feat(citability): logischer norm_id-Join auf legal_basis (KB-v2 Zitier-Vertrag)

Wake-up #2 (Domaene 2): Zitierfaehigkeit ohne char-Level-Spans via logischem
norm_id-Join auf KB-v2-Units (bp_compliance_kb_2026_1_build). Konvention (Board
Compliance/KB-v2 2026-07-01): EU-<ACT>-Anhang<ROM> (Annex-Ebene, confirmed) /
EU-<ACT>-Art<N> + EU-<ACT>-Kapitel<ROM> (verify_pending). Namensvariante
EU-MaschVO-* (NICHT MaschinenVO). KEINE neue Klasse — norm_ids ist ein Attribut
auf legal_basis (freeze-safe).

- 65/65 legal_basis gejoint (CRA 40 + MaschVO 25), 0 unparsed; 64 Obligations
  citation_status -> norm_id_linked (BP/guidance-anchored bleiben ohne norm_id).
- 53 annex_confirmed, 12 verify_pending; distinkt 5 Annex-IDs + 19 Art/Kapitel.
- norm_id_manifest.json = KB-v2-Handoff (verify_pending Art-/Kapitel-IDs pruefen).
- Granularitaet annex-grob (Part/Punkt = KB-Enhancement TBD); Artikel-norm_ids in
  KB-v2 noch zu verifizieren.

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

obligations/cra_remote_access.json

@@ -46,7 +46,11 @@
     {
      "source": "CRA",
      "anchor": "Annex I (1)(2)(d)",
-     "citation": "Schutz vor unbefugtem Zugriff durch geeignete Kontrollmechanismen (Authentifizierung, Identitaets- und Zugriffsmanagement)"
+     "citation": "Schutz vor unbefugtem Zugriff durch geeignete Kontrollmechanismen (Authentifizierung, Identitaets- und Zugriffsmanagement)",
+     "norm_ids": [
+      "EU-CRA-AnhangI"
+     ],
+     "norm_id_status": "annex_confirmed"
     }
    ],
    "guidance_basis": [
@@ -342,7 +346,7 @@
    "member_count": 277,
    "relationships": [],
    "citation_anchor_ids": [],
-   "citation_status": "pending_span_anchor",
+   "citation_status": "norm_id_linked",
    "review_status": "draft",
    "provenance": {
     "discovery_confidence": 0.92,
@@ -370,7 +374,11 @@
     {
      "source": "CRA",
      "anchor": "Annex I (1)(2)(b)(c)",
-     "citation": "Schutz der Vertraulichkeit und Integritaet von Daten und Befehlen"
+     "citation": "Schutz der Vertraulichkeit und Integritaet von Daten und Befehlen",
+     "norm_ids": [
+      "EU-CRA-AnhangI"
+     ],
+     "norm_id_status": "annex_confirmed"
     }
    ],
    "guidance_basis": [],
@@ -656,7 +664,7 @@
    "member_count": 274,
    "relationships": [],
    "citation_anchor_ids": [],
-   "citation_status": "pending_span_anchor",
+   "citation_status": "norm_id_linked",
    "review_status": "draft",
    "provenance": {
     "discovery_confidence": 0.9,
@@ -917,7 +925,11 @@
     {
      "source": "CRA",
      "anchor": "Annex I (1)(2)(g)",
-     "citation": "Aufzeichnung und Ueberwachung relevanter interner Aktivitaeten (Logging)"
+     "citation": "Aufzeichnung und Ueberwachung relevanter interner Aktivitaeten (Logging)",
+     "norm_ids": [
+      "EU-CRA-AnhangI"
+     ],
+     "norm_id_status": "annex_confirmed"
     }
    ],
    "guidance_basis": [
@@ -959,7 +971,7 @@
    "member_count": 22,
    "relationships": [],
    "citation_anchor_ids": [],
-   "citation_status": "pending_span_anchor",
+   "citation_status": "norm_id_linked",
    "review_status": "draft",
    "provenance": {
     "discovery_confidence": 0.9,
@@ -1145,7 +1157,11 @@
     {
      "source": "CRA",
      "anchor": "Annex I (1)(2)(a)",
-     "citation": "Bereitstellung ohne bekannte ausnutzbare Schwachstellen / minimierte Angriffsflaeche"
+     "citation": "Bereitstellung ohne bekannte ausnutzbare Schwachstellen / minimierte Angriffsflaeche",
+     "norm_ids": [
+      "EU-CRA-AnhangI"
+     ],
+     "norm_id_status": "annex_confirmed"
     }
    ],
    "guidance_basis": [],
@@ -1178,7 +1194,7 @@
    "member_count": 19,
    "relationships": [],
    "citation_anchor_ids": [],
-   "citation_status": "pending_span_anchor",
+   "citation_status": "norm_id_linked",
    "review_status": "draft",
    "provenance": {
     "discovery_confidence": 0.83,
@@ -1210,7 +1226,11 @@
     {
      "source": "CRA",
      "anchor": "Annex I (2)(1)",
-     "citation": "Behandlung und Behebung von Schwachstellen, Sicherheitsupdates"
+     "citation": "Behandlung und Behebung von Schwachstellen, Sicherheitsupdates",
+     "norm_ids": [
+      "EU-CRA-AnhangI"
+     ],
+     "norm_id_status": "annex_confirmed"
     }
    ],
    "guidance_basis": [
@@ -1247,7 +1267,7 @@
    "member_count": 17,
    "relationships": [],
    "citation_anchor_ids": [],
-   "citation_status": "pending_span_anchor",
+   "citation_status": "norm_id_linked",
    "review_status": "draft",
    "provenance": {
     "discovery_confidence": 0.82,
@@ -1662,5 +1682,12 @@
    ],
    "note": "Physische Maschinen-Fernsteuerung/Ergonomie/Gefahrenzonen-Sicherheit (MaschinenVO 2023/1230), keine Cybersecurity-Fernwartung"
   }
- ]
+ ],
+ "norm_id_contract": {
+  "convention": "EU-<ACT>-Anhang<ROM> (Annex-Ebene) / EU-<ACT>-Art<N> (verify) — KB-v2 bp_compliance_kb_2026_1_build",
+  "act_naming": "EU-MaschVO-* (NICHT MaschinenVO)",
+  "granularity": "annex-grob — 'Annex I Part II (1)' -> EU-CRA-AnhangI; Part/Punkt = KB-Enhancement TBD",
+  "article_status": "EU-<ACT>-Art<N> in KB-v2 noch zu verifizieren; Annex-IDs confirmed",
+  "source": "Board Compliance/KB-v2 2026-07-01"
+ }
 }