o Conselho de Endereçamento, os membros do titular, governos regionais, operadores de rede ou um painel independente são todas entidades plausíveis. Nenhuma é um principal global óbvio.

Cada escolha tem forças e conflitos. A ICANN pode ligar o reconhecimento a uma coordenação mais ampla, mas pode faltar autoridade regional sobre empresas. Os RIRs pares possuem expertise, mas podem ser concorrentes ou interessados em preservar o modelo existente. Os membros têm legitimidade local, mas podem estar divididos ou capturados. Governos podem proteger interesses públicos, mas introduzem controle geopolítico. Tribunais têm poder coercitivo legal, mas alcance global limitado.

Um mecanismo combinado é mais defensável. Uma avaliação factual independente poderia determinar se critérios definidos são atendidos. Membros regionais e detentores afetados poderiam ser ouvidos. Registros pares poderiam avaliar a continuidade técnica. A ICANN poderia tomar a decisão de reconhecimento sob um instrumento adotado. Tribunais manteriam seu papel legal sobre ativos e direitos corporativos.

O denominador de votação deve ser explícito. Unanimidade entre os RIRs restantes, supermaioria de um órgão da ICANN, voto dos membros regionais e aprovação intercomunitária produzem legitimidade diferente. Abstenções, conflitos e vagas institucionais precisam de regras. Uma crise é o pior momento para descobrir que o órgão decisório não pode formar quórum.

Os dados de participação importam. Os totais de consulta devem distinguir submissões, organizações, regiões, membros, detentores de recursos e operadores de rota. O apoio de um grupo concentrado não deve ser apresentado como assentimento universal. Da mesma forma, baixa participação não deve permitir que um pequeno grupo dissidente bloqueie indefinidamente a continuidade de emergência.

O objetivo não é uma democracia perfeita em cada etapa técnica. É uma regra de decisão conhecida antes que as identidades e interesses da crise estejam claros.

A revisão oficial do ICP-2 reconhece o vazio, mas ainda não o preenche

Apágina oficial de revisão ASO ICP-2relata um pedido de outubro de 2023 para atualização dos critérios de 2001. A página, modificada pela última vez em 28 de agosto de 2025 e revisada para esta análise em 12 de julho de 2026, identifica um segundo rascunho de documento de governança tratando de reconhecimento, operação e revogação, com consulta prevista até 7 de novembro de 2025.

A existência de um rascunho de revogação é significativa. Mostra que a comunidade de números reconhece que os critérios de entrada sozinhos não são suficientes. As obrigações contínuas e os procedimentos de retirada exigem tratamento explícito.

As evidências devem ser limitadas. A página citada qualifica o material como rascunho e ainda identifica o texto ICP-2 de 2001 como atual. Ela não prova, por si só, que um instrumento final posterior foi adotado, incorporado em todos os acordos necessários ou testado por um exercício operacional.

A consulta é um passo. A aprovação final, publicação da versão, revisão jurídica, incorporação, planejamento de implementação, financiamento e exercícios são outros. Um documento de governança refinado ainda pode falhar se os direitos sobre dados, custódia de chaves ou interação com tribunais permanecerem não resolvidos.

A revisão deve ser julgada por sua capacidade de ligar a autoridade de decisão à execução. Quem pode declarar não conformidade? Quem decide a revogação? Que serviços interinos continuam? Quem escolhe um sucessor? Que obrigações vinculam o titular e os pares? Como os detentores são protegidos? Que recursos suspendem ou atrasam a ação? Como a comutação é testada?

Enquanto um instrumento público adotado não responder a essas perguntas e as dependências necessárias não o aceitarem, a revisão é uma evidência de aprendizado institucional, e não uma prova de que a sucessão está resolvida.

Uma constituição de sucessão mínima viável

O primeiro elemento é um gatilho. Colapso financeiro, falha duradoura de serviço, perda de neutralidade, atos ilegais, paralisia de governança e recusa em agir não devem ser confundidos em uma única norma vaga. Cada motivo requer evidências, critérios de gravidade e remediação.

O segundo é um investigador suficientemente independente para avaliar o titular e tecnicamente capaz de entender as operações do registro. A instituição deve receber aviso prévio, acesso às evidências e uma chance de responder. Medidas de emergência devem ser limitadas e sujeitas a recurso.

O terceiro é um órgão de decisão e um limiar. Entidades conflitantes devem se recusar. A regra deve sobreviver a vagas e litígios. Os motivos devem ser públicos, exceto quando a confidencialidade é necessária.

O quarto é um operador interino. A continuidade temporária pode ser mais segura que uma substituição permanente imediata. O órgão interino precisa de autoridade limitada, financiamento, controles de segurança e uma data de término.

O quinto é a custódia. Bancos de dados, históricos, DNS reverso, sistemas de segurança de roteamento, chaves, arquivos, contratos e registros protegidos exigem regras de transferência distintas. Replicação e depósito podem reduzir a dependência de uma transferência relutante.

O sexto é a proteção dos detentores. Os registros não devem desaparecer porque a instituição falhou. Taxas, solicitações pendentes, disputas e arquivos de transferência precisam de continuidade. Os detentores devem saber quais condições continuam e quando um novo acordo é proposto.

O sétimo é a seleção do sucessor. Testes de competência tipo ICP-2, apoio regional, neutralidade, financiamento e manutenção de registros permanecem relevantes. Concorrência e conflitos devem ser gerenciados. O sucessor não deve ser escolhido apenas porque já controla o acesso de emergência.

O oitavo é a comutação técnica. Cerimônias de chave, serviço paralelo, validação, reversão, monitoramento e comunicação com operadores devem ser ensaiados. Uma decisão legal sem comutação segura é incompleta.

O nono é a revisão. O titular, membros e detentores materialmente afetados precisam de vias de recurso para contestar erros factuais e processuais. A revisão não deve permitir que um atraso tático destrua a continuidade, mas a ação de emergência não deve se tornar imune à correção.

O décimo é a responsabilidade pós-transição. Uma auditoria independente deve relatar o que foi movido, o que falhou, o que permanece contestado e quando os poderes interinos terminam.

O melhor argumento contra um único principal global

O diagnóstico do principal ausente pode parecer um apelo por um regulador global. Essa conclusão não segue. Um único superior poderia ser capturado, politizado ou forçado a revogar um registro por razões não relacionadas ao desempenho técnico. O poder central poderia tornar a autonomia regional nominal e criar um gargalo mais perigoso.

A governança policêntrica distribui riscos. Membros controlam empresas. Tribunais aplicam direito local. ICANN coordena reconhecimento. RIRs compartilham expertise técnica. IANA fornece serviços limitados. Redes mantêm escolha de roteamento. Nenhuma instituição única pode facilmente tomar conta do sistema inteiro.

Décadas de continuidade mostram que esse arranjo pode funcionar. A maioria dos problemas é resolvida por governança regional, contratos, negociação e cooperação técnica. Um superior global permanente poderia intervir muito facilmente onde um reparo local seria melhor.

O sistema também abrange jurisdições com tradições legais e interesses políticos diferentes. Um principal em nível de tratado poderia ser inacessível ou produzir barganhas estatais que enfraquecem a comunidade técnica. A coordenação privada preservou um certo grau de interoperabilidade global apesar das divisões geopolíticas.

Essas são razões sólidas para manter autoridade distribuída. A fraqueza não é a ausência de um dirigente único. É a ausência de uma regra de composição suficientemente explícita para uma falha rara, mas previsível. Sistemas policêntricos precisam de protocolos sobre como os poderes limitados se combinam.

Uma constituição de sucessão pode preservar a descentralização. Pode exigir múltiplas conclusões e aprovações independentes, manter intactos os direitos corporativos e dos tribunais, limitar poderes interinos e proteger a escolha dos operadores. O resultado seria uma federação de emergência, não um soberano global.

A melhor resposta ao principal ausente pode, portanto, ser nenhum principal único, mas uma sequência adotada que diz a cada ator quando sua parte começa e termina.

O perigo da continuidade se tornar autoautorização

O status de titular cria dependência. Outros registros reconhecem o titular. A IANA o atende. Membros o pagam. Tribunais conhecem sua identidade legal. Operadores consultam seus dados. O pessoal detém conhecimento institucional. Essas dependências tornam a substituição custosa.

O custo pode se tornar um argumento de legitimidade: a instituição deve possuir autoridade porque o sistema não pode funcionar sem ela. Esse raciocínio confunde a necessidade da função com a permanência do operador. Recompensa baixa portabilidade e planejamento de sucessão fraco.

O acordo de numeração da IANA indica um princípio melhor. Um operador crítico pode ser profundamente dependente enquanto permanece substituível sob condições definidas. As obrigações de continuidade protegem a função durante a mudança.

Os registros regionais precisam da mesma separação. Sua expertise e história justificam respeito. Seus registros precisam de proteção. Seus membros têm direitos legais. Nenhum desses fatos deve tornar o papel regional impossível de transferir se a instituição não puder operar persistentemente.

A substituibilidade não é hostilidade. Pode fortalecer a legitimidade de um titular provando que o reconhecimento contínuo depende de desempenho, e não de um bloqueio institucional. Planos de continuidade testados também protegem o titular contra ameaças coercitivas, pois as partes interessadas podem distinguir uma verdadeira falha de governança de uma tentativa oportunista de tomar ativos.

O desafio é evitar a substituição levianamente. Limiares altos, evidências, períodos de remediação e revisão independente podem proteger a estabilidade. Depósito, replicação e ensaios podem proteger a continuidade sem tornar a retirada fácil. O sistema deve ser ao mesmo tempo difícil de perturbar e possível de reparar.

A imortalidade institucional e a intervenção política abrupta não são as únicas escolhas. A sucessão projetada é o caminho do meio.

O que uma auditoria de prontidão de ponta a ponta deve testar

Uma auditoria séria deve começar pela autoridade. Deve identificar o texto adotado para investigação, medidas provisórias, revogação, seleção do sucessor e reconhecimento. Rascunhos e declarações de intenção devem ser listados separadamente das decisões vinculantes.

Deve então testar a compatibilidade corporativa. A constituição de cada RIR, condições de adesão, acordos de detentores, contratos de fornecedores, obrigações de emprego e direito local devem ser examinados quanto a disposições de continuidade e transferência. Uma regra global que conflita com cada instrumento local falhará na execução.

A auditoria de dados deve inventariar bancos de dados, backups, históricos, logs, arquivos confidenciais e restrições de localização de dados. As réplicas devem ser testadas quanto à completude e atualidade. O acesso deve ser controlado para que a resiliência não crie um pool de vigilância não autorizado.

A auditoria de segurança deve cobrir custódia de chaves, hierarquias de certificados, depósitos, segurança física, revogação e transição de partes usuárias. Exercícios devem incluir um titular não cooperativo e credenciais comprometidas.

A auditoria de serviço deve testar alocações, transferências, DNS reverso, consultas de registro, emissão de segurança de roteamento, contatos de abuso, faturamento e comunicações com membros. Deve definir quais serviços podem ser interrompidos e quais requerem operação quase contínua.

A auditoria financeira deve identificar financiamento de emergência, retenção de pessoal, seguro, pagamento de fornecedores e custos do sucessor. Deve modelar insolvência e retenção de ativos.

A auditoria jurídica deve testar ordens judiciais, reivindicações de credores, regras de confidencialidade, cessão de contratos, direito trabalhista e responsabilidade do sucessor. Deve incluir mais que a jurisdição do órgão de coordenação central.

A auditoria de participação deve divulgar quem foi consultado e que grupos permanecem fora do processo. Deve testar acesso linguístico e conflitos.

Finalmente, o sistema deve executar um exercício público com registros sintéticos. Um plano que nunca sobreviveu a uma comutação cronometrada não está pronto simplesmente porque sua prosa de governança está completa.

O que permanece desconhecido

O dossiê público disponível apoia uma conclusão arquitetural clara. O RFC 1366 propôs distribuição regional como estratégia de escalonamento. ICP-2 estabeleceu critérios de reconhecimento em 2001. O RFC 7020 descreveu a hierarquia evoluída e se afastou de um recurso final à IANA. O acordo de serviço de 2016 deu aos cinco RIRs um caminho para substituir o operador de numeração da IANA. O memorando ASO de 2019 preservou capacidade institucional distinta. A revisão oficial então se voltou para a revogação.

O dossiê citado não estabelece um regime de sucessão regional finalmente adotado, totalmente incorporado e testado. Não identifica o denominador de votação completo, o operador interino, a fonte de financiamento, o direito de transferência de registros, o plano de transição de chaves, a proteção dos detentores ou o teste de comutação.

Nenhum dossiê de crise ao vivo é avaliado aqui. O direito corporativo pode dar aos membros, tribunais, liquidatários ou reguladores recursos poderosos em uma região particular. Contratos podem conter cláusulas de continuidade não avaliadas nesta análise transversal. Esses poderes poderiam resolver partes de um caso real.

O denominador de consulta também está faltando. As submissões públicas não mostram necessariamente quantos detentores e operadores entenderam, apoiaram ou rejeitaram cada proposta. O silêncio pode refletir consentimento, indiferença, falta de capacidade ou falta de conscientização.

As evidências também não provam que um único principal é desejável. Uma sequência distribuída pode oferecer melhor proteção. A afirmação é que os instrumentos adotados atualmente citados ainda não revelam essa sequência completa.

Essas limitações aconselham preparação, não alarme. O sistema funcionou por décadas através da cooperação. O vazio se torna decisivo apenas quando um titular não pode ou não quer funcionar e a correção corporativa ordinária falha. Essa condição de baixa frequência é precisamente a razão pela qual as regras devem ser fixadas antes que as identidades, ativos e interesses políticos de uma crise sejam conhecidos.

A autoridade sob tensão deve ser projetada antes de ser necessária

A cadeia de registros de números não é anárquica. Contém muitos centros de autoridade válidos. Membros governam empresas. Conselhos administram instituições. Tribunais aplicam direito local. ICANN age dentro de estruturas de reconhecimento. IANA mantém serviços de primeiro nível. RIRs supervisionam coletivamente seu provedor de serviços de numeração. Redes escolhem rotas.

A questão não resolvida é a composição. Se um RIR falhar, nenhum desses poderes pode, sozinho, investigar a falha, retirar o papel do sistema, assumir o controle dos ativos regionais, preservar cada serviço, proteger os detentores, nomear um sucessor e obter aceitação operacional global.

Esse fato não deve ser ocultado pela forma da hierarquia. A posição de primeiro nível da IANA não é propriedade. O reconhecimento da ICANN não é controle corporativo. O controle dos membros não é reconhecimento pelos pares. Uma ordem judicial não é aceitação técnica global. A escolha de roteamento não é continuidade de registro.

O sistema precisa de uma sequência adotada que una esses poderes enquanto preserva seus limites. Tal sequência pode ser policêntrica: avaliação independente, audiência regional, revisão técnica por pares, ação de reconhecimento da ICANN, custódia legal de ativos, serviço interino, seleção do sucessor e comutação testada. Não precisa criar um único superior permanente.

O sucesso não seria medido pela elegância de um documento de governança, mas pela questão de saber se os registros permanecem autoritativos, as chaves permanecem seguras, os detentores mantêm o serviço, os tribunais podem reconhecer arranjos legais, os operadores podem verificar a transição e os poderes de emergência expiram.

O princípio de legitimidade mais profundo é a substituibilidade sem imprudência. Uma instituição que realiza trabalho crítico não deve ser revogável por um voto leviano ou pressão política. Também não deve se tornar permanente simplesmente porque ninguém preparou a saída.

O principal ausente não é, portanto, uma cadeira vazia esperando um dirigente global único. É uma composição de autoridade adotada faltante. Até que essa composição esteja completa e testada, a continuidade depende muito pesadamente de reconhecimento mútuo, negociação e esperança de que cada ator limitado improvisará a mesma resposta quando a cadeia estiver sob sua maior tensão.