docs: Tests, MKDocs und SDK-Flow-Beschreibungen fuer Analyse-Module aktualisieren

Backend-Tests fuer alle 7 Analyse-Module (Requirements CRUD, AI System CRUD + Assessment,
Evidence Pagination, Risk Workflow). MKDocs um Analyse-Module-Seite erweitert. SDK-Flow
flow-data.ts und StepHeader STEP_EXPLANATIONS mit neuen Features aktualisiert (CRUD,
Pagination, Evidence-Linking, Residual Risk, AI Act Backend-Persistenz, PDF-Export).

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

admin-compliance/app/(admin)/development/sdk-flow/flow-data.ts

@@ -240,13 +240,13 @@ export const SDK_FLOW_STEPS: SDKFlowStep[] = [
     checkpointType: 'REQUIRED',
     checkpointReviewer: 'NONE',
     description: 'Ableitung konkreter Compliance-Anforderungen aus den aktivierten Modulen, mit RAG-Anreicherung.',
-    descriptionLong: 'Aus den aktivierten Modulen und der Source Policy werden konkrete, umsetzbare Compliance-Anforderungen abgeleitet. Die RAG-Collections bp_compliance_recht (DE-Gesetze) und bp_compliance_ce (EU-Verordnungen) liefern aktuelle Rechtstexte, aus denen spezifische Pflichten extrahiert werden. Die KI-gestuetzte Interpretation (interpret_requirement) und Control-Vorschlaege (suggest_controls) werden mit RAG-Kontext angereichert — die Collection wird automatisch anhand des Regulation-Codes gewaehlt (EU → bp_compliance_ce, DE → bp_compliance_recht). Der API-Endpunkt GET /requirements/{id}?include_legal_context=true liefert optional passende Rechtstexte als Kontext mit.',
+    descriptionLong: 'Aus den aktivierten Modulen und der Source Policy werden konkrete, umsetzbare Compliance-Anforderungen abgeleitet. Vollstaendige CRUD-Operationen (Erstellen, Lesen, Aktualisieren, Loeschen) mit Backend-Persistenz. Die RAG-Collections bp_compliance_recht (DE-Gesetze) und bp_compliance_ce (EU-Verordnungen) liefern aktuelle Rechtstexte, aus denen spezifische Pflichten extrahiert werden. Die KI-gestuetzte Interpretation (interpret_requirement) und Control-Vorschlaege (suggest_controls) werden mit RAG-Kontext angereichert — die Collection wird automatisch anhand des Regulation-Codes gewaehlt (EU → bp_compliance_ce, DE → bp_compliance_recht). Status-Workflow: NOT_STARTED → IN_PROGRESS → IMPLEMENTED → VERIFIED mit automatischem Rollback bei Backend-Fehler. Filterung, Volltextsuche und Paginierung fuer grosse Datensaetze (500+ Anforderungen).',
     legalBasis: 'Art. 5, 24, 25 DSGVO (Rechenschaftspflicht)',
     inputs: ['modules', 'sourcePolicy'],
     outputs: ['requirements'],
     prerequisiteSteps: ['source-policy'],
     dbTables: ['compliance_requirements'],
-    dbMode: 'read',
+    dbMode: 'read/write',
     ragCollections: ['bp_compliance_recht', 'bp_compliance_ce'],
     ragPurpose: 'Rechtliche Anforderungen ableiten + AI-Interpretation mit Rechtskontext anreichern (Collection-Routing: EU→ce, DE→recht)',
     isOptional: false,
@@ -262,7 +262,7 @@ export const SDK_FLOW_STEPS: SDKFlowStep[] = [
     checkpointType: 'REQUIRED',
     checkpointReviewer: 'DSB',
     description: 'Definition technischer und organisatorischer Kontrollen zur Erfuellung der Anforderungen.',
-    descriptionLong: 'Fuer jede Compliance-Anforderung werden konkrete Controls (Kontrollmassnahmen) definiert. Controls sind technische oder organisatorische Massnahmen, die sicherstellen, dass eine Anforderung erfuellt wird. Beispiele: Zugriffskontrolle (RBAC), Verschluesselung (AES-256), Logging, Schulungspflichten. Der Datenschutzbeauftragte (DSB) muss diesen Schritt freigeben, da die Controls die Basis fuer die gesamte Sicherheitsarchitektur bilden.',
+    descriptionLong: 'Fuer jede Compliance-Anforderung werden konkrete Controls (Kontrollmassnahmen) definiert. Controls sind technische oder organisatorische Massnahmen, die sicherstellen, dass eine Anforderung erfuellt wird. Beispiele: Zugriffskontrolle (RBAC), Verschluesselung (AES-256), Logging, Schulungspflichten. Evidence-Linking: Jeder Control zeigt verknuepfte Nachweise mit Gueltigkeits-Badge an. Navigation zur Evidence-Seite mit vorausgewaehltem Control. Domaenen-basierte Gruppierung (gov, priv, iam, crypto, sdlc, ops, ai, cra, aud). Review-Workflow mit Verantwortlichem und naechstem Review-Datum. Der DSB muss diesen Schritt freigeben.',
     legalBasis: 'Art. 32 DSGVO (Sicherheit der Verarbeitung)',
     inputs: ['requirements'],
     outputs: ['controls'],
@@ -283,7 +283,7 @@ export const SDK_FLOW_STEPS: SDKFlowStep[] = [
     checkpointType: 'RECOMMENDED',
     checkpointReviewer: 'NONE',
     description: 'Sammlung und Verwaltung von Nachweisen fuer die Umsetzung der Controls.',
-    descriptionLong: 'Fuer jeden Control wird dokumentiert, wie und wann er umgesetzt wurde. Evidence (Nachweise) koennen Screenshots, Konfigurationsdateien, Audit-Logs, Schulungszertifikate oder Testprotokolle sein. Die Evidence-Sammlung ist essentiell fuer Audits und Zertifizierungen, da sie die tatsaechliche Umsetzung der Compliance-Massnahmen belegt. Jeder Nachweis wird mit Zeitstempel, Verantwortlichem und Gueltigkeitsdauer versehen.',
+    descriptionLong: 'Fuer jeden Control wird dokumentiert, wie und wann er umgesetzt wurde. Evidence (Nachweise) koennen Screenshots, Konfigurationsdateien, Audit-Logs, Schulungszertifikate oder Testprotokolle sein. Server-seitige Pagination (page, limit Query-Parameter) fuer grosse Nachweis-Sammlungen. Gueltigkeits-Tracking (valid_from, valid_until) mit Status: valid, expired, pending, failed. Verknuepfung mit Controls und Upload von Dateien als Nachweise. Essentiell fuer Audits und Zertifizierungen.',
     legalBasis: 'Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht)',
     inputs: ['controls'],
     outputs: ['evidence'],
@@ -304,7 +304,7 @@ export const SDK_FLOW_STEPS: SDKFlowStep[] = [
     checkpointType: 'REQUIRED',
     checkpointReviewer: 'DSB',
     description: 'Bewertung aller Datenschutz- und Compliance-Risiken in einer Risikomatrix.',
-    descriptionLong: 'Die Risikomatrix bewertet jedes identifizierte Risiko nach Eintrittswahrscheinlichkeit und Schadenshoehe. Risiken werden aus den Controls und Modulen abgeleitet — z.B. "Datenverlust durch fehlende Verschluesselung" oder "Bussgeld durch unvollstaendiges VVT". Fuer jedes Risiko werden Massnahmen zur Risikominderung vorgeschlagen. Der DSB muss die Risikobewertung freigeben, da sie die Grundlage fuer die DSFA und weitere Schutzmassnahmen bildet.',
+    descriptionLong: 'Die 5x5 Risikomatrix bewertet jedes Risiko nach Eintrittswahrscheinlichkeit und Schadenshoehe. Inherent Risk vs. Residual Risk mit visuellem Vergleich. Status-Workflow: IDENTIFIED → ASSESSED → MITIGATED → ACCEPTED → CLOSED. Expandierbare Mitigations-Sektion pro Risiko mit verknuepften Controls (Name, Status, Effectiveness). Automatische Risiko-Level-Berechnung: Score = Likelihood × Impact (LOW <6, MEDIUM 6-11, HIGH 12-19, CRITICAL ≥20). Der DSB muss die Risikobewertung freigeben.',
     legalBasis: 'Art. 35 DSGVO (Datenschutz-Folgenabschaetzung)',
     inputs: ['controls', 'modules'],
     outputs: ['risks'],
@@ -325,13 +325,13 @@ export const SDK_FLOW_STEPS: SDKFlowStep[] = [
     checkpointType: 'REQUIRED',
     checkpointReviewer: 'LEGAL',
     description: 'Klassifizierung aller KI-Systeme nach EU AI Act Risikokategorien.',
-    descriptionLong: 'Jeder Use Case, der KI-Systeme einsetzt, wird nach dem EU AI Act klassifiziert: Unakzeptabel (verboten), Hochrisiko (strenge Auflagen), Begrenzt (Transparenzpflicht) oder Minimal (keine Auflagen). Fuer Hochrisiko-KI-Systeme werden spezifische Pflichten abgeleitet: Risikomanagementsystem, Datenqualitaet, technische Dokumentation, Transparenz, menschliche Aufsicht, Genauigkeit und Robustheit. Die Rechtsabteilung (LEGAL) muss die Klassifizierung freigeben.',
+    descriptionLong: 'KI-System-Registrierung mit vollstaendiger Backend-Persistenz (CRUD). Risikopyramide: Minimal → Begrenzt → Hoch → Verboten. KI-gestuetzte Risikobewertung mit Rule-Based-Fallback: Der Assess-Endpoint analysiert Zweck, Sektor und Beschreibung und leitet Klassifizierung + Pflichten automatisch ab. Fuer Hochrisiko-Systeme werden 8 AI Act Pflichten abgeleitet (Risikomanagement, Daten-Governance, Dokumentation, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit, Cybersicherheit). Filterung nach Klassifizierung, Status und Sektor. Die Rechtsabteilung (LEGAL) muss die Klassifizierung freigeben.',
     legalBasis: 'EU AI Act Art. 6-9 (Risikokategorien)',
     inputs: ['useCases', 'companyProfile'],
     outputs: ['aiActClassification', 'obligations'],
     prerequisiteSteps: ['risks'],
-    dbTables: [],
-    dbMode: 'none',
+    dbTables: ['compliance_ai_systems'],
+    dbMode: 'read/write',
     ragCollections: ['bp_compliance_ce'],
     ragPurpose: 'EU AI Act Regulierungstexte',
     isOptional: false,
@@ -347,12 +347,12 @@ export const SDK_FLOW_STEPS: SDKFlowStep[] = [
     checkpointType: 'RECOMMENDED',
     checkpointReviewer: 'NONE',
     description: 'Erstellung einer pruefbaren Checkliste fuer interne und externe Audits.',
-    descriptionLong: 'Aus den Requirements und Controls wird eine strukturierte Audit-Checkliste generiert. Jeder Checkpunkt verweist auf die zugrundeliegende Anforderung, den zugehoerigen Control und den erwarteten Nachweis. Die Checkliste kann fuer interne Self-Assessments oder als Vorbereitung auf externe Audits (z.B. ISO 27001, BSI Grundschutz) verwendet werden. Sie wird automatisch aktualisiert, wenn sich Requirements oder Controls aendern.',
+    descriptionLong: 'Aus den Requirements und Controls wird eine strukturierte Audit-Checkliste generiert. Session-Management: Draft → In Progress → Completed → Archived. Interaktiver Sign-Off-Workflow mit digitalem Signatur-Hash (SHA-256). PDF-Download in Deutsch oder Englisch. Session-History: Anzeige vergangener Audit-Sitzungen mit Status-Badges. JSON-Export der Checkliste. Die Checkliste kann fuer interne Self-Assessments oder als Vorbereitung auf externe Audits (ISO 27001, BSI Grundschutz) verwendet werden.',
     inputs: ['requirements', 'controls'],
     outputs: ['checklist'],
     prerequisiteSteps: ['ai-act'],
-    dbTables: [],
-    dbMode: 'none',
+    dbTables: ['compliance_audit_sessions', 'compliance_audit_signoffs'],
+    dbMode: 'read/write',
     ragCollections: [],
     isOptional: false,
     url: '/sdk/audit-checklist',
@@ -367,7 +367,7 @@ export const SDK_FLOW_STEPS: SDKFlowStep[] = [
     checkpointType: 'REQUIRED',
     checkpointReviewer: 'NONE',
     description: 'Generierung eines vollstaendigen Audit-Reports mit Findings und Empfehlungen.',
-    descriptionLong: 'Der Audit Report fasst alle Ergebnisse der Analyse-Phase zusammen: Erfuellte und offene Anforderungen, Control-Wirksamkeit, Evidence-Status und Risikobewertung. Er wird als PDF generiert und enthaelt Findings (Feststellungen), Empfehlungen und einen Massnahmenplan. Der Report dient als Nachweis gegenueber Aufsichtsbehoerden und als Grundlage fuer die Dokumentations-Phase.',
+    descriptionLong: 'Der Audit Report fasst alle Ergebnisse der Analyse-Phase zusammen. Uebersicht aller Audit-Sitzungen mit Status-Badges. Detail-Seite pro Sitzung mit Session-Metadaten (Auditor, Zeitraum, Status), Fortschrittsbalken (konform/nicht konform/ausstehend), interaktiven Checklist-Items mit Sign-Off, Notizen-Bearbeitung pro Pruefpunkt und PDF-Download mit Sprachauswahl (DE/EN). Click-Navigation von der Uebersicht zur Detail-Seite. Dient als Nachweis gegenueber Aufsichtsbehoerden.',
     inputs: ['checklist', 'controls', 'evidence'],
     outputs: ['auditReport'],
     prerequisiteSteps: ['audit-checklist'],

admin-compliance/components/sdk/StepHeader/StepHeader.tsx

@@ -390,7 +390,7 @@ export const STEP_EXPLANATIONS = {
   'requirements': {
     title: 'Anforderungen',
     description: 'Pruefen und verwalten Sie die Compliance-Anforderungen',
-    explanation: 'Anforderungen sind konkrete Vorgaben aus den aktivierten Modulen. Jede Anforderung verweist auf einen Gesetzesartikel und muss durch Kontrollen abgedeckt werden.',
+    explanation: 'Anforderungen sind konkrete Vorgaben aus den aktivierten Modulen. Jede Anforderung verweist auf einen Gesetzesartikel und muss durch Kontrollen abgedeckt werden. Vollstaendige CRUD-Operationen mit Backend-Persistenz.',
     tips: [
       {
         icon: 'warning' as const,
@@ -400,14 +400,19 @@ export const STEP_EXPLANATIONS = {
       {
         icon: 'success' as const,
         title: 'Status-Workflow',
-        description: 'Anforderungen durchlaufen: Nicht begonnen → In Bearbeitung → Implementiert → Verifiziert.',
+        description: 'Anforderungen durchlaufen: Nicht begonnen → In Bearbeitung → Implementiert → Verifiziert. Bei Backend-Fehler erfolgt automatischer Rollback.',
+      },
+      {
+        icon: 'lightbulb' as const,
+        title: 'CRUD-Operationen',
+        description: 'Anforderungen koennen erstellt, bearbeitet und geloescht werden. Alle Aenderungen werden sofort im Backend persistiert.',
       },
     ],
   },
   'controls': {
     title: 'Kontrollen',
     description: 'Definieren Sie technische und organisatorische Massnahmen',
-    explanation: 'Kontrollen (auch TOMs genannt) sind konkrete Massnahmen zur Erfuellung der Anforderungen. Sie koennen praeventiv, detektiv oder korrektiv sein.',
+    explanation: 'Kontrollen (auch TOMs genannt) sind konkrete Massnahmen zur Erfuellung der Anforderungen. Sie koennen praeventiv, detektiv oder korrektiv sein. Evidence-Linking zeigt verknuepfte Nachweise mit Gueltigkeits-Badge.',
     tips: [
       {
         icon: 'lightbulb' as const,
@@ -419,29 +424,39 @@ export const STEP_EXPLANATIONS = {
         title: 'Verantwortlichkeiten',
         description: 'Weisen Sie jeder Kontrolle einen Verantwortlichen zu. Dies ist fuer Audits wichtig.',
       },
+      {
+        icon: 'success' as const,
+        title: 'Evidence-Linking',
+        description: 'Verknuepfen Sie Nachweise direkt mit Controls. Gueltige, abgelaufene und ausstehende Nachweise werden mit Badges angezeigt.',
+      },
     ],
   },
   'evidence': {
     title: 'Nachweise',
     description: 'Dokumentieren Sie die Umsetzung mit Belegen',
-    explanation: 'Nachweise sind Dokumente, Screenshots oder Berichte, die belegen, dass Kontrollen implementiert sind. Sie sind essentiell fuer Audits und Zertifizierungen.',
+    explanation: 'Nachweise sind Dokumente, Screenshots oder Berichte, die belegen, dass Kontrollen implementiert sind. Server-seitige Pagination fuer grosse Nachweis-Sammlungen.',
     tips: [
       {
         icon: 'warning' as const,
         title: 'Gueltigkeit',
-        description: 'Achten Sie auf das Ablaufdatum von Nachweisen. Abgelaufene Zertifikate oder Berichte muessen erneuert werden.',
+        description: 'Achten Sie auf das Ablaufdatum von Nachweisen. Abgelaufene Zertifikate oder Berichte muessen erneuert werden. Status: valid, expired, pending, failed.',
       },
       {
         icon: 'success' as const,
         title: 'Verknuepfung',
         description: 'Verknuepfen Sie Nachweise direkt mit den zugehoerigen Kontrollen fuer eine lueckenlose Dokumentation.',
       },
+      {
+        icon: 'info' as const,
+        title: 'Pagination',
+        description: 'Bei vielen Nachweisen wird automatisch paginiert. Nutzen Sie die Seitennavigation am Ende der Liste.',
+      },
     ],
   },
   'audit-checklist': {
     title: 'Audit-Checkliste',
     description: 'Systematische Pruefung der Compliance-Konformitaet',
-    explanation: 'Die Audit-Checkliste wird automatisch aus den Anforderungen generiert. Gehen Sie jeden Punkt durch und dokumentieren Sie den Compliance-Status.',
+    explanation: 'Die Audit-Checkliste wird automatisch aus den Anforderungen generiert. Session-Management mit Sign-Off-Workflow und PDF-Export.',
     tips: [
       {
         icon: 'lightbulb' as const,
@@ -450,42 +465,57 @@ export const STEP_EXPLANATIONS = {
       },
       {
         icon: 'info' as const,
-        title: 'Notizen',
-        description: 'Nutzen Sie das Notizfeld, um Massnahmen oder Abweichungen zu dokumentieren.',
+        title: 'Sign-Off & PDF',
+        description: 'Zeichnen Sie Pruefpunkte mit digitalem Hash (SHA-256) ab. Exportieren Sie den Report als PDF in Deutsch oder Englisch.',
+      },
+      {
+        icon: 'success' as const,
+        title: 'Session-History',
+        description: 'Vergangene Audit-Sitzungen werden mit Status-Badges angezeigt: Draft, In Progress, Completed, Archived.',
       },
     ],
   },
   'risks': {
     title: 'Risiko-Matrix',
     description: 'Bewerten und priorisieren Sie Ihre Compliance-Risiken',
-    explanation: 'Die 5x5 Risiko-Matrix visualisiert Ihre Risiken nach Wahrscheinlichkeit und Auswirkung. Risiken mit hohem Score erfordern Mitigationsmassnahmen.',
+    explanation: 'Die 5x5 Risiko-Matrix visualisiert Ihre Risiken nach Wahrscheinlichkeit und Auswirkung. Inherent Risk vs. Residual Risk mit visuellem Vergleich.',
     tips: [
       {
         icon: 'warning' as const,
         title: 'Kritische Risiken',
-        description: 'Risiken im roten Bereich (Score >= 15) muessen priorisiert behandelt werden.',
+        description: 'Risiken mit Score >= 20 sind CRITICAL (rot), >= 12 HIGH (orange), >= 6 MEDIUM (gelb), < 6 LOW (gruen).',
       },
       {
         icon: 'success' as const,
         title: 'Mitigation',
-        description: 'Definieren Sie fuer jedes Risiko Mitigationsmassnahmen. Abgeschlossene Massnahmen reduzieren den Residual-Risk.',
+        description: 'Verknuepfen Sie Controls als Mitigationsmassnahmen. Der Residual-Risk wird automatisch anhand verknuepfter Controls berechnet.',
+      },
+      {
+        icon: 'info' as const,
+        title: 'Status-Workflow',
+        description: 'Risiken durchlaufen: Identifiziert → Bewertet → Mitigiert → Akzeptiert → Geschlossen.',
       },
     ],
   },
   'ai-act': {
     title: 'AI Act Klassifizierung',
-    description: 'Bestimmen Sie die Risikostufe Ihrer KI-Systeme',
-    explanation: 'Der EU AI Act klassifiziert KI-Systeme in Risikostufen: Minimal, Begrenzt, Hoch und Unzulaessig. Die Einstufung bestimmt die regulatorischen Anforderungen.',
+    description: 'Registrieren und klassifizieren Sie Ihre KI-Systeme',
+    explanation: 'Der EU AI Act klassifiziert KI-Systeme in Risikostufen: Minimal, Begrenzt, Hoch und Verboten. KI-Systeme werden im Backend persistent gespeichert und koennen automatisch bewertet werden.',
     tips: [
       {
         icon: 'warning' as const,
         title: 'Hochrisiko-Systeme',
-        description: 'Hochrisiko-KI-Systeme unterliegen strengen Anforderungen bezueglich Transparenz, Dokumentation und menschlicher Aufsicht.',
+        description: 'Hochrisiko-KI erfordert 8 Pflichten: Risikomanagement, Daten-Governance, Dokumentation, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit, Cybersicherheit.',
+      },
+      {
+        icon: 'lightbulb' as const,
+        title: 'Automatische Bewertung',
+        description: 'Nutzen Sie die Assess-Funktion: Sie analysiert Zweck und Sektor und leitet die Risikokategorie + Pflichten automatisch ab.',
       },
       {
         icon: 'info' as const,
-        title: 'Deadline',
-        description: 'Die AI Act Anforderungen treten schrittweise in Kraft. Beginnen Sie fruehzeitig mit der Compliance.',
+        title: 'CRUD-Operationen',
+        description: 'KI-Systeme koennen registriert, bearbeitet, bewertet und geloescht werden. Alle Daten werden backend-persistent gespeichert.',
       },
     ],
   },
@@ -716,7 +746,7 @@ export const STEP_EXPLANATIONS = {
   'audit-report': {
     title: 'Audit Report',
     description: 'Erstellen und verwalten Sie Audit-Sitzungen',
-    explanation: 'Im Audit Report erstellen Sie formelle Audit-Sitzungen mit Pruefer-Informationen, fuehren die Pruefung durch und generieren PDF-Reports. Jede Sitzung dokumentiert den Compliance-Stand zu einem bestimmten Zeitpunkt.',
+    explanation: 'Im Audit Report erstellen Sie formelle Audit-Sitzungen. Uebersicht mit Status-Badges, Detail-Seite pro Sitzung mit Fortschrittsbalken und interaktiven Checklist-Items.',
     tips: [
       {
         icon: 'lightbulb' as const,
@@ -725,8 +755,13 @@ export const STEP_EXPLANATIONS = {
       },
       {
         icon: 'success' as const,
+        title: 'Detail-Ansicht',
+        description: 'Klicken Sie auf eine Sitzung fuer die Detail-Seite: Metadaten, Fortschrittsbalken, Checklist-Items mit Sign-Off und Notizen.',
+      },
+      {
+        icon: 'info' as const,
         title: 'PDF-Export',
-        description: 'Generieren Sie PDF-Reports in Deutsch oder Englisch fuer externe Pruefer.',
+        description: 'Generieren Sie PDF-Reports in Deutsch oder Englisch fuer externe Pruefer und Aufsichtsbehoerden.',
       },
     ],
   },