Richtlinien-Fixes: zentrale Variablen, Schutzbedarf zentral, Coverage nach Level

- Zentrale Variablen (Organisation + Rollen + Schutzbedarf-Flags, lib/policy-variables.ts)
  sind im Richtlinien-Editor ausgeblendet und werden nur noch in den Einstellungen
  gepflegt; updatePolicyVariable/updateScopedVariables blocken zentrale Keys zusätzlich
  serverseitig.
- Schutzbedarf/TISAX wird ausschließlich zentral gesteuert (Superadmin): Override je
  Richtlinie entfernt (setProtectionOverride + UI weg), globaler TISAX-Schalter im
  Policy-Modul entfernt (setGlobalTisaxLevel weg) → nur noch Read-only-Anzeige im
  Editor und in der Bibliothek. Rendering nutzt stets den globalen Level.
- Coverage-/Referenzmatrix zeigt nur Anforderungen des aktiven Assessment-Levels
  (Bedingung erfüllt): bei AL2 keine „sehr hoch"-Controls (browser-verifiziert:
  297 statt 316 Anforderungen, 0 SEHR HOCH); AL3 zeigt alle.

tsc + lint + build grün; Edit-Seite: Schutzbedarf read-only, zentrale Variablen gesperrt.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

src/lib/policy-variables.ts

@@ -0,0 +1,15 @@
+/**
+ * Abgrenzung „zentraler" Richtlinien-Variablen (nur in den Einstellungen pflegbar,
+ * im Richtlinien-Editor gesperrt): Organisation (Unternehmensname/Scope, …),
+ * verantwortliche Rollen (ROLE_*) und die Schutzbedarf-Flags. Alles andere
+ * (dokument-/paketspezifische Variablen, eigene) bleibt im Editor pflegbar.
+ *
+ * Reine Funktion ohne Server-/Render-Abhängigkeiten (auch in Actions nutzbar).
+ */
+export const CENTRAL_VARIABLE_GROUPS = new Set(["Organisation", "Rollen"]);
+export const CENTRAL_VARIABLE_KEYS = new Set(["FLAG_HIGH_PROTECTION", "FLAG_VERY_HIGH_PROTECTION"]);
+
+export function isCentralVariable(v: { key: string; groupName?: string | null }): boolean {
+  if (v.groupName && CENTRAL_VARIABLE_GROUPS.has(v.groupName)) return true;
+  return CENTRAL_VARIABLE_KEYS.has(v.key);
+}