feat(cra): Maßnahmen-Provenienz + Lizenzklasse je Normquelle

Jede Normreferenz einer Maßnahme wird lizenzklassifiziert (eu_law /
public_domain / open / paid_reference) — paid-reference-Normen werden nur als
Verweis geführt, nie im Text gespeichert (idea/expression). Kuratierte
Maßnahmen tragen Tier 'core', KI-/Fallback-Maßnahmen 'review' (indikativ).
Frontend zeigt Quellen-Badges + "indikativ"-Kennzeichnung. Methodik in
docs-src/development/mapping-methodology.md (Szenario C, Due-Diligence).

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

admin-compliance/app/sdk/iace/[projectId]/cra/_hooks/useCRA.ts

@@ -72,6 +72,9 @@ function merge(live: any): CRADemo {
     name: om.name || DEMO_SCENARIO.open_measures.find((d) => d.id === om.id)?.name || om.id,
     description: om.description || '',
     norm_refs: om.norm_refs || [],
+    norm_sources: om.norm_sources || [],
+    tier: om.tier,
+    provenance: om.provenance,
   }))
 
   return {

admin-compliance/app/sdk/iace/[projectId]/cra/_hooks/useCRADemo.ts

@@ -39,11 +39,16 @@ export interface CRAFinding {
   objective?: string
 }
 
+export interface NormSource { ref: string; license_class: string; label: string }
+
 export interface Measure {
   id: string
   name: string
   description: string
   norm_refs: string[]
+  norm_sources?: NormSource[]   // license-classified refs (provenance)
+  tier?: string                 // core (validated) | review (indicative)
+  provenance?: string
 }
 
 export interface CrossLink {