feat(optimization): Regulatory Optimization — Roadmap/Management renderer over the Capability Delta

Roadmap item 5. GAP analysis and measure-prioritisation are the SAME computation: Required −
Known = the Capability Delta. The Capability Delta Engine (RS-005) computes it once; renderers
read that ONE delta. Interview Renderer (missing info → questions) was already built; this adds
the Roadmap/Management Renderer (missing capabilities → measures ranked by regulatory leverage).

- compliance/optimization/: regulatory_leverage() + select_within_budget() (pure leverage math)
  + roadmap_from_delta(assessment, ...) — the keystone binding optimization to the RS-005 delta
  (dependency optimization → transition_reasoning, acyclic; the delta engine stays hermetic).
  leverage(measure) = number of regulatory requirements it closes at once (e.g. patch management
  → CRA+MaschinenVO+IEC62443+ISO27001 = 4). No new corpus, no new meta-model class (freeze v1.0).
- Welt-1 honesty: percentages are exact count ratios over the IDENTIFIED requirements (the known
  delta), never "% gesetzeskonform".
- reference suite: "Regulatory Optimization" section runs the SAME convergence delta → ranked
  measures + budget answer + the management sentence "of N identified requirements you close M
  with the top-K measures (X%) — highest regulatory leverage".
- ADR-003: Capability Delta Engine — one delta, many renderers; rename Gap → Capability Delta.

13 optimization tests (31 with transition+company), mypy --strict clean, check-loc 0.
Product code with no app caller + ADR/reference = non-runtime → no deploy (ADR-001).

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

backend-compliance/reference_scenarios/generate.py

@@ -38,6 +38,7 @@ from compliance.transition_reasoning import (
     TransitionContext, TransitionGoal, TargetType, TargetRequirement, assess_transition, CoverageStatus,
     regulatory_convergence,
 )
+from compliance.optimization import roadmap_from_delta, select_within_budget
 import os
 import yaml
 
@@ -411,6 +412,36 @@ coverage_table([
     ("Cross-Regulation Capability Mapping", "PASS", _conv.headline),
 ])
 
+# ── Regulatory Optimization — Roadmap-Renderer über DEMSELBEN Capability Delta ───
+w("## Regulatory Optimization — größter regulatorischer Hebel zuerst")
+w("")
+w("_Dieselbe Berechnung wie die GAP-Analyse, anderer Renderer: das **Capability Delta** (RS-005) wird nach **regulatorischem Hebel** priorisiert (eine Maßnahme schließt N Regelwerke gleichzeitig). Welt-1: % über die IDENTIFIZIERTEN Anforderungen, kein Compliance-Urteil._")
+w("")
+_opt = roadmap_from_delta(_cp_a, _delta_t)   # SAME delta the Interview Renderer turns into questions
+_open_reqs = {_m.capability_id: _m.covers for _m in _opt.ranked_measures}
+w("**Kompression:** %s" % _opt.headline)
+w("")
+w("**Top-Maßnahmen nach regulatorischem Hebel (Roadmap):**")
+w("")
+w("| # | Maßnahme | Hebel | deckt | kumuliert |")
+w("|---|---|---|---|---|")
+for _i, _m in enumerate(_opt.ranked_measures[:6], 1):
+    w("| %d | `%s` | **%d** | %s | %d/%d (%.0f%%) |" % (
+        _i, _m.capability_id, _m.leverage, "+".join(_m.covers),
+        _m.cumulative_requirements, _opt.total_requirements, _m.cumulative_coverage * 100))
+w("")
+_bud = select_within_budget(_open_reqs, 5)
+w('**Managementsatz:** „Wenn Sie zuerst diese %d Maßnahmen umsetzen, schließen Sie %d von %d identifizierten Anforderungen (%.0f%%) — höchster regulatorischer Hebel." (Hebel skaliert mit jedem weiteren Regelwerk/Convergence-Pattern.)'
+  % (len(_bud.selected_capabilities), _bud.requirements_closed, _bud.total_requirements, _bud.coverage_ratio * 100))
+w("")
+w("_Eine Wahrheit, zwei Renderer: dasselbe Capability Delta liefert dem Auditor **Fragen** (Interview) und dem GF **Maßnahmen** (Roadmap)._")
+w("")
+coverage_table([
+    ("Capability Delta Engine (RS-005)", "PASS", "ein Delta, mehrere Renderer"),
+    ("Roadmap/Management Renderer (Hebel)", "PASS", _opt.headline),
+    ("Budget-Priorisierung", "PASS", "Top-5 → %.0f%% der identifizierten Anforderungen" % (_bud.coverage_ratio * 100)),
+])
+
 # ── Epics + roll-up ───────────────────────────────────────────────────────
 w("## Gaps → Epics (Backlog — nur erfasst, NICHT implementiert)")
 w("")

backend-compliance/reference_scenarios/reference_scenario_suite_v1.md

@@ -233,6 +233,35 @@ _Der USP: welche Capability deckt MEHRERE Regelwerke gleichzeitig? (Convergence
 | Regulatory Convergence Pattern | **PASS** | 2 Targets, 12 Delta-Capabilities |
 | Cross-Regulation Capability Mapping | **PASS** | 4 von 12 Capabilities decken >= 2 Regelwerke gleichzeitig ab (CRA + MaschinenVO). |
 
+## Regulatory Optimization — größter regulatorischer Hebel zuerst
+
+_Dieselbe Berechnung wie die GAP-Analyse, anderer Renderer: das **Capability Delta** (RS-005) wird nach **regulatorischem Hebel** priorisiert (eine Maßnahme schließt N Regelwerke gleichzeitig). Welt-1: % über die IDENTIFIZIERTEN Anforderungen, kein Compliance-Urteil._
+
+**Kompression:** 16 identifizierte Anforderungen aus 2 Regelwerken -> 12 Massnahmen (Ø Hebel 1.3).
+
+**Top-Maßnahmen nach regulatorischem Hebel (Roadmap):**
+
+| # | Maßnahme | Hebel | deckt | kumuliert |
+|---|---|---|---|---|
+| 1 | `ce_conformity_assessment_and_technical_documentation` | **2** | CRA+MaschinenVO | 2/16 (12%) |
+| 2 | `product_cyber_risk_assessment` | **2** | CRA+MaschinenVO | 4/16 (25%) |
+| 3 | `protection_against_corruption_of_safety_functions` | **2** | CRA+MaschinenVO | 6/16 (38%) |
+| 4 | `secure_signed_update_distribution` | **2** | CRA+MaschinenVO | 8/16 (50%) |
+| 5 | `coordinated_vulnerability_disclosure` | **1** | CRA | 9/16 (56%) |
+| 6 | `exploited_vuln_and_incident_reporting` | **1** | CRA | 10/16 (62%) |
+
+**Managementsatz:** „Wenn Sie zuerst diese 5 Maßnahmen umsetzen, schließen Sie 9 von 16 identifizierten Anforderungen (56%) — höchster regulatorischer Hebel." (Hebel skaliert mit jedem weiteren Regelwerk/Convergence-Pattern.)
+
+_Eine Wahrheit, zwei Renderer: dasselbe Capability Delta liefert dem Auditor **Fragen** (Interview) und dem GF **Maßnahmen** (Roadmap)._
+
+**Architecture Coverage**
+
+| Layer | Status | Hinweis |
+|---|---|---|
+| Capability Delta Engine (RS-005) | **PASS** | ein Delta, mehrere Renderer |
+| Roadmap/Management Renderer (Hebel) | **PASS** | 16 identifizierte Anforderungen aus 2 Regelwerken -> 12 Massnahmen (Ø Hebel 1.3). |
+| Budget-Priorisierung | **PASS** | Top-5 → 56% der identifizierten Anforderungen |
+
 ## Gaps → Epics (Backlog — nur erfasst, NICHT implementiert)
 
 | Epic | Titel | schliesst Coverage-Luecke |
@@ -244,6 +273,6 @@ _Der USP: welche Capability deckt MEHRERE Regelwerke gleichzeitig? (Convergence
 
 ## Suite-Status (Roll-up)
 
-- Coverage-Zellen gesamt: **29**
-- PASS: **21** · PARTIAL: 3 · UNSUPPORTED: 1 · TODO: 3 · N/A: 1 · NEEDS_FACTS: 0
+- Coverage-Zellen gesamt: **32**
+- PASS: **24** · PARTIAL: 3 · UNSUPPORTED: 1 · TODO: 3 · N/A: 1 · NEEDS_FACTS: 0
 - Fortschritt = PASS-Anteil steigt, wenn Epics RS-001…004 landen (objektiver Maßstab, kein LOC).