[FEAT] A4 Fase 4.1 — Organigramma (org_roles): ruoli/gerarchia + nodo governance Art.23

Primo modulo del modello relazionale A4 (docs/DESIGN_A4_RELATIONAL.md).

Backend:
- Migration 041 (docs/sql/041_org_roles.sql) + runner scripts/migrate-a4.php.
  Tabella org_roles additiva/idempotente: gerarchia self-FK (parent_role_id),
  titolare (holder_user_id), is_governance_body (organi amministrazione/direttivi
  Art.23 D.Lgs.138/2024), description (GV.RR-02). APPLICATA su prod (container
  nis2-db v8.0.45, TLSv1.3, 11 col, 4 FK).
- OrgRoleController: list (flat+tree arricchiti), get, create, update, delete,
  assignableUsers. Multi-tenancy ancorata a getCurrentOrgId(), anti-IDOR
  (id+organization_id), prevenzione cicli nella gerarchia, holder = membro org,
  delete bloccato se ha figli (409). Route registrate in public/index.php.

Frontend:
- public/organigramma.html + js/organigramma.js: vista ad albero (badge governance,
  titolare/vacante), editor crea/modifica/elimina con select padre anti-ciclo,
  "crea struttura di base". Bootstrap Italia V2.
- Voce sidebar "Organigramma" (common.js + common-bi.js) + nav.org_chart i18n IT/EN.
- api.js: metodi orgRole* (wrapper _acn).

Help/KB:
- help.js: guida contestuale 'org' (cosa rappresenta, nodo Art.23, come si usa,
  fonti certe D.Lgs.138/2024 art.23 + GV.RR-02 best practice, disclaimer no-parere-legale).

Cache-buster: bump ?v=20260617 dei 5 JS condivisi su tutte le 32 HTML referenti.
version.json 1.15.2 -> 1.16.0. Smoke E2E su prod (fpm reale): login, CRUD, tree,
anti-ciclo (422), delete-con-figli (409), cleanup tutti verdi.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

docs/sql/041_org_roles.sql

@@ -0,0 +1,39 @@
+-- ============================================================================
+-- Migration 041 — A4 Fase 4.1: Organigramma (org_roles)
+-- ----------------------------------------------------------------------------
+-- Introduce l'organigramma org-wide: ruoli/responsabilita con gerarchia
+-- (parent_role_id self-FK), titolare (holder_user_id) e il nodo distinto degli
+-- organi di amministrazione/direttivi (is_governance_body) richiesto dall'Art.23
+-- D.Lgs. 138/2024 (responsabilita degli organi di gestione) e da GV.RR-02
+-- (ruoli, responsabilita e poteri stabiliti e comunicati).
+--
+-- ADDITIVA: nessuna tabella esistente modificata. isms_roles (SoA SGSI) resta
+-- invariato e potra in futuro linkare org_roles via una colonna opzionale.
+--
+-- IDEMPOTENTE: CREATE TABLE IF NOT EXISTS. Applicare con la STESSA connessione
+-- PDO dell'app (host MySQL servito da php-fpm), NON sul DB secondario:
+--   docker exec nis2-app php /var/www/nis2-agile/scripts/migrate-a4.php
+--
+-- Design: docs/DESIGN_A4_RELATIONAL.md (sez. 2 entita, sez. 4 ancoraggio, sez. 7 fasi).
+-- ============================================================================
+
+CREATE TABLE IF NOT EXISTS org_roles (
+    id INT AUTO_INCREMENT PRIMARY KEY,
+    organization_id INT NOT NULL,
+    role_name VARCHAR(150) NOT NULL,
+    parent_role_id INT NULL,                            -- gerarchia organigramma (self-FK)
+    holder_user_id INT NULL,                            -- titolare del ruolo (utente dell org)
+    is_governance_body TINYINT(1) NOT NULL DEFAULT 0,   -- nodo organi amministrazione/direttivi (Art.23)
+    description TEXT NULL,                               -- responsabilita e poteri del ruolo (GV.RR-02)
+    sort_order INT NOT NULL DEFAULT 0,                  -- ordinamento tra fratelli
+    created_by INT NULL,
+    created_at DATETIME DEFAULT CURRENT_TIMESTAMP,
+    updated_at DATETIME DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP,
+    FOREIGN KEY (organization_id) REFERENCES organizations(id) ON DELETE CASCADE,
+    FOREIGN KEY (parent_role_id) REFERENCES org_roles(id) ON DELETE SET NULL,
+    FOREIGN KEY (holder_user_id) REFERENCES users(id) ON DELETE SET NULL,
+    FOREIGN KEY (created_by) REFERENCES users(id) ON DELETE SET NULL,
+    INDEX idx_org_roles_org (organization_id),
+    INDEX idx_org_roles_parent (parent_role_id),
+    INDEX idx_org_roles_holder (holder_user_id)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;