feat(sdk): Kunden-Dokumente + CRA-Meldewesen, Screening aus Frontend genommen

- /sdk/dokumente: Kundensicht nur auf veroeffentlichte Rechtsdokumente
  (Ansehen + Download); Proxy mit Allow-List nur /public — Templates/Drafts/
  Generator bleiben unerreichbar.
- /sdk/cra-meldewesen: CRA Art. 14 Meldewesen (24h/72h/14d-Kaskade) mit
  Fristen-Tracking + ENISA-SRP-Export-Entwurf (kein Live-API). Backend:
  cra_meldewesen (pure, getestet) + cra_incident_store (schema-neutral ueber
  compliance_cra_documents) + /api/v1/cra/incidents (additiv, contract-safe).
- Screening (Self-Scan) aus dem Frontend genommen: Flow-Stepper-Eintrag
  ausgeblendet (visibleWhen), Dashboard-Kachel + Import-Button entfernt.
  Repo-Scanning laeuft extern im Compliance-Scanner; Backend-Router bleibt
  vorerst gemountet (Contract-Stabilitaet).

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

admin-compliance/lib/sdk/types/sdk-steps.ts

@@ -78,11 +78,15 @@ export const SDK_STEPS: SDKStep[] = [
     order: 5,
     name: 'System Screening',
     nameShort: 'Screening',
-    description: 'SBOM + Vulnerability Scan (OSV.dev)',
+    description: 'SBOM + Security-Scan — erfolgt extern im Compliance-Scanner (CERTifAI)',
     url: '/sdk/screening',
     checkpointId: 'CP-SCAN',
     prerequisiteSteps: ['use-case-assessment'],
-    isOptional: true },
+    isOptional: true,
+    // Aus der Navigation genommen: Repo-Scanning (SBOM/SAST/DAST/Vuln) läuft in
+    // Sharangs Compliance-Scanner; das Ergebnis wird DORT angezeigt. Unser SDK
+    // konsumiert die Findings nur für Cyber-trifft-Safety (CRA/CE/IACE).
+    visibleWhen: () => false },
   // Modules entfernt — Regulierungen werden im Scope-Decision-Tab + Dashboard angezeigt
   {
     id: 'source-policy',