chore: public-ready — LICENSE, CODEOWNERS, PR template, Renovate, SBOM

.github/CODEOWNERS

@@ -0,0 +1,2 @@
+# Code owners for qms-kit.
+* @gerfru

.github/pull_request_template.md

@@ -0,0 +1,21 @@
+## Was ändert dieser PR?
+
+<!-- Kurze Beschreibung der Änderung und warum sie gemacht wird -->
+
+## Art der Änderung
+
+- [ ] Bug fix
+- [ ] Feature
+- [ ] Refactoring
+- [ ] Docs / Config
+
+## Test-Checkliste
+
+- [ ] `uv run pytest tests/ -q` läuft grün
+- [ ] `uv run ruff check . && uv run ruff format --check .` läuft durch
+- [ ] Neue Tests für neue Funktionalität hinzugefügt
+
+## Security
+
+- [ ] Keine Secrets im Code oder Config-Dateien
+- [ ] `config/clients/` bleibt gitignored

.github/workflows/sbom.yml

@@ -0,0 +1,26 @@
+name: SBOM
+
+on:
+  push:
+    tags: ["v*"]
+
+permissions:
+  contents: write
+
+jobs:
+  sbom:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@df4cb1c069e1874edd31b4311f1884172cec0e10  # v6.0.3
+
+      - name: Install Syft
+        uses: anchore/sbom-action/download-syft@e22c389904149dbc22b58101806040fa8d37a610  # v0.24.0
+
+      - name: Generate SBOM
+        run: syft dir:. -o cyclonedx-json=sbom.cdx.json
+
+      - name: Upload SBOM as release asset
+        run: gh release upload "$TAG_NAME" sbom.cdx.json
+        env:
+          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}
+          TAG_NAME: ${{ github.ref_name }}