Basis: Certvia dev@a48c5fb als Fundament für Craftvia

Unveränderter Stand von certvia/dev (a48c5fb) plus Craftvia-Spezifikation
und Brandbook unter docs/craftvia/. ISMS-Module werden im Folgecommit entfernt.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

src/lib/mfa-policy.ts

@@ -0,0 +1,10 @@
+/**
+ * MFA-Pflicht je Mandant (SEC3-a). Wird — analog zur Passwort-Policy — in
+ * `TenantSettings.securityPolicy` (Json) als `mfaRequired` abgelegt. Reine Auswertung
+ * ohne Server-Abhängigkeit, damit sie auch im Layout-Guard und in Client-Hinweisen nutzbar
+ * ist. Default: aus (MFA bleibt optional, wenn der Mandant es nicht verlangt).
+ */
+export function resolveMfaRequired(securityPolicy: unknown): boolean {
+  const sp = securityPolicy && typeof securityPolicy === "object" ? (securityPolicy as Record<string, unknown>) : {};
+  return sp.mfaRequired === true;
+}