{
 "audit": "obligation scope audit (Adressat: Hersteller vs Behörde/notified_body)",
 "principle": "Registry modelliert Hersteller-Pflichten; Enforcement/Institutions-Recht = out_of_scope-Kandidat",
 "false_positive_guard": "Melde-AN-Behörde-Pflichten (applicability=domain:products…) bleiben IN-SCOPE",
 "obligations_scanned": 126,
 "out_of_scope_candidates": [
  {
   "file": "cra_machinery.json",
   "id": "notified_body_requirements",
   "name": "Anforderungen an notifizierte Stellen",
   "tier": "LEGAL_MINIMUM",
   "applicability": "domain:notified_body",
   "subdomain": "notified_body",
   "member_count": 11,
   "reason": "Adressat ist Behörde/notifizierte Stelle/Mitgliedstaat, nicht Hersteller",
   "precedent": "CRA-Vuln-Cut: CSIRT/ENISA out_of_scope (Adressat != Hersteller)",
   "recommendation": "out_of_scope ODER eigene Kategorie 'institutional/enforcement'"
  },
  {
   "file": "cra_machinery.json",
   "id": "market_surveillance_safeguard",
   "name": "Marktüberwachung, nationale Schutzmaßnahmen und Korrekturmaßnahmen",
   "tier": "LEGAL_MINIMUM",
   "applicability": "domain:authority",
   "subdomain": "market_surveillance",
   "member_count": 30,
   "reason": "Adressat ist Behörde/notifizierte Stelle/Mitgliedstaat, nicht Hersteller",
   "precedent": "CRA-Vuln-Cut: CSIRT/ENISA out_of_scope (Adressat != Hersteller)",
   "recommendation": "out_of_scope ODER eigene Kategorie 'institutional/enforcement'"
  },
  {
   "file": "cra_machinery.json",
   "id": "sanctions",
   "name": "Sanktionen für Verstöße gegen die Maschinenverordnung",
   "tier": "LEGAL_MINIMUM",
   "applicability": "domain:authority",
   "subdomain": "sanctions",
   "member_count": 19,
   "reason": "Adressat ist Behörde/notifizierte Stelle/Mitgliedstaat, nicht Hersteller",
   "precedent": "CRA-Vuln-Cut: CSIRT/ENISA out_of_scope (Adressat != Hersteller)",
   "recommendation": "out_of_scope ODER eigene Kategorie 'institutional/enforcement'"
  }
 ],
 "decision_owner": "User/Registry-Owner — Audit FLAGGT nur, reklassifiziert nicht"
}