A-4153/2016 - 2018-05-16 - Energia - Verfügung über Realakte (Nachweis zur Beherrschung des 10'000-jährlichen Hochwassers). Entscheid bestätigt, BGer 2C

Bundesverwaltungsgericht
Tribunal administratif fédéral
Tribunale amministrativo federale
Tribunal administrativ federal

Abteilung I

A-4153/2016

Urteil vom 16. Mai 2018

Richter Christoph Bandli (Vorsitz),

Besetzung Richterin Claudia Pasqualetto Péquignot,
Richter Jérôme Candrian,

Gerichtsschreiber Stephan Metzger.

1. A._______,

2. B._______,
Parteien
beide vertreten durch lic. iur. Martin Pestalozzi,
Rechtsanwalt, Seefeldstrasse 9a, 8630 Rüti ZH,

Beschwerdeführer,

gegen

BKW Energie AG, Viktoriaplatz 2, 3013 Bern,

vertreten durch lic. iur. Walter Streit,
Rechtsanwalt LL.M., JSM Advokatur,
Gesellschaftsstrasse 27, Postfach 6858, 3001 Bern,

Beschwerdegegnerin,

Eidgenössisches Nuklearsicherheitsinspektorat ENSI, Industriestrasse 19, 5200 Brugg AG,

Vorinstanz.

Gegenstand Verfügung über Realakte (Nachweis zur Beherrschung des 10'000-jährlichen Hochwassers).

Sachverhalt:

A.
Nach dem Kernkraftwerk-Unfall in Fukushima (März 2011) ordnete das Eidgenössische Nuklearsicherheitsinspektorat (ENSI) die BKW FMB Energie AG an, die Auslegung - d.h. die konzeptionelle Ausgestaltung der technischen Realisierung - des von ihr betriebenen Kernkraftwerks Mühleberg (KKM) bezüglich Gefahren durch Erdbeben und Überflutung zu überprüfen. Das ENSI ging davon aus, dass Erdbeben und Hochwasser sowie deren mögliche Kombination in Bezug auf die Kriterien für die vorläufige Ausserbetriebnahme und Nachrüstung neu analysiert werden müssen. Aufgrund der Ereignisse in Fukushima sah sich das ENSI dazu veranlasst, die Anlage insbesondere bezüglich mögliche Folgeschäden des Hochwassers wie Verstopfung oder Zerstörung von Einlaufbauwerken durch Geschiebe und Schwemmgut detailliert zu prüfen. Das ENSI forderte deshalb die BKW FMB Energie AG auf, den deterministischen Nachweis für die Beherrschung des 10'000-jährlichen Hochwassers unter den vom ENSI definierten Rahmenbedingungen zu führen. Bei diesem Nachweis ist zu belegen, dass ein solches Ereignis durch die getroffenen Schutzmassnahmen wirksam beherrscht wird und damit die grundlegenden Schutzziele eingehalten werden.

B.
Nach der durch eine Drittfirma durchgeführten Untersuchung legte das KKM den mit Datum vom 30. Mai 2011 erstellten Arbeitsbericht betreffend den deterministischen Nachweis zur Bewältigung der 10'000-jährlichen Hochwassers vor. Mit Aktennotiz ENSI 11/1481 vom 31. August 2011 (AN ENSI 11/1481) nahm das ENSI dazu Stellung. Dabei führte das ENSI zusammenfassend aus, dass das KKM den Nachweis unter den Vorgaben des ENSI erbracht habe. Unter konservativen Gefährdungsannahmen werde der Schutz der relevanten Gebäude und Einrichtungen bei einem 10'000-jährlichen Hochwasser als gewährleistet betrachtet und demnach die Überführung der Anlage in den sicheren Zustand nachgewiesen. Das ENSI sieht die wesentlichen Pfade der Kühlwasserversorgung über das Hauptkühlwasser-Einlaufbauwerk, über den Hauptkühlwasserauslauf mit nachgerüsteten Ansaugrohren und über die - im deterministischen Nachweis noch nicht berücksichtigten - nachgerüsteten vier (ausreichend wären zwei) Einspeisestutzen zur direkten Bespeisung des SUSAN-Notstandsystems mit mobilen Pumpen (SUSAN = "System zur Abfuhr der Nachzerfallswärme"). Nach Beurteilung des ENSI würden die beiden letztgenannten Kühlwasserpfade hinsichtlich ihrer Verfügbarkeit grosse Reserven in Bezug auf den zu erwartenden Aarepegel bei einem 10'000-jährlichen Hochwasser bieten. Zentraler Inhalt der AN ENSI 11/1481 ist demnach u.a. die Kreditierung - d.h. die Bestätigung der Zulässigkeit resp. Tauglichkeit zur Bewältigung einer bestimmten Aufgabe - von internen Schutzmassnahmen beim Hochwassernachweis im Rahmen der Aufsicht über das KKM.

C.
Am 20. März 2012 ersuchten A._______ und B._______ das ENSI um Erlass einer Verfügung über Realakte und beantragten im Wesentlichen, es sei festzustellen, dass für den Nachweis der Einhaltung der grundlegenden Schutzziele durch eine deterministische Störfallanalyse ausschliesslich sicherheitstechnisch klassierte - d.h. aufgrund ihrer Bedeutung für die nukleare Sicherheit und den Strahlenschutz einer bestimmten Sicherheitsklasse zugeordnete - Bauwerke der nuklearen Bauklasse BK 1 sowie Ausrüstungen der Sicherheitsklassen SK 1-3 sowie 1E kreditiert werden dürfen und dass die vom ENSI im Rahmen seiner Aufsicht vorgenommene Kreditierung von Accident-Management, darunter insbesondere die Bespeisung des Notstandsystems mit mobilen Pumpen und unklassierter Einspeisestelle, widerrechtlich sei. Mit diesem Rechtsbegehren stellten A._______ und B._______ die Rechtmässigkeit der durch das ENSI verfassten AN ENSI 11/1481 zur Diskussion. Das ENSI trat auf das Begehren nicht ein, wurde jedoch in der Folge durch die Urteile des Bundesverwaltungsgerichts A-5762/2012 vom 7. Februar 2013 und des Bundesgerichts BGE 140 II 315 dazu verpflichtet, das Anliegen materiell zu behandeln.

D.
Mit Verfügung vom 25. Mai 2016 stellte das ENSI fest, dass die mit der AN ENSI 11/1481 vorgenommene Kreditierung der Bespeisung des Notstandsystems des KKM mit mobilen Pumpen und mittels bezeichneter Einspeisestelle zur Beherrschung des 10'000-jährlichen Hochwassers rechtmässig sei. Zur Begründung führte es im Wesentlichen aus, der deterministische Nachweis sei aufgrund der Vielzahl und Diversität der nachgerüsteten Kühlwasserpfade in jedem Fall als erbracht einzustufen. So verfüge die Anlage neben dem bei Normalbetrieb aktivierten Zufluss von Kühlwasser über das Hauptkühlwassereinlaufbauwerk über weitere vier Einströmpfade (EP) zur Notkühlung:

EP 1: Zufluss von Kühlwasser aus der Aare zur SUSAN-Kühlwasserleitung über das Hauptkühlwasserauslaufbauwerk

EP 2: Passiver Wassernachfluss über das Hauptkühlwassereinlaufbauwerk ab einem Aare-Pegel von 463 m ü.M

EP 3: Passiver Zufluss von Kühlwasser über die Öffnungen der Objektschutzabdeckungen des Hauptkühlwasserauslaufs ab einem Aare-Pegel von 465.5 m ü.M.

EP 4: Kühlwasserversorgung des SUSAN-Notstandsystems über eine Einspeisestelle mittels dieselbetriebener mobiler Pumpen

Das ENSI führte sodann aus, die Gefahr einer Verstopfung des SUSAN-Rechens (EP 1) sei zwar gering aber deterministisch nicht vollständig auszuschliessen, was für die Störfallanalyse zu beachten sei. Ebenso könne auch eine Verstopfung der Einströmpfade 2 (bei Ausfall der Notstromversorgung) und 3 nicht vollständig ausgeschlossen werden, weshalb diese Einströmpfade für den Nachweis nicht hätten kreditiert werden können. Bezüglich des Einströmpfades 4 betonte das ENSI insbesondere die Möglichkeit von Reinigungsmassnahmen an den Ansaugkörben der mobilen Pumpen unter Aufrechterhaltung der Kühlwasserversorgung sowie die Redundanz der Pumpen, was diesen Einströmpfad sehr zuverlässig mache. Mit dem Nachweis der Funktionstüchtigkeit des SUSAN-Notstandsystems bei einem 10'000-jährlichen Hochwasser sei das Kaltfahren der Anlage somit auch bei einem beliebigen Einzelfehler nachgewiesen. Das ENSI wies ausserdem darauf hin, dass es selbst bei Gutheissung des deterministischen Nachweises mit Verfügung vom 14. November 2013 weitere Verbesserungen beim Hochwasserschutz im KKM gefordert habe. So verfüge das KKM seit 2015 zusätzlich auch noch über die Möglichkeit einer direkten Wassereinspeisung aus dem nahegelegenen Hochreservoir Runtigenrain. Durch dessen Unabhängigkeit von der Aare verfüge das KKM damit über mindestens eine diversitäre letzte Wärmesenke und liege somit über dem im Allgemeinen angewandten Stand der Technik.

E.
Gegen diese Verfügung erheben A._______ und B._______ (Beschwerdeführer) mit Eingabe vom 1. Juli 2016 Beschwerde beim Bundesverwaltungsgericht. Sie beantragen im Wesentlichen, die Verfügung des ENSI vom 25. Mai 2016 sei aufzuheben und es sei festzustellen, dass die im Rahmen der Aufsicht über das KKM vorgenommene Kreditierung von "Accident-Management", insbesondere von mobilem Equipment und einer unklassierten Einspeisestelle, widerrechtlich seien. Im Weiteren sei das ENSI zu verpflichten, solche widerrechtlichen Aufsichtshandlungen zu unterlassen, sämtliche Aufsichtshandlungen, welche auf widerrechtlicher Kreditierung beruhen, zu widerrufen und deren Folgen zu beseitigen. Insbesondere sei das ENSI zu verpflichten, den Nachweis der Einhaltung der grundlegenden Schutzziele durch eine deterministische Störfallanalyse zu widerholen. Eventualiter sei Dispositivziffer 2 auch dann aufzuheben, wenn die Beschwerde in der Hauptsache ganz oder teilweise abgewiesen werden sollte und es sei auf die Erhebung von Kosten im erstinstanzlichen Verfahren zu verzichten, subeventualiter seien diese auf maximal Fr. 2'000.-- zu reduzieren. Die Beschwerdeführer führen zur Begründung im Wesentlichen aus, Mangels eines Reservoirs in der Nachspeisekette für Kühlwasser aus der Aare würden bereits kurze Unterbrüche der Wasserzufuhr die Kühlwasserversorgung zusammenbrechen lassen. Dies würde zwar für die Wärmeabfuhr im Reaktor nicht unmittelbar zu Problemen führen, doch würden dadurch die Notstromdieselgeneratoren innert Kürze überhitzen, was zum Zusammenbruch der Stromversorgung und damit letztendlich zum Ausfall der Notstromversorgung und der Kernnotkühlung führe. Indem das ENSI im Rahmen seiner Aufsichtstätigkeit die unklassierte Einspeisestelle, mobile Pumpen und "Accident-Management-Massnahmen" für den deterministischen Sicherheitsnachweis bei Auslegungsstörfällen kreditiere, verstosse es gegen geltendes Recht.

F.
Mit Vernehmlassung vom 30. September 2016 schliesst das ENSI (Vorinstanz) auf Abweisung der Beschwerde, soweit darauf einzutreten sei. Zur Begründung führt es im Wesentlichen aus, die Beschwerdeführer würden von anderen Randbedingung und Hochwasserszenarien ausgehen, als jene, welche für den Sicherheitsnachweis von 2011 unterstellt worden seien. Insofern gehe die Kritik der Beschwerdeführer über den Streitgegenstand hinaus, weshalb darauf nicht einzutreten sei. Im Übrigen habe die Vorinstanz keine Gesetzesbestimmung missachtet, zumal es keine klare Vorschrift gebe, wonach als Ausrüstung für die Beherrschung von Auslegungsstörfällen ausschliesslich klassierte Sicherheitssysteme zulässig seien. Ausserdem sei die Zuordnung der strittigen Bespeisung des Notstandsystems SUSAN mittels mobiler Pumpen zu Recht erfolgt und deren Einsatz zur Kühlwasserversorgung im Rahmen der Beherrschung eines 10'000-jährlichen Hochwassers mit dem Kernenergierecht vereinbar. Auch seien die Vorwürfe betreffend die Handhabung der internationalen Vorschriften nicht zutreffend.

G.
Mit Beschwerdeantwort vom 6. Oktober 2016 beantragt die BKW Energie AG (Beschwerdegegnerin), die Beschwerde sei abzuweisen, soweit darauf einzutreten sei. Sie verweist im Allgemeinen auf die Erwägungen der Vorinstanz und begründet ihre Anträge damit, dass die Rechtsbegehren der Beschwerdeführer höchstens insoweit zu prüfen seien, als sie die Rechtmässigkeit der AN ENSI 11/1481 betreffen würden. Es frage sich ausserdem, ob ein aktuelles Rechtsschutzinteresse bestehe, zumal sich die Sachlage betreffend den Hochwasserschutz beim KKM seit Erlass des Realaktes erheblich geändert habe. So sei denn insbesondere auch die umstrittene Kreditierung der unklassierten Wassereinspeisemöglichkeit mit mobilen Pumpen für die Beherrschung des 10'000-jährlichen Hochwassers ohne praktische Relevanz, zumal der deterministische Sicherheitsnachweis auch ohne diese erbracht worden sei. Abgesehen davon sei die Kreditierung der umstrittenen Wassereinspeisemöglichkeit im Rahmen einer deterministischen Auslegungsüberprüfung, nicht einer deterministischen Störfallanalyse erfolgt, was von den Beschwerdeführern unzutreffenderweise behauptet werde. Auch gebe es in der schweizerischen Kernenergiegesetzgebung keine Bestimmung, welche vorschreiben würde, dass Auslegungsstörfälle ausschliesslich mittels fest installierten und klassierten Sicherheitssystemen beherrschbar sein müssen.

H.
In ihren Schlussbemerkungen vom 9. November 2016 ergänzen die Beschwerdeführenden ihr Begehren auf Kosten- und Entschädigungsfolgen zulasten der Vorinstanz, indem sie es auf die Beschwerdegegnerin ausdehnen. Im Übrigen halten sie an ihren Rechtsbegehren fest und bestreiten die Ausführungen der Vorinstanz vollumfänglich. Sie führen zur Begründung insbesondere aus, das nach Erstellung der AN ENSI 11/1481 ins Schutzkonzept einbezogene Hochreservoir sei ohnehin nicht kreditierungsfähig, zumal es sich ausserhalb des Betriebsgeländes befinde und betreffend Eintreten argumentieren die Beschwerdeführer, es sei im Realaktverfahren grundsätzlich der Sachverhalt im Zeitpunkt des Realaktes zugrunde zu legen, nicht der Anlagezustand im Zeitpunkt der angefochtenen Verfügung.

I.
In ihren Schlussbemerkungen vom 10. November 2016 resp. 16. Dezember 2016 verweist die Beschwerdegegnerin im Wesentlichen auf ihre Beschwerdeantwort und äussert sich zur Vernehmlassung der Vorinstanz sowie zu den Schlussbemerkungen der Beschwerdeführer. Sie weist insbesondere ergänzend darauf hin, dass die Annahmen der Vorinstanz betreffend das Hochwasserszenario zutreffend seien und dass sämtliche für die Beherrschung von Hochwasserereignissen relevanten Ausrüstungen des KKM einschliesslich der vorliegend umstrittenen Wassereinspeisemöglichkeit mit mobilen Pumpen für Pegelstände bis mind. 466.9 m ü.M. ausgelegt seien, womit auch der von den Beschwerdeführern argumentierte Pegel von 466.55 m ü.M. mit einer Sicherheitsmarge abgedeckt sei.

J.
In ihren Schlussbemerkungen vom 30. November 2016 hält die Vorinstanz an ihrem Begehren fest.

K.
Mit Eingabe vom 30. Dezember 2016 bestreiten die Beschwerdeführer die Eingaben der Vorinstanz sowie der Beschwerdegegnerin vollumfänglich, verweisen auf ihre bisherigen Eingaben und halten an ihren Begehren fest.

L.
Auf die weitergehenden Ausführungen der Parteien und die sich bei den Akten befindlichen Schriftstücken wird - soweit entscheidrelevant - in den nachfolgenden Erwägungen eingegangen.

Das Bundesverwaltungsgericht zieht in Erwägung:

1.

1.1 Die Beschwerde richtet sich gegen eine Verfügung des ENSI. Das Bundesverwaltungsgericht beurteilt gemäss Art. 31 des Verwaltungsgerichtsgesetzes vom 17. Juni 2005 (VGG, SR 173.32) Beschwerden gegen Verfügungen nach Art. 5 des Verwaltungsverfahrensgesetzes vom 20. Dezember 1968 (VwVG, SR 172.021). Da hier keine Ausnahme nach Art. 32 VGG vorliegt und mit dem ENSI eine Vorinstanz im Sinne von Art. 33 Bst. e VGG verfügt hat, ist das Bundesverwaltungsgericht zur Beurteilung der Beschwerde zuständig. Das Verfahren richtet sich nach dem VwVG, soweit das VGG nichts anderes bestimmt (Art. 37 VGG).

1.2 Zur Beschwerde ist nach Art. 48 Abs. 1 VwVG berechtigt, wer vor der Vorinstanz am Verfahren teilgenommen hat oder keine Möglichkeit zur Teilnahme erhalten hat, durch die angefochtene Verfügung besonders berührt ist und ein schutzwürdiges Interesse an deren Aufhebung oder Änderung hat. Die Beschwerdeführenden nahmen am vorinstanzlichen Verfahren teil, als Adressaten der Verfügung sind sie von ihr berührt und haben ein schutzwürdiges Interesse an deren Aufhebung. Die Beschwerdebefugnis der Beschwerdeführer war im Übrigen bereits Gegenstand der Verfahren A-5762/2012 vor Bundesverwaltungsgericht und 2C_255/2013 vor Bundesgericht. Letzteres bestätigte mit BGE 140 II 315 den Entscheid des Bundesverwaltungsgerichts. Demnach hat jedermann, der in einem Bereich lebt, der von einem Störfall besonders betroffen wäre, ein schutzwürdiges Interesse daran, dass der Eigenart und Grösse der Gefahr angemessene Schutzmassnahmen ergriffen werden, dass somit überprüft wird, ob der Sicherheitsnachweis für die Beherrschung des 10'000-jährlichen Hochwassers erbracht ist und die Normen der Störfallvorsorge eingehalten werden. Ebenso wird ein Berührtsein der Beschwerdeführer in ihrem Grundrecht auf Leben (Art. 10 Abs. 1 BV) sowie ihrer persönlichen Freiheit (Art. 10 Abs. 2 BV) erkannt. Dieser Rechtsprechung folgend sind die Beschwerdeführer zur Beschwerde legitimiert (vgl. Urteile des Bundesgerichts BGE 140 II 315 E. 4 und 5 m.w.H. sowie Urteil des Bundesverwaltungsgericht A-5762/2012 E. 7 und 8 vom 7. Februar 2013 m.w.H.; Kathrin Föhse/Joel Drittenbass, Parteistellung und Rechtsschutz natürlicher Personen im Umfeld von Kernkraftwerken, in: Sicherheit & Recht, 3/2017 S. 167, 172 ff.; Daniela Thurnherr, Die Aarhus-Konvention in der Rechtsprechung des Bundesgerichts und des Bundesverwaltungsgerichts - Eine Spurensuche, in: URP 2017-5, S. 510 ff., 513 f.).

1.3

1.3.1 Die Vorinstanz führt in der angefochtenen Verfügung vom 25. Mai 2016 aus, der von ihr betreffend die Erbringung des deterministischen Nachweises zur Beherrschung des 10'000-jährlichen Hochwassers erlassene Realakt - also die Aktennotiz AN ENSI 11/1481 - beschränke den Gegenstand der Verfügung nach Art. 25a VwVG auf den 2011 erbrachten Nachweis des Hochwasserschutzes und die mit dieser Thematik in Zusammenhang stehende Rechtmässigkeit der Kreditierung von Bauwerken, Ausrüstungen bzw. Accident-Management-Massnahmen. So würden dann insbesondere auch andere als das dem Realakt zu Grunde gelegte Hochwasserszenario oder Rügen betreffend weiter als der zu beurteilende Auslegungsstörfall reichende Störfallszenarien vom Streitgegenstand nicht erfasst. Ausserdem sprenge es den Gegenstand des Beschwerdeverfahrens, wenn auch die Rechtmässigkeit des heutigen Anlagezustandes zur Diskussion gestellt werde, seien doch die seit 2011 erfolgten - und in der angefochtenen Verfügung beschriebenen - Veränderungen zum Hochwasserschutz beim KKM baulich und organisatorisch erheblich.

1.3.2 Die Beschwerdegegnerin argumentiert in ihrer Beschwerdeantwort vom 6. Oktober 2016 gleichermassen und sieht den Streitgegenstand auf den Rahmen des Realaktes beschränkt, d.h. in der Überprüfung dessen Rechtmässigkeit. Soweit die Rechtsbegehren hingegen darüber hinaus Anordnungen auf weitere unbestimmte Realakte der Vorinstanz zum Gegenstand hätten, fehle es an den erforderlichen Eintretensvoraussetzungen. Insbesondere macht die Beschwerdegegnerin geltend, angesichts der erfolgten baulichen und organisatorischen Veränderungen im KKM in Bezug auf die vorliegend zu beurteilende Hochwassersicherheit, fehle es an einem Rechtsschutzinteressen der Beschwerdeführer. Nur eine Wiederholung des deterministischen Nachweises unter den aktuellen Bedingungen könne nämlich Klarheit über die Beherrschung eines 10'000-jährlichen Hochwassers bringen.

1.3.3 Die Beschwerdeführer entgegnen, die Vorinstanz schränke den Streitgegenstand in unzulässiger Weise ein, wenn es einzig die rechtliche Zulässigkeit der 2011 konkret kreditierten Ausrüstungen als überprüfbar erkläre. Vielmehr gehe es um die konkrete Feststellung der für den Realakt richtigen Rechtslage. Im Weiteren führen sie aus, dass in einem Realaktverfahren die mit dem Gesuch gestellten Rechtsbegehren den Streitgegenstand bestimmen würden, dass dieser im Realaktverfahren also vielmehr durch das Gesuch um Erlass einer Verfügung gemäss Art. 25a VwVG als durch diese selbst bestimmt werde und dass demzufolge grundsätzlich der Sachverhalt im Zeitpunkt des Realaktes zu beurteilen sei. Unter den gegebenen Konstellation führe dies bei einer Gutheissung der Beschwerde jedoch zwangsläufig zu einer Wiederholung der deterministischen Störfallanalyse unter Betrachtung des aktuellen Anlagenzustandes. Dabei seien die im vorliegenden Verfahren zu beantwortenden Rechtsfragen jedoch wegweisend, weshalb es geboten sei, Sachverhaltselemente, welche geeignet seien, einen neuen Realakt zu beeinflussen, bereits im aktuell vorliegenden Verfahren zu würdigen.

1.3.4 Gegenstand des Beschwerdeverfahrens kann nur sein, was Gegenstand des vorinstanzlichen Verfahrens war oder bei richtiger Rechtsanwendung hätte sein sollen. Gegenstände, über die die Vorinstanz nicht entschieden hat und über die sie nicht zu entscheiden hatte, sind aus Gründen der funktionellen Zuständigkeit durch die zweite Instanz nicht zu beurteilen. Was Streitgegenstand ist, bestimmt sich nach den von der Beschwerde führenden Partei gestellten Anträgen, welche sich grundsätzlich auf die in der Verfügung geregelten Rechtsverhältnisse zu beziehen haben. Die Rechtsmittelinstanz darf die Verfügung grundsätzlich nur insoweit überprüfen, als sie angefochten ist. Massgebend für die Bestimmung des Streitgegenstandes ist somit die rechtliche Wirkung, nicht die Begründung oder Herleitung (BGE 136 II 457 E. 4.2, 133 II 35 E. 2; Urteile des Bundesgerichts 2A.121/2004 vom 16. März 2005 E. 2.1, 2C_642/2007 vom 3. März 2008 E. 2.2; Urteile des Bundesverwaltungsgerichts A-2080/2016 vom 26. Januar 2017 E. 2.1, A-7228/2015 vom 26. Mai 2016 E. 1.2, A-5099/2015 vom 20. Januar 2016 E. 1.2.1; Thomas Flückiger, in: Bernhard Waldmann/Philippe Weissenberger [Hrsg.], Praxiskommentar Verwaltungsverfahrensgesetz, 2. Aufl., Zürich 2016 [nachfolgend: Praxiskommentar VwVG], Art. 7 Rz. 18 f.; Oliver Zibung/Elias Hofstetter, in: Praxiskommentar VwVG, Art. 49 Rz. 51; Frank Seethaler/Fabia Portmann, in: Praxiskommentar VwVG, Art. 52 Rz. 38; André Moser/Michael Beusch/Lorenz Kneubühler, Prozessieren vor dem Bundesverwaltungsgericht, 2. Aufl. 2013, Rz. 2.8 mit Hinweisen).

Im Beschwerdeverfahren vor Bundesverwaltungsgericht gilt der Grundsatz der Untersuchung des Sachverhalts von Amtes wegen, wobei dem Entscheid der Sachverhalt zugrunde gelegt wird, wie er sich im Zeitpunkt des Entscheids verwirklicht hat und bewiesen ist. Zwar wird die richterliche Untersuchungspflicht durch den Streitgegenstand, wie er oben beschrieben wurde, begrenzt, doch besteht auch die Möglichkeit, ausnahmsweise neue Rechtsbegehren, welche ausserhalb des Anfechtungsgegenstandes aber in Zusammenhang mit dem Streitgegenstand stehen, aus prozessökonomischen Gründen zuzulassen. Vorausgesetzt wird dabei, dass einerseits ein sehr enger Bezug zum bisherigen Streitgegenstand besteht und andererseits die übrigen Verfahrensbeteiligten Gelegenheit hatten, sich dazu zu äussern (vgl. Seethaler/Portmann, in Praxiskommentar VwVG, Art. 52 Rz. 38; Philippe Weissenberger/Astrid Hirzel, in: Praxiskommentar VwVG, Art. 61 Rz. 8; Alfred Kölz/Isabelle Häner/Martin Bertschi, Verwaltungsverfahren und Verwaltungsrechtspflege des Bundes, 3. Aufl., Zürich 2013, Rz. 1133 f.).

1.3.5 Unter den gegebenen Umständen kann vorliegend somit offen bleiben, ob sich der Streitgegenstand im Verfahren betreffend Realakte gemäss Art. 25a VwVG an dessen Inhalt definiert oder ob der Inhalt der angefochtenen Verfügung ausschlaggebend ist. Tatsächlich würde es die Logik gebieten, die Rechtmässigkeit der Tätigkeit der Vorinstanz bezogen auf den Realakt zu beurteilen, also ein Zeitpunkt im Jahr 2011, als die Untersuchungen für die Erbringung des deterministischen Nachweises zur Beherrschung des 10'000-jährlichen Hochwassers zusätzliche Anlagen (Hochreservoir Runtigenrain) oder Ausrüstungen (die baulichen Massnahmen zum Einsatz von mobilen Pumpen befanden sich zu jenem Zeitpunkt im Bau) noch nicht einbezogen. Die angefochtene Verfügung vom 25. Mai 2016 handelte diese zusätzlichen Möglichkeiten für die Gewährleistung der Hochwassersicherheit des KKM jedoch ausführlich ab, wobei sich auch die Beschwerdeführer in ihrer Beschwerdeschrift vom 1. Juli 2016 eingehend mit diesen Möglichkeiten auseinandersetzten.

Aufgrund des oben Gesagten drängt es sich auf, die Vorkehren des KKM zur Beherrschung eines 10'000-jährlichen Hochwassers so zu beurteilen, wie sie sich aktuell präsentieren. Dies liegt im Interesse der Prozessökonomie, würde doch ein Unterbleiben von Überlegungen zu einer möglichen Kreditierung der seit 2011 ergriffenen zusätzlichen Vorkehrungen im Falle einer Rückweisung zur erneuten Erbringung des deterministischen Nachweises unter Betrachtung des aktuellen Zustandes ein prozessökonomischer Leerlauf bedeuten. Dieses Vorgehen ist sodann auch deshalb zu rechtfertigen, da die nachträglich ergriffenen Vorkehrungen in engem Zusammenhang mit dem Streitgegenstand stehen und sich die Parteien im vorliegenden Verfahren bereits ausführlich dazu äussern konnten (und dies auch taten).

1.4 Auf die frist- und formgerecht eingereichte Beschwerde (vgl. Art. 50 und Art. 52 VwVG) ist deshalb einzutreten, doch bleibt der Streitgegenstand auf den Sachverhalt betreffend das KKM beschränkt.

2.
Das Bundesverwaltungsgericht überprüft die angefochtene Verfügung auf Verletzungen von Bundesrecht, einschliesslich Überschreitung oder Missbrauch des Ermessens, die richtige und vollständige Feststellung des rechtserheblichen Sachverhalts und ihre Angemessenheit hin und entscheidet grundsätzlich mit uneingeschränkter Kognition (Art. 49 VwVG). Es auferlegt sich allerdings dann eine gewisse Zurückhaltung, wenn unter Anderem technische Fragen zu beurteilen sind. Sachkundige Beurteilungen einer Fachstelle werden nur dann inhaltlich überprüft und es wird nur dann von ihnen abgewichen, wenn dafür stichhaltige Gründe, also etwa offensichtliche Mängel oder innere Widersprüche, gegeben sind. Allerdings muss sichergestellt sein, dass das Gericht auch Verwaltungsentscheide, die überwiegend auf Ermessen beruhen, wirksam überprüfen kann. Es ist ohne weiteres zulässig, bei der Prüfung naturwissenschaftlicher und technischer Fragen auf die Berichte und Stellungnahmen der vom Gesetzgeber bestimmten sachkundigen Instanzen abzustellen. Wenn die Vorinstanz über bessere Kenntnisse verfügt, namentlich bei technischen und örtlichen Verhältnissen, setzt die Beschwerdeinstanz ihr eigenes Ermessen nicht "ohne Not" an die Stelle desjenigen der Vorinstanz. Ergänzende Beweiserhebungen in Form von Expertisen sind denn auch nur ausnahmsweise und nur dort vorzunehmen, wo die Klärung der umstrittenen Sachverhaltsfrage für die rechtliche Beurteilung unabdingbar ist (z.B. BGE 139 II 185 E. 14.1, 136 I 184 E. 2.2.1, 133 II 35 E. 3; Ziebung/Hofstetter, in: Praxiskommentar VwVG, Art. 49 Rz. 22, 46f.; Kölz/Häner/Bertschi, a.a.O., Rz. 1050 ff.; Ulrich Häfelin/Georg Müller/Felix Uhlmann, Allgemeines Verwaltungsrecht, 7. Auflage, Zürich/St. Gallen 2016, Rz. 419 f.; René Rhinow/Heinrich Koller/Christina Kiss/Daniela Thurnherr/Denise Brühl-Moser, Öffentliches Prozessrecht, Grundlagen und Bundesrechtspflege, 2. Aufl., Basel 2010, Rz. 1130 f.).

3.

3.1 Die Beschwerdeführer rügen eine Verletzung des rechtlichen Gehörs durch die Vorinstanz. Sie machen geltend, sie hätten ihr Gesuch unter anderem auch mit einer Richtlinie der WENRA (Western European Nuclear Regulators Association; Issue E 4.1 und Issue G 2.2) begründet. Die Vorinstanz gehe darauf in ihrer Begründung der angefochtenen Verfügung jedoch nirgends ein und verletze damit ihre Begründungspflicht und den Anspruch der Beschwerdeführer auf rechtliches Gehör.

3.2 Die Pflicht der Behörden, ihre Verfügungen und Entscheide zu begründen wird aus dem verfassungsmässigen Anspruch auf rechtliches Gehör im Sinne von Art. 29 Abs. 2 der Bundesverfassung vom 18. April 1999 (BV, SR 101) abgeleitet und ergibt sich für das Verfahren vor Bundesverwaltungsbehörden unmittelbar aus Art. 35 Abs. 1 VwVG (BGE 138 I 232 E. 5.1 m.w.H.; Urteil des Bundesverwaltungsgerichts A-1987/2016 vom 6. September 2016 E. 5.1 und A-8073/2015 vom 13. Juli 2016 E. 4.1). Der Anspruch auf rechtliches Gehör umfasst auch das Recht, dass die verfügende Behörde von den Argumenten des Betroffenen Kenntnis nimmt und sich damit auseinandersetzt (Art. 32 Abs. 1 VwVG; vgl. Urteil des Bundesverwaltungsgerichts A-7589/2015 vom 14. November 2016 E. 7). Die Begründung eines Entscheids muss so abgefasst sein, dass ihn der Betroffene gegebenenfalls sachgerecht anfechten kann (BGE 134 I 83 E. 4.1). Es müssen wenigstens kurz die Überlegungen genannt werden, von denen sich die Behörde leiten liess und auf welche sich der Entscheid stützt (BGE 129 I 232 E. 3.2). Die verfügende Behörde muss sich jedoch nicht ausdrücklich mit jeder tatbestandlichen Behauptung und jedem rechtlichen Einwand auseinandersetzen. Vielmehr kann sie sich auf die für ihren Entscheid wesentlichen Gesichtspunkte beschränken und in der Begründung bloss diejenigen Argumente aufführen, die ihrem Entscheid tatsächlich zugrunde liegen (vgl. BGE 141 III 28 E. 3.2.4, 138 I 232 E. 5.1; Urteile des Bundesverwaltungsgerichts A-5488/2016 vom 9. Dezember 2016 E. 7.1.2 und A-6625/2014 vom 19. Mai 2016 E. 5.2.1, je m.w.H.; Felix Uhlmann/Alexandra Schilling-Schwank, in: Praxiskommentar VwVG, Art. 35 Rz. 10 m.w.H.). Kommt die Behörde der Begründungspflicht nicht nach, ist das rechtliche Gehör verletzt, was ungeachtet der Erfolgsaussichten der Beschwerde grundsätzlich zur Aufhebung des mit dem Verfahrensmangel behafteten Entscheids führt (vgl. z.B. BGE 137 I 195 E. 2.2, BGE 135 I 187 E. 2.2; Bernhard Waldmann/Jürg Bickel, in: Praxiskommentar VwVG, Art. 29 Rz. 103, 106 ff.).

3.3 Die Vorinstanz behandelte in ihrer Verfügung vom 25. Mai 2016 das Gesuch der Beschwerdeführer in umfassender Weise, wobei sie auch auf die Richtlinien der WENRA einging. Zwar hat sie es unterlassen, sich zu den von den Beschwerdeführern spezifisch genannten Bestimmungen zu äussern, doch war sie dazu aufgrund des oben Gesagten auch nicht verpflichtet. Insgesamt hat sich die Vorinstanz mit Blick auf die wesentlichen Gesichtspunkte genügend mit der Sache auseinandergesetzt und eine ausführliche Begründung zur Materie vorgenommen. Die Beschwerdeführer konnten anhand der Erwägungen die wesentlichen Überlegungen der Vorinstanz nachvollziehen, sich ein Bild über die Tragweite des Entscheides machen und waren in der Lage, deren Verfügung sachgerecht anzufechten, was mit der vorliegenden Beschwerde sodann erfolgte (vgl. z.B. BGE 136 I 229 E. 5.2, BGE 138 I 232 E. 5.1, BGE 129 I 232 E. 3.2). Eine Verletzung der Begründungspflicht bzw. eine Verletzung des rechtlichen Gehörs ist deshalb nicht ersichtlich.

4.
Zunächst wird im Folgenden das Konzept der Kühlwasserversorgung im KKM dargestellt. Anschliessend werden die einschlägigen Rechtsgrundlagen erörtert.

4.1 Der von einer Drittfirma zuhanden der Beschwerdegegnerin erstellte Arbeitsbericht vom 30. Mai 2011 resp. 18. Oktober 2013 zur Erbringung des deterministischen Nachweises zur Beherrschung eines 10'000-jährlichen Hochwassers hat sich eingehend mit der Sicherstellung der Reaktorkühlung im Falle einer extremen Hochwassersituation befasst. Er kam zum Schluss, dass die Anlage KKM in der angesetzten Hochwassersituation in einen sicheren Zustand überführt und dieser Zustand stabil gehalten werden kann. Der Bericht erachtete den von der Vorinstanz geforderten deterministischen Nachweis als erbracht. Darüber hinaus bewertete er weitere Nachrüstmassnahmen und Verbesserungen für weitere Kühlwasser-Einströmpfade, unter anderem die nachgerüstete Einspeisestelle für mobile Pumpen.

4.2 Die Vorinstanz nahm mit Aktennotiz vom 31. August 2011 (Realakt; AN ENSI 11/1481) Stellung zu diesem Arbeitsbericht. Sie beurteilte insbesondere auch die Kühlwasserversorgung des KKM und deren Gefährdung bei extremem Hochwasser: Es ist vorgesehen, dass bei einem solchen Ereignis die Versorgung des Reaktors mit Kühlwasser grundsätzlich mittels Hilfskühlwassersystem über das Hauptkühlwassereinlaufbauwerk gewährleistet wird, wobei das Notstandsystem SUSAN sein Kühlwasser dem Hauptkühlwasserauslauf entnimmt. Solange die Hilfskühlwasserpumpen arbeiten ist demnach durch das "Freispülen" des Hauptkühlwasserauslaufbauwerks durch das abfliessende Kühlwasser auch die Funktionstüchtigkeit des SUSAN-Notstandsystems gegeben. Die Vorinstanz beurteilt die Verfügbarkeit von Kühlwasser demzufolge als grundsätzlich hoch und die Gefahr einer Verstopfung des Hauptkühlwassereinlaufbauwerks durch Geschiebe, Sedimente, Schwemmholz oder Pflanzenreste aufgrund verschiedene Vorkehrungen baulicher und betrieblicher Art als nahezu ausgeschlossen.

4.3 Bei ausgefallenem Hilfskühlwassersystem stehen für die Kühlwasserversorgung des SUSAN-Notstandsystems vier verschiedene Einströmpfade zur Verfügung.

4.3.1 Der Einströmpfad 1 steht über das Hauptkühlwasserauslaufbauwerk zur Verfügung, d.h. das SUSAN-Notstandsystem saugt sein Kühlwasser direkt aus dem Auslaufbauwerk an. Zumal bei dem angenommenen Hochwasserszenario eine gewisse - jedoch geringe - Verstopfungsgefahr für dieses Auslaufbauwerk durch Geschiebe erkannt wurde, wurden drei zusätzliche Ansaugrohre (Periskoprohre) in den Einlauf des SUSAN-Notstandsystems eingebaut. Sie ermöglichen die Ansaugung von Aarewasser auch bei erhöhter Ablagerung von Geschiebe. Die Verfügbarkeit dieses Einströmpfades ist unabhängig vom Pegel der Aare und durch seine Konstruktion gegen Zerstörung und Verstopfung ausreichend gesichert.

4.3.2 Der Einströmpfad 2 sieht vor, dass ab einem Pegel der Aare von 463 m ü. M. Aarewasser passiv aus dem Hauptkühlwassereinlaufbauwerk zum SUSAN-Einlauf nachfliesst. Die Vorinstanz legte dar, dass diese Möglichkeit der Kühlwasserzufuhr davon abhängt, dass das Hauptkühlwassereinlaufbauwerk frei von Verstopfungen gehalten werden könne. Dies wiederum hänge jedoch von der Funktionstüchtigkeit der notstromgespiesenen Siebbandanlagen zur Reinigung des Einlaufs ab, welche bis zu einem Pegel von 466,9 m ü. M. funktionstüchtig bleiben. Bei Ausfall des Notstromgenerators könne jedoch dieser Einströmpfad nicht mehr kreditiert werden.

4.3.3 Der Einströmpfad 3 sieht vor, dass bei ausreichender Überflutung des Werkgeländes (ab einem Pegel von 465,5 m ü. M.) Kühlwasser passiv durch die Öffnung der Objektschutzabdeckung der Kammern des Hauptkühlwasserauslaufbauwerks zum Einlauf des SUSAN-Notstandsystems strömt. Die Vorinstanz beurteilt diesen Versorgungspfad als unzuverlässig, da sich eine Reinigung im Fall einer Verstopfung aufgrund der Zugänglichkeit als schwierig erweisen würde.

4.3.4 Der Einströmpfad 4 befand sich im Zeitpunkt der Erstellung des Arbeitsberichts im Bau und wurde deshalb darin noch nicht berücksichtigt. Er sieht vor, dass mobile Pumpen Kühlwasser hinter dem Rechen des SUSAN-Notstandsystems in dessen Einlauf einbringen. Die Vorteile dieses Einströmpfades liegen darin, dass ein allenfalls verstopfter SUSAN-Rechen umgangen werden könnte. Der Einströmpfad 4 besteht aus vier in erhöhter Position installierter Anschlussstutzen (Einspeisestelle), wobei deren zwei für die Deckung des Kühlwasserbedarfs ausreichend wären. Dadurch wäre es möglich, insgesamt vier mobile Pumpen anzuschliessen, wobei jeweils bei zweien davon alternierend die Saugkörbe gereinigt werden könnten, ohne die Kühlwasserzufuhr zu unterbrechen. Die Vorinstanz beurteilte diesen Einströmpfad als eine zusätzliche Einrichtung, um die Kühlwasserversorgung des SUSAN-Notstandsystems mit hoher Zuverlässigkeit zu gewährleisten. Der Standort der Pumpen ist je nach Pegelstand variabel, sodass der Einströmpfad auch bei einem Pegel über 466,9 m ü. M. zur Verfügung steht.

4.3.5 Die Vorinstanz misst der vom Betreiber des KKM verfolgten "defence-in-depth"-Strategie (eine Staffelung von Vorkehren, um dem Hochwasserereignis zu begegnen; vgl. unten E. 4.5.5, Konzept der gestaffelten Sicherheitsvorsorge) bei der Gewährleistung der Kühlwasserversorgung eine hohe Bedeutung zu. Sie hält fest, dass für jeden einzelnen Einströmpfad eine hohe Sicherheit gegen Verstopfung besteht. Doch selbst bei einer unwahrscheinlichen Verstopfung der Zulaufstränge 1-3 kann gemäss Vorinstanz eine solche deterministisch nicht völlig ausgeschlossen werden. Aus diesem Grund sieht sie in der Nachrüstung des Einströmpfades 4 unter Verwendung mobiler Pumpen eine Ergänzung, um die Kühlwasserversorgung auch in diesen Fällen zu gewährleisten. Die Vorinstanz beurteilt insbesondere die Vielzahl und Diversität der Kühlwasserpfade als ausschlaggebend, um ein 10'000-jährliches Hochwasserereignis zu beherrschen. Sie sieht die wesentlichen Kühlwasserpfade im Hauptkühlwassereinlaufbauwerk (mit verfügbarem Hilfskühlwassersystem) sowie in den beschriebenen Einströmpfaden 1 und 4 (ohne verfügbares Hilfskühlwassersystem). Da die Vorinstanz vom Betreiber des KKM für die Erbringung des deterministischen Nachweises forderte, als Einzelfehler den Ausfall des Notstromdieselaggregats zu unterstellen, können weder die Kühlwasserversorgung über das Hauptkühlwassereinlaufbauwerk noch die Versorgung über die Einströmpfade 1 und 2 (der als unzuverlässig und demzufolge als nicht kreditierbar qualifiziert wurde) zur Erbringung des Nachweises herangezogen werden. Somit verbleibt der Einsatz mobiler Pumpen (Einströmpfad 4), um den Nachweis zu erbringen. Die Vorinstanz beurteilt angesichts der Vielzahl und Diversität der verschiedenen (z.T. nachgerüsteten) Kühlwasserpfade und unter Berücksichtigung der praktisch auszuschliessenden Wahrscheinlichkeit der gleichzeitigen Verstopfung aller Kühlwasserpfade, den deterministischen Nachweis zur Beherrschung des 10'000-jährlichen Hochwassers als erbracht.

4.4 Diese Darstellung zeigt, dass dem Einsatz mobiler Pumpen eine sehr gewichtige Rolle bei der Sicherstellung der Kühlwasserversorgung zugeschrieben wird, weshalb dieser Einströmpfad 4 durch die Vorinstanz kreditiert wurde. In der angefochtenen Verfügung vom 25. Mai 2016 bestätigte die Vorinstanz diese Darstellungen und die Kreditierung des Einströmpfades 4 mit mobilen Pumpen.

Es stellt sich deshalb die Frage, ob aufgrund der geltenden Rechtsordnung eine solche Kreditierung rechtens war oder ob - wie die Beschwerdeführer geltend machen - die Vorinstanz ihre Aufsichtspflicht verletzt hat, indem sie rechtswidrig eine Kreditierung vornahm.

4.5

4.5.1 Der Gesetzgeber räumt der nuklearen Sicherheit einen hohen Stellenwert ein. Er legt in Art. 4 Abs. 1 des Kernenergiegesetzes vom 21. März 2003 (KEG, SR 732.1) fest, dass bei der Nutzung der Kernenergie Mensch und Umwelt vor einer Gefährdung durch ionisierende Strahlen zu schützen sind. Er statuiert insbesondere das Vorsorgeprinzip indem er bestimmt, dass gegen eine unzulässige Freisetzung radioaktiver Stoffe sowie gegen eine unzulässige Bestrahlung von Personen, sowohl bei Normalbetrieb als auch bei Störfällen, Vorsorge getroffen werden muss. Demnach sind alle Vorkehren zu treffen, die nach der Erfahrung und dem Stand von Wissenschaft und Technik notwendig sind (Art. 4 Abs. 3 Bst. a KEG) resp. zu einer weiteren Verminderung der Gefährdung beitragen, soweit sie angemessen sind (Art. 4 Abs. 3 Bst. b KEG). Art. 5 Abs. 1 KEG bestimmt sodann, dass Schutzmassnahmen zu ergreifen sind, welche u.a. auch darin bestehen, dass bei der Auslegung (im Sinne der Planung und Konzeption eines Kraftwerks) beim Bau und beim Betrieb von Kernanlagen gestaffelte Sicherheitsbarrieren installiert sowie Sicherheitssysteme mehrfach ausgeführt und automatisiert werden (Auslegungsgrundsätze; Konzept der gestaffelten Sicherheitsvorsorge). Dabei ist international anerkannten Grundsätzen zu folgen (vgl. dazu unten E. 4.5.4). Schliesslich hält Art. 5 Abs. 4 KEG fest, dass der Bundesrat regelt, welche Schutzmassnahmen erforderlich sind (vgl. Botschaft zum Kernenergiegesetz vom 28. Februar 2001, BBl 2001 2758 ff., [nachfolgend: Botschaft KEG]; Franz Kessler Coendet/Andreas Schefer, in: Brigitta Kratz/Michael Merker/Renato Tami/Stefan Rechsteiner/Kathrin Föhse [Hrsg.], Kommentar zum Energierecht, Band II, Bern 2016 [nachfolgend: Kommentar Energierecht], Art. 4 KEG Rz. 1, 20 ff. sowie Art. 5 KEG Rz. 7),

4.5.2 In den Art. 7 bis 12 der Kernenergieverordnung vom 10. Dezember 2004 (KEV, SR 732.11) werden die Auslegungsgrundsätze für Kernanlagen konkretisiert - d.h. die Anforderungen an die nukleare Sicherheit spezifiziert. Art. 7 KEV bestimmt sodann, welche Schutzmassnahmen getroffen werden müssen. Demnach ist eine Anlage zur Beherrschung von Störfällen derart auszulegen, dass keine unzulässigen radiologischen Auswirkungen in der Umgebung der Anlage entstehen. Um dieses Ziel zu erreichen, sind aktive und passive Sicherheitssysteme vorzusehen (Art. 7 Bst. a und c KEV). Weiter konkretisiert Art. 8 Abs. 1 KEV die Anforderungen an den Schutz gegen Störfälle und bestimmt, dass Kernanlagen gegen Störfälle mit Ursprung innerhalb und ausserhalb der Anlage - wobei Abs. 3 auch die externe Überflutung nennt - Schutzmassnahmen zu treffen sind. Diese Bestimmungen beziehen sich in erster Linie auf Kernkraftwerke, welche neu erstellt werden. Für jene Kraftwerke, welche sich bereits im Betrieb befinden, sollen jedoch gemäss dem aktuellen Stand der Technik Nachrüstungen erfolgen, um dem aktuellen Sicherheitsstandard möglichst nahe zu kommen. Eine entsprechende Pflicht sieht Art. 22 Abs. 2 Bst. g KEG i.V.m. Art. 82 KEV vor, welcher den Bewilligungsinhaber zu notwendigen und darüber hinaus verhältnismässigen Nachrüstungen verpflichtet (vgl. Botschaft KEG, 2759; Kessler Coendet/Schefer, Kommentar Energierecht, Art. 4 KEG Rz. 26 ff, 37 ff.; Jürg Marti, in: Kommentar Energierecht, a.a.O., Art. 22 KEG Rz 15 ff.).

4.5.3 Ebenso wird der Bewilligungsinhaber gemäss Art. 22 Abs. 2 Bst. d KEG dazu verpflichtet, Nachprüfungen sowie systematische Sicherheits- und Sicherungsbewertungen während der ganzen Lebensdauer der Anlage durchzuführen. Eine Überprüfung kann indessen auch - wie vorliegend - aufgrund einer Anordnung durch die Aufsichtsbehörde gemäss Art. 6 KEV erfolgen (vgl. Art. 2 Abs. 1 Bst. d der Verordnung des UVEK über die Methodik und die Randbedingungen zur Überprüfung der Kriterien für die vorläufige Ausserbetriebnahme von Kernkraftwerken vom 16. April 2008 [Ausserbetriebnahmeverordnung, SR 732.114.5]). Ergibt eine solche Überprüfung, dass - wie vorliegend zu erörtern sein wird - die Kernkühlung bei Störfällen nach Art. 8 KEV nicht mehr gewährleistet ist, hat der Inhaber der Bewilligung den Kernreaktor ausser Betrieb zu nehmen und nachzurüsten. Dies ist dann der Fall, wenn die Überprüfung zeigt, dass die Dosisgrenzwerte für radioaktive Strahlung gemäss Art. 123 Abs. 2 der Strahlenschutzverordnung vom 26. April 2017 (StSV, SR 814.501) nicht eingehalten werden (Art. 44 Abs. 1 Bst. a KEV i.V.m. Art. 3 Ausserbetriebnahmeverordnung). Die Einzelheiten betreffend die Überprüfung der Auslegung eines Kernkraftwerks im vorliegend erwähnten Sinn regelt die Verordnung des UVEK über die Gefährdungsannahmen und die Bewertung des Schutzes gegen Störfälle in Kernanlagen vom 17. Juni 2009 (Gefährdungsannahmeverordnung, SR 732.112.2), welche sich auf Art. 8 Abs. 6 KEV stützt. Im Fokus dieses Erlasses stehen die Auslegungsstörfälle sowie die auslegungsüberschreitenden Störfälle. Massstab für den vorliegend zu beurteilenden Fall bildet ein Auslegungsstörfall der Kategorie 3, d.h. ein extremes Hochwasser mit der Häufigkeit kleiner gleich 10-4, hervorgerufen durch extreme Wetterbedingungen (Art. 7 Bst. c KEV, Art. 1 Bst. a . Ziff. 3 und Art. 5 Abs. 1 Bst. d Gefährdungsannahmeverordnung i.V.m. Art. 123 Abs. 2 Bst. d StSV).

Der Bewilligungsinhaber hat in einem solchen Szenario den deterministischen Nachweis zur Beherrschung eines solchen Ereignisses zu führen. Dabei hat er zu belegen, dass die grundlegenden Schutzziele - eines davon ist die Kühlung der Kernmaterialien - zur Gewährleistung der nuklearen Sicherheit eingehalten werden (vgl. Art. 1 Bst. d und e und Art. 2 Abs. 1 sowie Art. 13 Gefährdungsannahmeverordnung; Eidgenössisches Nuklearsicherheitsinspektorat ENSI, Integrierte Aufsicht, ENSI-AN-8526, November 2014 [nachfolgend: ENSI-AN-8526], Ziff. 1.2). Die Anforderungen an diese deterministische Störfallanalyse wird gemäss Art. 2 Abs. 4 Gefährdungsannahmeverordnung durch die Aufsichtsbehörde in Richtlinien geregelt (vgl. Hauptabteilung für die Sicherheit der Kernanlagen HSK, Anforderungen an die deterministische Störfallanalyse für Kernanlagen: Umfang, Methodik und Randbedingungen der technischen Störfallanalyse, ENSI-A01, Juli 2009 [nachfolgend: ENSI-A01]).

4.5.4 Neben der nationalen Kernenergiegesetzgebung existieren ausführliche Regelwerke von internationalen Organisationen. Insbesondere sind die International Atomic Energy Agency (IAEA), welche als Sonderorganisation der Vereinten Nationen mit eigener Rechtspersönlichkeit handelt, sowie die WENRA als Zusammenschluss der Atomaufsichtsbehörden der EU-Staaten und der Schweiz zu nennen (Ricardo Jagmetti, Schweizerisches Bundesverwaltungsrecht, Band VII, Energierecht, Basel 2005, Rz. 1427; www.iaea.org => about us, abgerufen am 21. März 2018; www.wenra.org => about us, abgerufen am 21. März 2018). Es ist kurz zu erörtern, welcher Rechtsnatur diese Regelwerke sind resp. welche Verbindlichkeit ihnen zukommt.

4.5.4.1 Die IAEA entwickelt die sog. "Safety Standards", welche ein System von Grundlagendokumenten (Safety Fundamentals betreffend Zielsetzung und Prinzipien), Sicherheitsvoraussetzungen (Safety Requirements) und Richtlinien (Safety Guides; Empfehlungen und Anleitungen, wie die Safety Requirements erreicht werden können). Gemäss Beschreibung der Safety Standards durch die IAEA geben diese einen internationalen Konsens bezüglich eines hohen Standes des Schutzes von Mensch und Umwelt vor den schädlichen Folgen radioaktiver Strahlung wieder. Um diesen Schutz sicherzustellen, müssen die Safety requirements erfüllt werden. Andernfalls sind Massnahmen zu ergreifen, um den Sicherheitsstand zu erreichen oder wieder herzustellen. Die Form der Safety Requirements soll es vereinfachen, deren Inhalt in harmonisierter Form in ein nationales Regelwerk zu übernehmen (vgl. dazu www-ns.iaea.org/standards/, abgerufen am 19. März 2018 => What are the Safety Standards?).

In diesem Sinne äussert sich sodann auch das Übereinkommen über nukleare Sicherheit vom 17. Juni 1996 [CNS - Convention on nuclear safety], SR 0.732.020, welches von der Schweiz als Staatsvertrag ratifiziert wurde: In seiner Präambel wird festgehalten, dass das Übereinkommen eine Verpflichtung zur Anwendung von Grundsätzen der Sicherheit für Kernanlagen und nicht so sehr von Sicherheitsanforderungen im Einzelnen schafft. Weiter werden die international ausgearbeiteten Sicherheitsrichtlinien erwähnt, "...welche richtungsweisend sein können, wie mit gegenwärtigen Möglichkeiten ein hoher Sicherheitsstand erreicht werden kann" (vgl. Präambel viii) CNS; Hervorhebung durch BVGer). Betont werden sodann u.a. auch die Ziele der Safety Standards und in Art. 4 wird festgehalten, jede Vertragspartei treffe im Rahmen ihres innerstaatlichen Rechts die Gesetzes-, Verordnungs- und Verwaltungsmassnahmen und unternehme sonstige Schritte, die zur Erfüllung ihrer Verpflichtungen aus diesem Übereinkommen erforderlich sind. Das Übereinkommen hält die Vertragsparteien u.a. dazu an, einen Rahmen für die Gesetzgebung und den Vollzug zur Regelung der Sicherheit der Kernanlagen zu schaffen sowie aufrecht zu erhalten, "geeignete" Massnahmen zu ergreifen, um einen bestimmten Sicherheitsstand zu erreichen und hält Grundsätze (z.B. jener der gestaffelten Sicherheitsvorsorge) fest. Da das Abkommen zwar eine Verbindlichkeit statuiert, diese sich jedoch auf das Erreichen eines grundsätzlichen Rahmens beschränkt und keine Folgen für säumige Vertragsparteien genannt werden, wird auch die Verbindlichkeit der Safety Standards relativiert. Selbst wenn diese auf der Ebene der Safety Requirements die Umsetzung der festgelegten Massnahmen und Vorkehren als Muss-Kriterium zur Erfüllung der Safety Standards - und damit des Übereinkommens - vorsehen, so wird letztendlich deren Wirkung auf jene von Vorgaben mit Richtlinien- oder Empfehlungscharakter zur Erreichung eines hohen Sicherheitsstandards beschränkt.

Nichts anderes gilt, wenn das nationale Recht vorsieht, Massnahmen nach international anerkannten Grundsätzen zu treffen, d.h. wenn die IAEA-Safety Standards als Massstab genommen werden (vgl. Art. 5 Abs. 1 KEG i.V.m. Art. 7 KEV): Selbst wenn durch das CNS das Ziel verfolgt wird, eine Vereinheitlichung zwingender materieller Bestimmungen im Bereich der nuklearen Sicherheit zu erreichen, so handelt es sich - wie das Gesetz sich ausdrückt - um allgemeine Grundsätze, wobei die konkrete Umsetzung den Vertragsstaaten obliegt. Eine direkte Anwendbarkeit der IAEA-Safety Standards kann jedenfalls weder den Bestimmungen selbst, noch deren Sinn und Geist entnommen werden. Vielmehr ist es der Wille des Regelwerks, dass die Vertragsstaaten selbst eine Umsetzung der Grundlagen vornehmen und sich i.S. einer "best practice" an den IAEA-Standards als Vorbild orientieren (vgl. Botschaft betreffend das Übereinkommen über nukleare Sicherheit vom 18. Oktober 1995, BBl 1995 IV 1344 f., 1347-1355; Botschaft KEG, BBl 2001 2759 f., 2808; Jagmetti, a.a.O., Rz. 1402 f., 1410, 1422, 5125; IAEA-Safety Standards, Safety of Nuclear Power Plants: Design, Specific Safety Requirements, No. SSR-2/1 (Rev. 1), Wien 2016 [nachfolgend: IAEA SSR-2/1], Foreword, The IAEA Safety Standards; Kessler Coendet/Schefer, in: Kommentar Energierecht, a.a.O., Art. 4 KEG Rz. 7 sowie Art. 5 KEG Rz. 11; vgl. im Gegensatz dazu die Bestimmungen der ICAO in der Zivilluftfahrt, welche teilweise als eigenständige Bestimmungen (self executing) gelten und durch die nationale Gesetzgebung zum direkt anwendbaren, zwingenden Völkerrecht erklärt werden [vgl. dazu Urteil des Bundesverwaltungsgerichts A-775/2017 vom 13. März 2018 E. 5.2 ff. mit weiteren Hinweisen; Stefan Vogel, in: Giovanni Biaggini/Isabelle Häner/Urs Saxer/Markus Schott [Hrsg.], Fachhandbuch Verwaltungsrecht, Zürich 2015, Kapitel 8: Luftfahrtinfrastruktur, Rz. 8.3 f.).

4.5.4.2 Das Regelwerk der WENRA wird von vornherein nicht als verbindlich verstanden: Die "Issues" der WENRA haben zwar ebenfalls zum Ziel, einen vereinheitlichten Sicherheitsstandard unter den Mitgliedern festzulegen und zu erreichen, doch ergibt sich daraus keine Verpflichtung zur Umsetzung. Dieses Regelwerk hat sodann vielmehr den Charakter von Empfehlungen zur Ausarbeitung der nationalen Kernernergiegesetzgebung. Eine davon - die Issue T - widmet sich im Speziellen den Naturgefahren, insbesondere der Gefahr einer Überflutung von ausserhalb der Anlage (vgl. WENRA Safety Reference, Levels for Existing Reactors, 24. September 2014, Foreword; www.wenra.org, = about us = WENRA's Mission sowie = Working Groups = The challenge to harmonise safety requirements und = Harmonisation of safety approaches in Europe, aufgerufen am 19. März 2018; Guidance Document Issue T: Natural Hazards, Guidance on External Flooding, 11. Oktober 2016, [nachfolgend: WENRAIssue T).

4.5.4.3 Daraus ergibt sich, dass die Regelwerke der internationalen Organisationen zwar anstreben, dass bestimmte Massnahmen zur Erreichung oder Erhaltung eines hohen und vereinheitlichten Sicherheitsstandards bei der nuklearen Sicherheit führen. Den Charakter von Rechtssätzen haben die Bestimmungen jedoch grundsätzlich nicht und es kann insofern den Beschwerdeführern auch nicht gefolgt werden, wenn sie ausführen, die Vorgaben der IAEA sowie der WENRA seien zwingend zu befolgen.

4.5.5 Im Weiteren ist das Konzept der gestaffelten Sicherheitsvorsorge zu erörtern (vgl. Art. 1 Bst. c Gefährdungsannahmeverordnung).

Art. 8 Abs. 1 Gefährdungsannahmeverordnung hält fest, dass der Bewilligungsinhaber für jeden angenommenen Störfall nachzuweisen hat, dass die zur Umsetzung dieses Konzepts getroffenen technischen und organisatorischen Schutzmassnahmen wirksam sind. Hierfür hat er gemäss Abs. 2 insbesondere aufzuzeigen, dass die benötigten Bauwerke und Anlageteile die auf sie wirkenden Störfalllasten abtragen können. Das Konzept der gestaffelten Sicherheitsvorsorge sieht vor, dass auf fünf Sicherheitsebenen aufeinanderfolgende und voneinander unabhängige Schutzmassnahmen bei Abweichungen vom Normalbetrieb unzulässige radiologische Auswirkungen in der Umgebung verhindern und Freisetzungen in gefährdendem Umfang lindern. Jede Sicherheitsebene umfasst auf spezifische Anlagezustände ausgerichtete Sicherheitsvorkehrungen mit spezifischen Zielen. Die Vorkehren einer Ebene dienen jeweils dazu, das Versagen der Vorkehren auf der davor liegenden Ebene aufzufangen.

Im Rahmen der gestaffelten Sicherheitsvorsorge sieht das Konzept auf Ebene 3 vor, Auslegungsstörfälle zu beherrschen und dazu "qualifizierte Sicherheitssysteme mit ihren Mess-, Alarm- und Auslöseeinrichtungen" einzusetzen. Demgegenüber sieht die Sicherheitsebene 4 zur "Beherrschung oder Linderung der Auswirkungen auslegungsüberschreitender Störfälle" vor, "präventives und mitigatives Accident-Management" anzuwenden (vgl. zum Ganzen Art. 18 CNS; ENSI-AN-8526, Ziff. 1.3; IAEA SSR-2/1, Ziff. 2.12 ff., Requirement 7 Ziff. 4.9 ff. ["defence in depth"], Requirement 19 Ziff. 5.24 ff.; Kommentar Energierecht, Art. 5 KEG, Rz. 17 ff.).

4.5.6 Im Zusammenhang mit den als Mittel zur Verfolgung des Ziels "Beherrschung von Auslegungsstörfällen" (Sicherheitsebene 3) definierten "qualifizierten Sicherheitssystemen mit ihren Mess-, Alarm- und Auslöseeinrichtungen" gilt es, auf die sicherheitstechnische Klassierung von mechanischen und elektrischen Ausrüstungen sowie von Bauwerken von Kernkraftwerken einzugehen.

4.5.6.1 Bei Auslegung, Bau und Betrieb von Kernkraftwerken werden abgestufte Anforderungen an die Qualität von Strukturen, Systemen und Komponenten (SSC) gestellt. Diese Anforderungen werden an der Bedeutung des jeweiligen SSC für die nukleare Sicherheit bemessen. Die Abstufung ist durch die Einteilung in Sicherheits-, Erdbeben- und Bauwerksklassen geregelt. Die Grundzüge der sicherheitstechnischen Klassierung von mechanischen und elektrischen Ausrüstungen sowie von Bestimmungen zu den verschiedenen Klassen sind in Anhang 4 Ziff. 3 KEV vorgegeben. Zur weiteren Konkretisierung hat die Vorinstanz eine Richtlinie (Eidgenössisches Nuklearsicherheitsinspektorat ENSI, Sicherheitstechnische Klassierung für bestehende Kernkraftwerke, ENSI-G01, Januar 2011, [nachfolgend: ENSI-G01]) erlassen, wobei auch die Anforderungen der international anerkannten Grundsätze beachtet wurden (vgl. IAEA SSR-2/1, Requirement 22, Ziff. 5.34 ff.; WENRA Safety Reference, Levels for Existing Reactors, 24. September 2014, Issue G: Safety Classification of Structures, Systems and Components, [nachfolgend: WENRA Issue G]).

4.5.6.2 Zweck der sicherheitstechnischen Klassierung ist es, zunächst die sicherheitsrelevanten Anlageteile und Bauten zu identifizieren und sie dann in Bezug auf ihre Bedeutung für die Gewährleistung resp. Aufrechterhaltung der nuklearen Sicherheit in Klassen (SK 1 bis 4) einzuteilen. Die Einstufung der Ausrüstung in Erdbebenklassen und der Bauwerke in Bauwerksklassen leitet sich dabei aus der Einstufung der Ausrüstung in diese Sicherheitsklassen ab. Im Weiteren bestimmt ENSI-G01 Ziff. 4.1.5, dass alle nicht den SK 1 bis 4 zugeteilten mechanischen Ausrüstungen als mechanisch unklassiert gelten und dass von dieser Bestimmung auch mobile mechanische Ausrüstungen sowie sich nicht auf dem Kraftwerksareal befindliche Ausrüstungen, die im Rahmen des Accident-Management eingesetzt werden, erfasst sind. In Abhängigkeit der erfolgten sicherheitstechnischen Klassierung werden die Anforderungen an deren Auslegung, Qualität und Instandhaltung, sowie Melde- und Freigabepflichten im Aufsichtsprozess festgelegt und es können den Klassen angemessene qualitätssichernde Massnahmen ergriffen werden (vgl. Anhang 1 Bst. h KEV; ENSI-G01, Ziff. 2 und 4 und zugehöriger Erläuterungsbericht vom 18. Oktober 2013 [nachfolgend: Erläuterungsbericht G-01], Ziff. 1, 3.1, 3.3; WENRA Issue G, Ziff. G1.1, G2.2, G3.1; IAEA SSR-2/1, Requirement 22, Ziff. 5.34; die inzwischen durch das ENSI zurückgezogene Richtlinie HSK-R-06, vom Mai 1985 gibt bezüglich Zweck in Ziff. 1 und 4 weiterhin nützliche Hinweise, ebenso die durch IAEA SSR-2/1 ersetzten IAEA Safety Standards, Safety Assessment and Verification for Nuclear Power Plants, No. NS-G-1.2 [nachfolgend IAEA NS-G-1.2], Ziff. 3.26 ff.).

5.
Zu klären bleibt sodann die Rechtsfrage, ob eine Kreditierung von mobilen Pumpen durch die Vorinstanz im Einklang mit den dargestellten Bestimmungen und Grundsätzen sowie mit internationalen Richtlinien steht. Es gilt somit die Rüge der Beschwerdeführer zu prüfen, die Vorinstanz habe sich widerrechtlich verhalten, indem sie eine Kreditierung der mobilen Pumpen vorgenommen und damit gegen ihre Aufsichtspflicht verstossen habe.

5.1 Die Vorinstanz hielt in ihrer Verfügung vom 25. Mai 2016 erneut fest, die Kreditierung der Bespeisung des Notstandsystems mittels mobiler Pumpen über eine Einspeisestelle sei rechtmässig erfolgt. Zur Begründung führte sie aus, die Rechtsordnung biete nach Sinn und Zweck eine genügende gesetzliche Grundlage für die Kreditierung der mobilen Pumpen zum Betrieb des Einströmpfades 4. Insbesondere legt sie dar, dass auch gemäss internationalen Regelwerken in Bezug auf Auslegungsstörfälle, welche durch Naturgefahren verursacht wurden, unter gewissen Voraussetzungen auch über fest installierte Systeme hinausgehende Massnahmen, wie beispielsweise Handlungen des Betriebspersonals zur Störfallbeherrschung - gegebenenfalls unter Einsatz von geeigneter mobiler Ausrüstung - für die Erbringung des Nachweises angerechnet werden dürfen.

5.2 Demgegenüber machen die Beschwerdeführer in ihrer Beschwerdeschrift vom 1. Juli 2016 im Wesentlichen geltend, dass zur Beherrschung von Auslegungsstörfällen der Sicherheitsebene 3 einzig qualifizierte Sicherheitssysteme resp. sicherheitstechnisch klassierte und fest installierte Ausrüstungen zuzulassen seien, wobei die vorliegend zu beurteilenden mobilen Pumpen diesen nicht zugerechnet werden könnten. Bei den mobilen Pumpen handle es sich nämlich um Mittel der Sicherheitsebene 4, welche im Rahmen von auslegungsüberschreitenden Störfällen als "accident-management-Massnahmen" zum Tragen kommen würden. Solche Mittel seien jedoch auf der Sicherheitsstufe 3 insbesondere dann nicht anzurechnen, wenn sie zur Beherrschung von Auslegungsstörfällen eingesetzt würden, d.h. um Defizite auf der Sicherheitsebene 3 zu kompensieren.

5.3 Die Beschwerdegegnerin führt in ihrer Beschwerdeantwort vom 6. Oktober 2016 insbesondere aus, es finde sich in der schweizerischen Kernenergiegesetzgebung keine Bestimmung, welche vorschreiben würde, dass Auslegungsstörfälle ausschliesslich mittels fest installierten und klassierten Sicherheitssystemen beherrschbar sein müssen. Aus der Bestimmung, dass dazu aktive und passive Sicherheitssysteme vorzusehen seien, sei einzig zu schliessen, dass es unzulässig wäre, die Beherrschung von Auslegungsstörfällen alleine mit mobilem Equipment sicherzustellen. Auch gehe aus den internationalen Richtlinien hervor, dass auch vorbereitete manuelle Handlungen des Betriebspersonals mit mobilem Equipment kreditiert werden dürften, sofern keine unverzügliche Reaktion notwendig sei und sowohl die Zuverlässigkeit der Handlungen als auch die rechtzeitige Verfügbarkeit des mobilen Equipments gewährleistet seien. Diese Voraussetzungen seien bei den im KKM bereitgestellten mobilen Pumpen im Zusammenhang mit dem unterstellten Hochwasserszenario gegeben.

5.4 Aufgrund der oben in E. 4 gemachten Ausführungen zu den Rechtsgrundlagen sowie zu den Konzepten der nuklearen Sicherheit und den Grundsätzen des Kernenergierechts kann in Bezug auf den vorliegend zu beurteilenden Fall eines 10'000-jährlichen Hochwassers zusammenfassend festgehalten werden, dass es sich bei diesem Ereignis um einen Auslegungsstörfall mit Ursprung ausserhalb der Kernanlage handelt. Einem solchen ist grundsätzlich mit automatisierten und passiven, aber auch mit aktiven Sicherheitssystemen zu begegnen (vgl. insbesondere auch Art. 10 Abs. 1 Bst. f . KEV). Im Weiteren steht fest, dass im Rahmen des Konzeptes der gestaffelten Sicherheitsvorsorge der zu beurteilende Auslegungsstörfall auf der Sicherheitsebene 3 einzuordnen ist. Dies ist von den Parteien nicht bestritten. Ebenso ist nicht bestritten, dass es sich bei den von der Beschwerdegegnerin zur Bespeisung des Einströmpfades 4 mit Kühlwasser herangezogenen mobilen Pumpen grundsätzlich um Mittel des Accident-Management (von Vorinstanz und Beschwerdegegnerin resp. im Arbeitsbericht so bezeichnet) handelt, welche vorwiegend zur Beherrschung oder Linderung der Auswirkungen eines Störfalls der Sicherheitsebene 4 (sog. auslegungsüberschreitende Störfälle) vorgesehen sind.

5.5 Die Beschwerdeführer machen geltend, die mobilen Pumpen sowie die Einspeisestelle könnten als sicherheitstechnisch nicht klassierte Ausrüstung nicht als qualifizierte Sicherheitssysteme der Schutzebene 3 gelten.

5.5.1 Den Beschwerdeführern ist insofern zu folgen, als es sich bei den mobilen Pumpen, wie sie von der Beschwerdegegnerin zur Versorgung des SUSAN-Notstandsystems mit Kühlwasser zum Einsatz gebracht werden sollen, zweifelsohne um mobile mechanische Ausrüstung i.S.v. ENSI-G01 Ziff. 4.1.5 handelt, welche als solche der sicherheitstechnischen Klassierung entzogen ist.

5.5.2 Es gilt, diese Bestimmung auszulegen: Der Wortlaut (grammatikalische Auslegung) "...gelten als mechanisch unklassiert." legt nahe, dass von einer mechanischen Ausrüstung nicht eine bestimmte Fähigkeit oder Eigenschaft - nämlich die feste Installation im Gegensatz zur Mobilität -erwartet wird, um sie sicherheitstechnisch klassieren zu können. Die Anknüpfung erfolgt allein an der Tatsache, dass nur die fest installierten Einrichtungen der sicherheitstechnischen Klassierung unterliegen und mobile Ausrüstung von diesem Prozess ausgenommen wird.

5.5.3 Nichts anderes ergibt eine Auslegung anhand des Zwecks (teleologische Auslegung) der sicherheitstechnischen Klassierung: Deren Ziel ist es demnach nicht, bestimmte Komponenten zu qualifizieren resp. in ihrer Qualität zu bewerten. Es geht darum, deren Wichtigkeit für die Gewährleistung der nuklearen Sicherheit zum Ausdruck zu bringen, um daraus Konsequenzen für den Umgang mit ihnen zu ziehen. Dass eine Komponente nicht klassiert ist, heisst somit nicht, dass sie qualitativ schlechter ist als eine klassierte oder dass sie weniger widerstandsfähig wäre. Es bedeutet allein, dass einer höher klassierten Komponente verhältnismässig mehr Aufmerksamkeit geschenkt werden muss, da sie für die nukleare Sicherheit von grösserer Bedeutung ist (vgl. IAEA SSR-2/1 Ziff. 5.34; IAEA NS-G-1.2 Ziff. 3.26 erster Spiegelstrich). Aus der Tatsache, dass mobile Ausrüstung sicherheitstechnisch nicht klassiert ist, lässt sich deshalb auch nicht ableiten, dass sie nicht genügend qualifiziert wäre, um die Anforderungen an ein Mittel der Stufe 3 zu erfüllen. Demnach kann auch kein näherer Zusammenhang zwischen der sicherheitstechnischen Klassierung und den Sicherheitsebenen der gestaffelten Störfallvorsorge (vgl. unten E. 5.5.5 ff.) abgeleitet werden, geht es doch bei Ersterer um eine Abstufung der Bedeutung für die nukleare Sicherheit, bei Letzterer um die Bereitstellung von bestimmten Mitteln zur Erhaltung eines bestimmten Anlagezustandes durch die Zuordnung einer bestimmten Sicherheitsebene.

5.5.4 Im Übrigen ist der Vorinstanz darin zu folgen, dass die geltende Rechtsordnung weder einen Hinweis darauf gibt, noch den Schluss zulässt, dass auf der Sicherheitsstufe 3 nur sicherheitstechnisch klassierte - und demnach festinstallierte - (Sicherheits)systeme zum Einsatz gebracht werden dürfen.

5.5.5 Das Konzept der gestaffelten Sicherheitsvorsorge sieht vor, dass auf der Sicherheitsebene 3 qualifizierte Sicherheitssysteme zum Einsatz kommen. Gemäss der KEV handelt es sich bei Systemen um eine Kombination von mechanischen oder elektrischen Ausrüstungen, die zur Erfüllung einer bestimmten Funktion - vorliegend einer Sicherheitsfunktion - erforderlich ist (vgl. Anhang 1 Bst. j KEV). Das Schwergewicht des Begriffs "System" liegt demzufolge nach diesem Verständnis auf der Kombination von Komponenten, d.h. auf deren Zusammenwirken, um ein bestimmtes Ergebnis zu erzielen. Im Weiteren beschreibt die Vorinstanz in ihren Richtlinien das Sicherheitssystem als Gesamtheit aller Einrichtungen einer Kernanlage, die die Aufgabe haben, die Anlage vor unzulässigen Beanspruchungen zu schützen und bei Störfällen deren Auswirkungen auf das Betriebspersonal, die Anlage und die Umgebung in den zulässigen Grenzen zu halten (vgl. ENSI-A01, Anhang 1). Auch hier wird das System als Zusammenwirken von Einzelkomponenten verstanden, um ein Ziel - nämlich die Gewährleistung der nuklearen Sicherheit - zu erreichen, allerdings (die ganze Kernanlage) umfassend, d.h. in einem weiteren Sinn, wie die Vorinstanz sich ausdrückt. Dieses Verständnis des Begriffs macht keine Aussage über den Grad der Komplexität eines Systems. Selbst "einfache" Komponenten - wie sie z.B. in mobilen Wasserpumpen gesehen werden können - dürfen demnach als System wahrgenommen werden, insbesondere wenn sie in Kombination mit der zur Speisung des Einströmpfades 4 errichteten Einspeisestelle zielgerichtet zusammenwirken. Im Übrigen sieht IAEA SSR-2/1 Ziff. 2.13-3 auf der Sicherheitsebene 3 nicht alleine Sicherheitssysteme vor, sondern auch - wie selbst die Beschwerdeführer in ihrer Beschwerde darstellen - "engineered safety features" und "accident procedures". Diese sollen dazu fähig sein, den Reaktorkern vor Schaden zu bewahren und den Anlagezustand auf einen sicheren Zustand zurückzubringen. Ausserdem hält IAEA SSR-2/1, Ziff. 5.12 fest, dass - wie auch die Vorinstanz in der angefochtenen Verfügung überzeugend ausführt - neben Systemen auch manuelle Bedienung ("other operator actions") zum Tragen kommen können, sofern die Zeitverhältnisse ausreichend sind (vgl. E. 5.5.9). Immerhin verlangt das Regelwerk, dass die auf Sicherheitsebene 3 eingestuften Systeme qualifizierter Natur sind (vgl. ENSI-AN-8526, Ziff. 1.3).

5.5.6 Die Qualifikation eines Mittels ist darin zu sehen, dass es spezifischen Anforderungen genügt, d.h. eine bestimmte geforderte Leistung zu erbringen vermag. Sie ergibt sich deshalb bezüglich eines Systems daraus, ob sich dieses für die zu bewältigende Aufgabe auszeichnet resp. sich dafür als geeignet erweist, was durch die Erarbeitung eines Konzeptes für den Einsatz und durch ein Prüfprogramm zu verifizieren ist. Die Vorinstanz legt dar, wie die mobilen Pumpen in Zusammenarbeit mit der Einspeisestelle und dem Einlaufbauwerk zum Einsatz gelangen sollen. Sie erörtert die Mobilität der Pumpen in Zusammenhang mit dem unterstellten Hochwasserszenario, die Wartung und Versorgung der Pumpen selbst sowie die Reinigung der Ansaugkörbe, es wird dargestellt, dass eine Redundanz geschaffen wurde, indem vier Pumpen statt der zwei tatsächlich benötigten zur Verfügung stehen und dass die Bedienung durch geschultes Personal gewährleistet ist. Die Vorinstanz hat somit das Einsatzkonzept der mobilen Pumpen überprüft und ist zum Schluss gekommen, dass sie ihren Zweck, die Versorgung des Einströmpfades 4 mit Kühlwasser sicherzustellen, erfüllen können und sich dafür qualifiziert haben.

5.5.7 Demzufolge hat die Vorinstanz überzeugend dargelegt, dass zur Bewältigung eines Auslegungsstörfalls der Sicherheitsebene 3 auch mobile Ausrüstung zuzulassen ist, sofern die notwendige Wirkung erwiesenermassen erzielt wird. Dieser Schluss erfüllt sodann auch das Erfordernis von Art. 8 der Gefährdungsannahmeverordnung, wonach der Bewilligungsinhaber für jeden angenommenen Störfall nachzuweisen hat, dass die für die Umsetzung des Konzepts der gestaffelten Sicherheitsvorsorge getroffenen technischen und organisatorischen Schutzmassnahmen wirksam sind und dass die benötigten Bauwerke und Anlageteile die auf sie wirkenden Störfalllasten abzutragen vermögen.

5.5.8 Der Einsatz mobiler Pumpen auf der Sicherheitsebene 3 berücksichtigt sodann weitgehend auch die technischen Gebote zur Erfüllung des in Art. 5 Abs. 1 KEG festgehaltenen Grundsatzes der mehrfachen Ausführung. Demzufolge sollen Sicherheitssysteme ihre Funktion auch dann ausführen können, wenn ein beliebiger, vom auslösenden Ereignis unabhängiger Einzelfehler - wie von der Vorinstanz im Rahmen ihres geforderten deterministischen Nachweises durch den Ausfall des Notstromdieselaggregates unterstellt - eintritt. Deshalb sollen Sicherheitssysteme redundant ausgeführt werden, d.h. in Bezug auf den vorliegenden Fall wird das Vorhandensein von mehr funktionsbereiter Ausrüstung verlangt, als zur Erfüllung der vorgesehenen Sicherheitsfunktion notwendig ist. Durch das Vorhandensein von 4 mobilen Pumpen gegenüber der zwei tatsächlich benötigten, ist dieses Kriterium erfüllt. Auch das Kriterium der Separation ist weitgehend erfüllt: Die mobilen Pumpen sind funktionell unabhängig und können - wie den Akten zu entnehmen ist - auch flexibel an verschiedenen Standorten und somit auch räumlich getrennt zum Einsatz gelangen. Auch dem Grundsatz der Diversität wird weitgehend Rechnung getragen: Zwar werden die redundanten Systemstränge nicht verschiedenartig ausgeführt, doch besteht zusammen mit den weiteren Einströmpfaden eine Diversität bei der Zufuhr von Kühlwasser zum SUSAN-Notstandsystem (vgl. Art. 10 Abs. 1 KEV; Kommentar Energierecht, Art. 5 KEV Ziff. 29; WENRA, Guidance Document Issue T: Natural Hazards, 11. Oktober 2016, zu Ziff. T5.3, S. 16).

5.5.9 Art. 5 Abs. 1 KEG hält sodann fest, dass Betriebs- und Sicherheitssysteme derart automatisiert ausgeführt werden sollen, dass bei Auslegungsstörfällen während einer gewissen Zeit nach dem auslösenden Ereignis keine sicherheitsrelevanten Eingriffe des Betriebspersonals erforderlich sind. Art. 10 Abs. 1 Bst. f KEV legt fest, dass diese Zeitspanne 30 Min. beträgt, dass danach jedoch auf sicherheitsrelevante Eingriffe des Personals zur Beherrschung von Störfällen nach Art. 8 KEV abgestellt werden dürfe (vgl. Kommentar Energierecht, Art. 5 KEG Ziff. 31). Diese Bestimmung kann im vorliegenden Störfallszenario nur von untergeordneter Bedeutung sein. Ihr Sinn liegt darin, dem Betriebspersonal bei überraschend und plötzlich eintretendem Ereignisfall wertvolle Zeit zu verschaffen, sich zu organisieren und um Notfallprozeduren zu aktivieren. In dieser Zeit nach einem Ereignis wird offenbar davon ausgegangen, dass automatisiert ansprechende Sicherheitssysteme zuverlässiger arbeiten als der Mensch. Im Allgemeinen ist dieser Meinung zuzustimmen. Allerdings muss vorliegend in Betracht gezogen werden, dass das Aare-Hochwasser gemäss Szenario aufgrund extremer - über Tage andauernder - Niederschläge graduell ansteigt und erst nach mehreren Stunden das Arealniveau erreicht resp. das Werksgelände überflutet. Zumal es unter diesen Umständen nicht gelingt, einen auslösenden Zeitpunkt genau zu bestimmen und davon ausgegangen werden kann, dass dem Betriebspersonal in diesem Szenario ausreichend Zeit zur Verfügung steht und dass es geplant, trainiert und deshalb besonnen handelt, erscheint es nicht angemessen, die fehlende Automatisierung als ausschlaggebendes Kriterium für eine Nichtkreditierung des Einströmpfades 4 mit mobilen Pumpen heranzuziehen (vgl. in diesem Sinne auch ENSI-A01, Ziff. 4.4.4 und IAEA SSR-2/1, Ziff. 5.11 ff.; WENRA, Guidance Document Issue T: Natural Hazards, 11. Oktober 2016, zu Ziff. T5.3, S. 16).

5.6 Die Beschwerdeführer machen im Weiteren geltend, dass es das Konzept der gestaffelten Sicherheitsvorsorge nicht zulasse, Defizite auf einer unteren Sicherheitsebene durch die Mittel der darüber liegenden Ebene auszugleichen.

5.6.1 Diese Ansicht trifft zu. Das Konzept der gestaffelten Sicherheitsvorsorge sieht vor, dass die verschiedenen Sicherheitsebenen unabhängig voneinander sind, d.h. dass jede Ebene mit seinen zugewiesenen Mitteln das für die Ebene vorgegebene Ziel zu erreichen hat (vgl. Art. 1 Bst. c Gefährdungsannahmeverordnung). Dieses Konzept würde ausgehöhlt, wenn die für eine bestimmte Ebene "reservierten" Mittel zugunsten der Behebung von Lücken auf einer anderen Ebene abgezogen würden. So sieht auch die IAEA in ihren Safety Standards vor, dass eine Unabhängigkeit der Ebenen "soweit praktizierbar" aufrecht erhalten werden soll, sodass ein Versagen auf einer Sicherheitsebene nicht die Wirkung der anderen Sicherheitsebenen (durch eine Verminderung deren Mittel) schmälert (vgl. IAEA SSR -2/1, Ziff. 4.13A).

5.6.2 Dennoch sagt diese Konzeption nicht aus, dass Mittel, welche ihrer Charakteristik resp. ihrer Eigenschaft nach als Mittel zur Bewältigung von Accident-Management-Aufgaben konzipiert sind, auf keiner anderen Sicherheitsebene eingesetzt werden dürfen. Das Konzept verlangt allein, dass für jede Sicherheitsebene jederzeit eine komplette Ausrüstung zur Bewältigung der auf dieser Sicherheitsebene anfallenden Aufgaben bereitstehen muss. Tatsächlich handelt es sich bei mobilen Pumpen - wie die Vorinstanz selbst sowie die Beschwerdeführer ausführen - um ein klassisches Mittel des Accident-Managements, welches auf der Sicherheitsebene 4 zum Tragen kommt. Die Tatsache, dass die Beschwerdegegnerin vorsieht, solche Mittel auf der Sicherheitsebene 3 zum Einsatz zu bringen, bedeutet nicht automatisch, dass diese der Sicherheitsebene 4 entzogen werden. Auch ist der geltenden Rechtsordnung nicht zu entnehmen, dass der Einsatz von Accident-Management-Mitteln auf der Sicherheitsebene 3 nicht zugelassen wäre.

Allerdings ist weder der angefochtenen Verfügung, noch den Stellungnahmen von Vorinstanz oder Beschwerdegegnerin zu entnehmen, dass die Mittel zur Störfallbekämpfung des KKM den Sicherheitsebenen in Qualität und Quantität derart zugeteilt sind, dass das Funktionieren des Konzepts der gestaffelten Sicherheitsvorsorge gewährleistet ist, ohne die Leistung der Mittel auf der Sicherheitsebene 4 durch den Einsatz der vier mobilen Pumpen auf der Sicherheitsebene 3 zu schwächen (vgl. IAEA SSR-2/1, Requirement 7, Ziff. 4.10). Dies wird noch nachzuholen sein.

5.7 Somit steht fest, dass grundsätzlich auch mobile Ausrüstungen zur Bewältigung eines Störfalls auf der Sicherheitsstufe 3 zum Einsatz gelangen und demzufolge bei Erbringung der geforderten Wirkung für den deterministischen Nachweis kreditiert werden können. Angesichts der Tatsache, dass es sich beim KKM um ein in Betrieb befindliches Kraftwerk handelt, ist eine solche Auffassung denn auch den konkreten Gegebenheiten angemessen: Bestehende Kraftwerke können nicht in jedem Punkt die heutigen Anforderungen an neue Anlagen erfüllen. Eine Nachrüstung hat insofern stattzufinden, als dies nach der Erfahrung und dem Stand der Nachrüstungstechnik notwendig ist und darüber hinaus, soweit dies zu einer weiteren Verminderung der Gefährdung beiträgt, angemessen ist. Die Installation des Einströmpfades 4 stellt eine Ergänzung des SUSAN-Notstandsystems dar, zumal der Einströmpfad 1 bereits kreditiert und der deterministische Nachweis der Beherrschung eines Extremhochwassers in der AN ENSI 11/1481 als erbracht bezeichnet wurde. Insofern trägt der Einströmpfad 4 unter Einsatz der mobilen Pumpen zu einer weiteren Verminderung der Gefährdung bei. Den Anforderungen an die nukleare Sicherheit wird somit durch den Einsatz mobiler Pumpen zur Bespeisung des Einströmpfades 4 ausreichend Rechnung getragen (vgl. Botschaft KEG, BBl 2001 2759; IAEA SSR-2/1, The IAEA Safety Standards, Application of the IAEA Safety Standards; WENRA Issue E, Ziff. E 2.1 ff.; ENSI-AN-8526, Ziff. 6.1; Kessler Coendet/Schefer, in: Kommentar Energierecht, a.a.O., Art. 4 KEG Rz. 19, 37; Marti, in: Kommentar Energierecht, a.a.O., Art. 22 KEG Rz. 17 ff.). Ausserdem ist eine solche Beurteilung auch im Sinne der bundesgerichtlichen Rechtsprechung, welche darlegt, dass es kein Null-Risiko geben kann, ohne die Kernkraftwerke ganz abzustellen. In diesem Sinne ist der Einsatz mobiler Pumpen denn auch als Massnahme zu sehen, welche - in Anknüpfung an ihre Wirkung - bei Vorliegen eines Auslegungsstörfalls eine Gefährdung wirksam begrenzen kann (vgl. BGE 139 II 185 E. 11.3ff.).

5.8 Zusammenfassend ist festzuhalten, dass eine Kreditierung von mobilen Pumpen sowie der unklassierten Einspeisestelle zur Bewältigung der Notkühlung im KKM im Rahmen eines Extremhochwassers nicht von vorneherein ausgeschlossen werden kann. Aufgrund der erfolgten Erwägungen unter Beachtung der notwendigen Zurückhaltung bei der Kognition (vgl. E. 2) ist denn auch nicht ersichtlich, dass die Vorinstanz ihre Aufsichtspflicht verletzt hat, indem sie gemäss Beschwerde in unrechtmässiger Weise den deterministischen Nachweis zur Beherrschung eines 10'000-jährlichen Hochwassers als erbracht angenommen hat. Die Beschwerde ist in diesem Punkt abzuweisen.

Hingegen hat es die Vorinstanz unterlassen, die Rolle der mobilen Pumpen im Gesamtkonzept der gestaffelten Sicherheitsvorsorge zu untersuchen. Insbesondere hat sie nicht dargelegt, dass ein Einsatz der mobilen Pumpen - welche i.d.R. auf der Sicherheitsebene 4 als Accident-Management-Mittel zum Einsatz gelangen - bei deren Einsatz auf der Sicherheitseben 3 das Leistungspotential auf der Sicherheitsebene 4 nicht beeinträchtigt.

6.
Wie soeben dargelegt wurde, ist eine Kreditierung von Accident-Management-Mitteln und den zugehörigen Bedienungshandlungen auch für die Sicherheitsebene 3 unter gewissen Voraussetzungen möglich. Entscheidend für den vorliegend zu beurteilenden Einsatz von mobilen Pumpen sind u.a. die zeitlichen Verhältnisse, insbesondere jene des Hochwasserszenarios, da es insbesondere diese zeitlichen Verhältnisse sind, welche darüber entscheiden, ob auf die Automatisierung als Aspekt der Qualifikation eines Sicherheitssystems auf der Sicherheitsebene 3 verzichtet werden kann (vgl. E. 5.5.9).

6.1 Als die Vorinstanz von der Beschwerdegegnerin den deterministischen Nachweis einforderte, beauftragte Letztere eine Drittfirma mit den Untersuchungen, wobei von dieser ein weiteres Unternehmen für die Erarbeitung der Modelle für das 10'000-jährliche Hochwasser sowie die damit verbundene Beurteilung der zu erwartenden Geschiebe- und Schwemmgutmengen beigezogen wurde. Diese Hochwasserbewertung hat den Charakter eines Gutachtens als Basis für den durch das KKM resp. die Beschwerdegegnerin vorgelegten Arbeitsbericht aus dem Jahr 2011 resp. 2013. Diese Modelle bildeten über die gesamte Verfahrensdauer hinweg die Basis für die Gefährdungsannahme betreffend die Überflutung des KKM durch die Aare. Den Akten ist nicht zu entnehmen, dass diese Modellberechnungen durch eine Fachstelle des Bundes oder durch kantonale Fachbehörden überprüft oder kommentiert wurden. Eine solche Verifizierung von unabhängiger Stelle wäre durchaus angebracht gewesen. Dennoch hat sich die Vorinstanz über das gesamte Verfahren hinweg auf diese Beurteilungen gestützt.

6.2 Von den zeitlichen Verhältnissen des Wasseranstiegs und der Fluthöhe selber hängt namentlich ab, ob die mobilen Pumpen rechtzeitig und zweckmässig zum Einsatz gebracht und in Betrieb genommen werden können. Ebenso hängt von der Entwicklung des Hochwassers ab, wie der Einsatz der mobilen Pumpen in Bezug auf deren Bedienung verläuft, d.h. wie und ob sie versorgt und gewartet werden können und müssen. Diese Informationen sind Teil der Antwort auf die Frage, ob die mobilen Pumpen die auf der Sicherheitsebene 3 geforderte Wirkung erzielen können und sind letztendlich ausschlaggebend dafür, ob deren Kreditierung vorgenommen werden kann. Zwar sind vorliegend diese Angaben den Akten zu entnehmen und überzeugen auch in ihrer Detaillierung und Logik. Doch stützen sie sich einzig auf das nicht von unabhängiger Seite verifizierte Gutachten einer im Zuge der Untersuchung beauftragten Drittfirma.

6.3 Während der Verfahrensdauer sind weitere bedeutende Hochwasser (z.B. Aarehochwasser vom Mai 2015) oder drohende Hochwasser aufgetreten. Ausserdem hat das Bundesamt für Umwelt (BAFU) das Projekt EXAR (Gefahrengrundlagen für Extremhochwasser an Aare und Rhein; vgl. www.bafu.admin.ch = Themen = Grossprojekte Hochwasserschutz, aufgerufen am 4. April 2018) lanciert. Dieses beschäftigt sich seit 2013 (Vorstudien 2013-2015) u.a. auch mit Niederschlags- und Abflussszenarien. Da die Vorinstanz selbst an diesem Projekt mitarbeitet, ist ein Beizug der Fachstellen - wenigstens eine Stellungnahme zum verwendeten Hochwasserszenario unter Einbezug aktueller Erkenntnisse - heute unumgänglich. Dies wird nachzuholen sein.

7.
Mit Verfügung vom 14. November 2013 forderte die Vorinstanz die Beschwerdegegnerin u.a. auf, das KKM habe bis zum Ende der Jahresrevision 2015 eine zusätzliche, von der Aare unabhängige Kühlwasserversorgung für das SUSAN-Notstandsystem nachzurüsten. Diese sog. diversitäre Wärmesenke wurde im Jahr 2015 mit dem Einbezug des Hochreservoirs Runtigenrain (inkl. Erneuerung des Grundwasserpumpwerks der REWAG) in das Notstand-Kühlwassersystem umgesetzt. Es konnte demzufolge jedoch weder im Arbeitsbericht, noch in der AN ENSI 11/1481 (Realakt) berücksichtigt werden (vgl. dazu Eidgenössische Kommission für nukleare Sicherheit [KNS], Stellungnahme der KNS betreffend Forderungen des ENSI für den Weiterbetrieb des Kernkraftwerks Mühleberg bis zur endgültigen Ausserbetriebnahme 2019, KNS-02683.4 resp. AN-AM-2014/034, August 2015, Ziff. 3.8). Im Sinne der Verfahrensökonomie ist anschliessend auf die Kreditierbarkeit dieses Hochreservoirs einzugehen (vgl. E. 1.3.4 f.).

7.1 Die Beschwerdeführer machen im Wesentlichen geltend, das Hochreservoir sowie seine Zuleitungen könnten als ausserhalb des Kraftwerkgeländes liegende Bauten sicherheitstechnisch nicht klassiert werden. Die sicherheitstechnische Klassierung sei jedoch abhängig von der zu erbringenden Sicherheitsfunktion und entsprechend für sämtliche Bauwerke und Ausrüstungen erforderlich, welche diese Sicherheitsfunktion zu erbringen hätten. Als sicherheitstechnisch unklassierte Bauten könnten das Hochreservoir sowie seine Zuleitungen deshalb auch nicht für den deterministischen Nachweis kreditiert werden. Vielmehr seien diese für Accident-Management-Zwecke der Sicherheitsebene 4 vorgesehen.

7.2 Die Vorinstanz legt in ihrer Verfügung vom 25. Mai 2016 im Wesentlichen dar, mit einer Kühlwassereinspeisung aus dem Hochreservoir Runtigenrain könne die Nachwärmeabfuhr auch bei einer potenziellen Verstopfung des SUSAN-Einlaufbauwerks infolge eines extremen Hochwassers zuverlässig und wirksam gewährleistet werden. Die Inbetriebsetzung erfordere lediglich wenige Handgriffe innerhalb des überflutungssicheren SUSAN-Gebäudes, weshalb das Hochreservoir als zuverlässige und von der Aare unabhängige Wasserbezugsquelle kreditiert werden könne.

7.3 Die Beschwerdegegnerin führt in ihrer Beschwerdeantwort vom 6. Oktober im Wesentlichen aus, die fest installierte Kühlwasserversorgung über das Hochreservoir sei nur deshalb nicht durchgehend sicherheitstechnisch klassiert, weil Teile davon ausserhalb des Kraftwerkareals liegen würden. Da dieser Versorgungsstrang jedoch aus fest installierten Bauten und Anlageteilen bestehe, sei er bereits deshalb für die deterministische Beherrschung eines Auslegungsstörfalls kreditierungsfähig. Zumal Art. 10 Abs. 1 bst. b KEV verlange, dass die Kühlung des Reaktorkerns diversitär zu erfolgen habe, also auch Kühlwasserquellen ausserhalb des Kraftwerkareals erfordere. Die Einbindung des Hochreservoirs in die regionalen Wasserversorgungen gewährleiste ausserdem die jederzeitige Verfügbarkeit von ausreichenden Wassermengen für die Bespeisung des SUSAN-Notstandsystems.

7.4 Betreffend die Frage einer sicherheitstechnischen Klassierung des Hochreservoirs und seiner Zuleitungen wird grundsätzlich auf die bereits gemachten Ausführungen verwiesen (vgl. E. 4.5.6 ff. und 5.5 ff.).

7.4.1 Von den Parteien nicht bestritten ist, dass das Hochreservoir aufgrund seiner Lage ausserhalb des Werksgeländes sicherheitstechnisch unklassiert ist (das Hochreservoir ist mit seinem Leitungssystem in Analogie der mechanischen Ausrüstung zuzuordnen; vgl. ENSI-G01, Ziff. 4.1 und Erläuterungsbericht G-01, Ziff. 3.3). Den oben gemachten Erwägungen folgend (vgl. E. 5.5.1 ff.) ist eine solche Klassierung sodann aber auch nicht notwendig, um das Hochreservoir im Hinblick auf seine Aufgabe im Rahmen der gestaffelten Sicherheitsvorsorge zu erfüllen, drückt doch eine sicherheitstechnische Klassierung nur aus, welche Bedeutung der Anlageteil für die nukleare Sicherheit hat und welche Aufmerksamkeit ihr geschenkt werden muss. Dies ändert nichts daran, dass dem Hochreservoir mit seinem Leitungssystem die Aufmerksamkeit zukommen muss, wie es die Grundsätze für die Erstellung von nuklearen Bauten verlangen (vgl. IAEA SSR-2/1, Requirement 11 und Ziff. 4.19).

7.4.2 Diese Auffassung wird dadurch bestätigt, indem die sicherheitstechnische Klassierung folgendes vorsieht: Von der sicherheitstechnischen Klassierung wird die Einstufung in Erdbebenklassen und letztendlich in Bauwerksklassen abgeleitet. Gemäss ENSI-G01 Ziff. 4.4.1 werden mechanische Ausrüstungen anhand ihrer sicherheitstechnischen Klassierung in zwei Erdbebenklassen (EK) eingestuft. Dabei ist zu beachten, dass selbst unklassierte mechanische Ausrüstung als EK I zu klassieren ist, sofern deren erdbebenbedingtes Versagen die Funktion oder Integrität von mechanischen Ausrüstungen der SK 1 bis 3 gefährden kann. Ohne Zweifel ist dies vorliegend der Fall, zumal die Versorgung des SUSAN-Notstandsystems als Sicherheitsfunktion zu bezeichnen ist. Als EK I-klassiertes Bauwerk ist das Hochreservoir konsequenterweise in die nukleare Bauwerksklasse I (BK I) einzustufen. Hieraus ergibt sich wiederum, wie ein solcher Anlageteil auszulegen ist und welche Aufmerksamkeit ihm zukommen soll (vgl. ENSI-G01, Ziff. 4.4).

Aus der Tatsache, dass ein Anlageteil sicherheitstechnisch (mechanisch) unklassiert ist, kann demzufolge nicht abgeleitet werden, dass dessen Kreditierung für die Erbringung des deterministischen Nachweises auszuschliessen ist: Immerhin können auch sicherheitstechnisch unklassierte Bauten und Anlagen einer Erdbebenklasse und damit einer nuklearen Bauklasse zugewiesen werden.

7.4.3 Aufgrund der oben in E. 5.5 ff. betreffend die mobilen Pumpen gemachten Ausführungen ist bereits ersichtlich, weshalb das Hochreservoir auf der Sicherheitsebene 3 des Konzeptes der gestaffelten Sicherheitsvorsorge einbezogen werden kann. Selbst wenn das Hochreservoir als Accident-Management-Mittel betrachtet wird, ist ein Einsatz im Rahmen eines Auslegungsstörfalls nicht von vorneherein auszuschliessen: Auch das Hochreservoir kann als Sicherheitssystem gesehen werden, doch ist der Nachweis zu erbringen, dass es für die Aufgabe der zuverlässigen Versorgung des SUSAN-Notstandsystems mit Kühlwasser auch qualifiziert ist und das Konzept der gestaffelten Sicherheitsvorsorge durch den Einsatz auf der Sicherheitsebene 3 nicht ausgehöhlt wird (vgl. E. 5.6.2). Diese Auffassung steht auch Art. 5 Abs. 1 KEG nicht entgegen. Dieser sieht vor, dass Auslegungsstörfälle durch die Auslegung der Anlage beherrscht werden sollen. Die bedeutet, dass die Anlage ausreichende sicherheitsgerichtete Vorkehren für den Normalbetrieb und für Störfälle aufzuweisen hat. Dass jedoch zur Beherrschung eines Auslegungsstörfalls einzig und allein anlagen- resp. auslegungsinterne Mittel herangezogen werden dürfen, kann daraus nicht abgeleitet werden (vgl. Kessler Coendet/Schefer, Kommentar Energierecht, Art. 5 KEG Rz. 7).

7.4.4 Damit steht fest, dass auch das Hochreservoir mit seinem Leitungssystem grundsätzlich für den deterministischen Nachweis kreditierbar ist.

Dennoch ist folgendes festzuhalten: Die Vorinstanz sowie die Beschwerdegegnerin legen dar, dass mit dem Einbezug des Hochreservoirs in das Kühlwasser-Versorgungssystem des KKM eine diversitäre - d.h. von der Aare als Kühlwasserressource unabhängige - Wärmesenke erstellt worden ist. Dem ist nicht zu wiedersprechen, zeigen die Vorinstanz in ihrer Stellungnahme vom 30. September 2016 und die Beschwerdegegnerin in ihrer Beschwerdeantwort vom 6. Oktober 2016 doch auf, dass das Hochreservoir über die erneuerte Grundwasserfassung und -pumpe der REWAG sowie die Wasserversorgungsnetze der Region Bern sowie des Wasserverbundes Grosses Moos aus verschiedenen Quellen laufend nachgespiesen werden soll. Den Akten ist sodann zu entnehmen, dass zur Notkühlung des Reaktors eine Wassermenge von ca. 130 Liter pro Sekunde benötigt werden und dass das Hochreservoir eine Kapazität von 700 m3 hat, also eine Wassermenge, um den Reaktor rund 1.5 Stunden zu kühlen. Im Weiteren weist die Vorinstanz darauf hin, dass sie bei der Freigabe der geforderten Nachrüstmassnahmen festgestellt habe, dass das Hochreservoir über praktisch unbegrenzte Wasserquellen aus dem regionalen Wasserverbund verfüge.

Aus den Akten geht allerdings nicht hervor, wie die Vorinstanz zu dieser Erkenntnis gekommen ist, um die Kreditierung des Hochreservoirs schlussendlich gutzuheissen. Insbesondere wäre beispielsweise darzulegen, wie die Versorgung resp. der Nachschub an Kühlwasser ausgestaltet ist, wie die Vernetzung der Zuleitungen mit der regionalen Wasserversorgung und die Kapazitäten des Netzes unter Einbezug des gleichzeitigen Bedarfs der Trinkwasserversorgung für die Zivilbevölkerung aussehen. Es fehlt sodann der Einblick in ein Konzept, wie das Hochreservoir zum Einsatz kommt, wie es bewirtschaftet und bespiesen wird, wie die Bedienmannschaft seine Handlungen trainiert hat und ob das Konzept ausexerziert und für zuverlässig sowie jederzeit funktionierend befunden wurde. Kurz gefasst: Es ist nicht ersichtlich, wie die Notkühlung des Reaktors über das Hochreservoir über längere Zeit aufrechterhalten werden soll und kann. Ebenso wird nicht dargelegt, wie die Zusammenarbeit mit der REWAG und allenfalls weiteren Wasserversorgern resp. die Verantwortlichkeiten und Kompetenzen in diesen Verhältnissen geregelt sind, so, wie dies von den Richtlinien der WENRA angestrebt wird (vgl. WENRA, Guidance Document Issue T: Natural Hazards, 11. Oktober 2016, zu Ziff. T5.3, S. 16). Eine erneute Untersuchung durch die Vorinstanz resp. die Beschwerdegegnerin wird diesen Aspekten Rechnung zu tragen haben, um eine Kreditierung des Hochreservoirs als diversitäre Wärmesenke gutheissen zu können.

7.5 Zusammenfassend steht fest, dass auch die Kreditierung des Hochreservoirs Runtigenrain zur Erbringung des deterministischen Nachweises zur Beherrschung eines 10'000-jährlichen Hochwassers nicht grundsätzlich ausgeschlossen werden kann. Insbesondere ist die Beschwerde bezüglich des Feststellungsbegehrens, dass für den Nachweis der Einhaltung der grundlegenden Schutzziele durch die deterministische Störfallanalyse im Sinne von Art. 2 Abs. 1 Gefährdungsannahmeverordnung ausschliesslich sicherheitstechnisch klassierte Bauwerke der nuklearen Bauklasse 1 sowie Ausrüstungen der Sicherheitsklassen SK 1-3 sowie 1E kreditiert werden dürfen, abzuweisen. Dies insbesondere deshalb, da die Vorinstanz im Rahmen ihrer Aufsicht über das KKM vorgenommenen Kreditierung von "Accident-Management"-Massnahmen nicht gegen geltendes Recht verstossen hat.

8.

8.1 Die Beschwerdeführer rügen im Übrigen die Kostenregelung im vorinstanzlichen Verfahren und beantragen sinngemäss, eventualiter sei die Auferlegung von Kosten aufzuheben und zwar selbst dann, wenn die Beschwerde ganz oder teilweise abgewiesen werden sollte. Es sei sodann auf die Erhebung von Kosten für das erstinstanzliche Verfahren zu verzichten, subeventualiter seien diese höchstens auf Fr. 2'000.-- festzusetzen. Sie begründen dies im Wesentlichen damit, dass die von der Vorinstanz geltend gemachten Kosten von Fr. 50'000.-- überhöht seien, sich wohl auf das gesamte Rechtsmittelverfahren beziehen würden und dass die Vorinstanz das Verfahren verkompliziert habe. Selbst wenn die Vorinstanz nur das gemäss Rechtsgrundlage mögliche Maximum des Kostenrahmens von Fr. 7'000.-- auferlege, erweise sich die Kostenauflage deshalb als offensichtlich unhaltbar und willkürlich.

8.2 Die Vorinstanz hält in ihrer Vernehmlassung vom 30. September 2016 an der Auflage der Kosten sowie an deren Bemessung fest.

8.3 Da die Sache zu neuem Entscheid an die Vorinstanz zurückgewiesen und die Verfügung vom 25. Mai 2016 aufgehoben wird, wird die Vorinstanz im Rahmen der nachzuholenden Untersuchung erneut über die den Beschwerdeführern aufzuerlegenden Verfahrenskosten zu befinden haben. Ausführungen zur Festlegung der Kosten im vorinstanzlichen Verfahren erübrigen sich deshalb (vgl. Weissenberger/Hirzel, Praxiskommentar VwVG, Art. 61 Rz. 14).

9.

9.1 Die Beschwerdeinstanz entscheidet in der Sache selbst oder weist diese ausnahmsweise mit verbindlichen Weisungen an die Vorinstanz zurück (Art. 61 Abs. 1 VwVG). Bei der Wahl zwischen diesen beiden Entscheidarten steht dem Gericht ein weiter Ermessensspielraum zu. Liegen sachliche Gründe für eine Rückweisung vor, ist diese regelmässig mit dem Untersuchungsgrundsatz und dem Prinzip eines einfachen und raschen Verfahrens vereinbar. Zur Rückweisung führt insbesondere eine mangelhafte Abklärung des Sachverhalts durch die Vorinstanz, die ohne eine aufwendigere Beweiserhebung nicht behoben werden kann. Die Vorinstanz ist mit den tatsächlichen Verhältnissen besser vertraut und aufgrund ihres Fachwissens im Allgemeinen auch besser in der Lage, die erforderlichen Untersuchungen durchzuführen. Zudem bleibt der betroffenen Partei in diesem Fall der gesetzlich vorgesehene Instanzenzug erhalten (statt vieler Urteil des Bundesverwaltungsgerichts A-1865/2016 vom 14. Dezember 2016 E. 5 m.w.H.; Weissenberger/Hirzel, Praxiskommentar VwVG, Art. 61 Rz. 10).

9.2 Sowohl in der angefochtenen Verfügung als auch in den vor Bundesverwaltungsgericht eingebrachten Stellungnahmen hat sich die Vorinstanz einlässlich mit der Materie auseinandergesetzt. Dabei ist sie sowohl im Vorverfahren als auch im Verfahren vor dem Bundesverwaltungsgericht stets von den durch eine beauftragte Drittfirma erstellten Modellen betreffend Hochwasser und den damit verbundenen Geschiebemengen ausgegangen, ohne Stellungnahmen von kantonale Stellen oder des Bundesamtes für Umwelt (BAFU) einzuholen und zu berücksichtigen. Gerade durch die lange Verfahrensdauer wäre es angebracht gewesen, das Hochwasserszenario unter Einbezug neuer Erkenntnisse und aktueller Untersuchungen von unabhängiger Seite überprüfen zu lassen. Im Weiteren hat die Vorinstanz gemäss den oben gemachten Erwägungen darzulegen, dass die Anforderungen an die Konzeption und Kapazität der Wasserversorgung zugunsten des Hochreservoirs Runtigenrain gegeben sind. Letztendlich fehlt eine tiefere Auseinandersetzung mit der Ausgestaltung des Konzeptes der gestaffelten Sicherheitsvorsorge betreffend der Frage, ob die zur Bewältigung von Auslegungsstörfällen auf der Sicherheitsebene 3 eingebundenen mobilen Pumpen sowie das Hochreservoir Runtigenrain - beides typischerweise Accident-Management-Mittel der Sicherheitsebene 4 - die Leistung auf der Sicherheitsebene 4 nicht schwächen. Diesbezüglich hat die Vorinstanz die entsprechenden Untersuchungen zu veranlassen und einem Entscheid betreffend die Erbringung des deterministischen Nachweises zugrunde zu legen.

9.3 Dem Bundesverwaltungsgericht ist es mangels Kenntnissen von Grundlagen und Materie vorliegend nicht möglich, ohne eine aufwendige Untersuchung über diese Materien zu befinden und abschliessend zu beurteilen, ob die mobilen Pumpen sowie das Hochreservoir Runtigenrain in Verletzung des Konzeptes der gestaffelten Sicherheitsvorsorge und letzten Endes der Grundsätze der nuklearen Sicherheit gemäss Art. 4 ff . KEG kreditiert wurden. Die Vorinstanz, das von dieser als Fachbehörde beizuziehende Bundesamt für Umwelt (BAFU) sowie kantonale Umweltfachstellen sind überdies besser mit der Materie vertraut als das Bundesverwaltungsgericht. Eine Heilung des Mangels ist somit nicht möglich. Angesichts der konkreten Umstände erscheint es daher angezeigt, die Angelegenheit zur materiellen Prüfung und neuem Entscheid an die Vorinstanz zurückzuweisen (vgl. Moser/Beusch/Kneubühler, a.a.O., Rz. 3.194). Insofern ist die Beschwerde gutzuheissen.

10.
Die Beschwerde ist demnach teilweise gutzuheissen, die angefochtene Verfügung aufzuheben und die Angelegenheit zu neuem Entscheid im Sinne der Erwägungen an die Vorinstanz zurückzuweisen. Im Übrigen ist die Beschwerde abzuweisen.

11.

11.1 Die Verfahrenskosten setzen sich aus der Gerichtsgebühr (Spruchgebühr) und den Auslagen zusammen (Art. 1 Abs. 1 des Reglements vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht [VGKE, SR 173.320.2]). Sie werden in der Regel der unterliegenden Partei auferlegt. Vorinstanzen werden unabhängig vom Verfahren keine Verfahrenskosten auferlegt (Art. 63 Abs. 2 VwVG). Im Falle einer Rückweisung der Streitsache an die Vorinstanz mit noch offenem Verfahrensausgang gilt nach konstanter Rechtsprechung die beschwerdeführende Partei als obsiegend (Urteile des Bundesverwaltungsgerichts A-5459/2015 vom 27. Dezember 2016 E. 8.1 und A-1865/2016 vom 14. Dezember 2016 E. 6, je m.w.H.; Kölz/Häner/Bertschi, a.a.O., Rz. 1173), unabhängig davon, ob die Rückweisung beantragt worden ist. Umgekehrt ist der Beschwerdegegner grundsätzlich als unterliegend zu betrachten (zum Ganzen Urteil des Bundesverwaltungsgerichts A-4186/2015 vom 28. Januar 2016 E. 10.1 m.w.H.).

Der unterliegenden Beschwerdegegnerin sind demzufolge die auf Fr. 5'000.-- festzusetzenden Verfahrenskosten (vgl. Art. 1 ff . VGKE) aufzuerlegen (vgl. Art. 63 Abs. 2 VwVG). Der von den Beschwerdeführern geleistete Kostenvorschuss ist ihnen nach Eintritt der Rechtskraft dieses Urteils zurückzuerstatten.

11.2 Nach Art. 64 Abs. 1 VwVG i.V.m. Art. 7 ff . VGKE kann die Beschwerdeinstanz der ganz oder teilweise obsiegenden Partei von Amtes wegen oder auf Begehren eine Entschädigung für ihr erwachsene notwendige und verhältnismässig hohe Kosten zusprechen. Diese Entschädigung umfasst die Kosten der Vertretung sowie allfällige weitere Auslagen der Partei (Art. 8 Abs. 1 VGKE).

Der Vertreter der Beschwerdeführer hat vorliegend eine Honorarnote eingereicht, welche den Aufwand für das Verfahren vor Bundesverwaltungsgericht auf 192.25 Stunden beziffert, ohne einen Stundenansatz zur Anwendung zu bringen und einen Totalbetrag zu nennen. Dazu macht er Auslagen in der Höhe von Fr. 535.60 geltend. Die anwaltlich vertretenen Beschwerdeführer haben aufgrund ihres Obsiegens Anspruch auf eine Parteientschädigung. Angesichts des hohen Komplexität der Sache, aber auch unter Berücksichtigung der Tatsache, dass die Beschwerde nur teilweise gutgeheissen wird sowie der Feststellung, dass sich die Rechtsschriften der beschwerdeführenden Partei als ausschweifend erweisen, dadurch übertrieben lang ausgefallen sind und sich wiederholen, erscheint aus Sicht des Gerichts eine Parteientschädigung von insgesamt Fr. 20'000.-- (inkl. Auslagen) gemäss Art. 9 Abs. 1 Bst. b VGKE als angemessen. Die Parteientschädigung umfasst keinen Mehrwertsteuerzuschlag im Sinne von Art. 9 Abs. 1 Bst. c VGKE. Sie wird der Beschwerdegegnerin zur Bezahlung auferlegt. Die Vorinstanz hat von vornherein keinen entsprechenden Anspruch (Art. 7 Abs. 3 VGKE).

Demnach erkennt das Bundesverwaltungsgericht:

1.
Die Beschwerde wird teilweise gutgeheissen.

Die angefochtene Verfügung vom 25. Mai 2016 wird aufgehoben und die Sache zur Neubeurteilung im Sinne der Erwägungen an die Vorinstanz zurückgewiesen. Im Übrigen wird die Beschwerde abgewiesen.

2.
Die Verfahrenskosten werden auf Fr. 5'000.-- festgesetzt und der Beschwerdegegnerin zur Bezahlung auferlegt. Dieser Betrag ist innert 30 Tagen nach Eintritt der Rechtskraft des vorliegenden Urteils zugunsten der Gerichtskasse zu überweisen. Die Zustellung eines Einzahlungsscheins erfolgt mit separater Post.

Der von den Beschwerdeführern geleistete Kostenvorschuss in der Höhe von Fr. 2'000.-- wird ihnen nach Eintritt der Rechtskraft des vorliegenden Entscheids zurückerstattet.

3.
Den Beschwerdeführern wird eine Parteientschädigung in der Höhe von Fr. 21'600.-- (inkl. Auslagen) zugesprochen. Diese ist ihnen von der Beschwerdegegnerin nach Eintritt der Rechtskraft des vorliegenden Urteils zu entrichten.

4.
Dieses Urteil geht an:

- die Beschwerdeführer (Gerichtsurkunde)

- die Beschwerdegegnerin (Gerichtsurkunde)

- die Vorinstanz (Gerichtsurkunde)

Der vorsitzende Richter: Der Gerichtsschreiber:

Christoph Bandli Stephan Metzger

Rechtsmittelbelehrung:

Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim Bundesgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtlichen Angelegenheiten geführt werden (Art. 82 ff ., 90 ff. und 100 BGG). Die Rechtsschrift ist in einer Amtssprache abzufassen und hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten. Der angefochtene Entscheid und die Beweismittel sind, soweit sie der Beschwerdeführer in Händen hat, beizulegen (Art. 42 BGG).

Versand:

SR 172.021 Legge federale del 20 dicembre 1968 sulla procedura amministrativa (PA) PA Art. 5
¹	Sono decisioni i provvedimenti delle autorità nel singolo caso, fondati sul diritto pubblico federale e concernenti:
^a	la costituzione, la modificazione o l'annullamento di diritti o di obblighi;
^b	l'accertamento dell'esistenza, dell'inesistenza o dell'estensione di diritti o di obblighi;
^c	il rigetto o la dichiarazione d'inammissibilità d'istanze dirette alla costituzione, alla modificazione, all'annullamento o all'accertamento di diritti o di obblighi.
²	Sono decisioni anche quelle in materia d'esecuzione (art. 41 cpv. 1 lett. a e b), le decisioni incidentali (art. 45 e 46), le decisioni su opposizione (art. 30 cpv. 2 lett. b e 74), le decisioni su ricorso (art. 61), le decisioni in sede di revisione (art. 68) e l'interpretazione (art. 69).24
³	Le dichiarazioni di un'autorità che rifiuta o solleva pretese da far valere mediante azione non sono considerate decisioni.

SR 173.32 Legge del 17 giugno 2005 sul Tribunale amministrativo federale (LTAF) LTAF Art. 32 Eccezioni
¹	Il ricorso è inammissibile contro:
^a	le decisioni in materia di sicurezza interna o esterna del Paese, neutralità, protezione diplomatica e altri affari esteri, in quanto il diritto internazionale pubblico non conferisca un diritto al giudizio da parte di un tribunale;
^b	le decisioni in materia di diritto di voto dei cittadini nonché di elezioni e votazioni popolari;
^c	le decisioni in materia di salario al merito del personale federale, in quanto non concernano la parità dei sessi;
^d	...
^e	le decisioni nel settore dell'energia nucleare concernenti:
^e1	le autorizzazioni di massima per impianti nucleari,
^e2	l'approvazione del programma di smaltimento,
^e3	la chiusura di depositi geologici in profondità,
^e4	la prova dello smaltimento;
^f	le decisioni in materia di rilascio o estensione di concessioni di infrastrutture ferroviarie;
^g	le decisioni dell'autorità indipendente di ricorso in materia radiotelevisiva;
^h	le decisioni in materia di rilascio di concessioni per case da gioco;
ⁱ	le decisioni in materia di rilascio, modifica o rinnovo della concessione della Società svizzera di radiotelevisione (SSR);
^j	le decisioni in materia di diritto ai sussidi di una scuola universitaria o di un altro istituto accademico.
²	Il ricorso è inoltre inammissibile contro:
^a	le decisioni che, in virtù di un'altra legge federale, possono essere impugnate mediante opposizione o ricorso dinanzi a un'autorità ai sensi dell'articolo 33 lettere c-f;
^b	le decisioni che, in virtù di un'altra legge federale, possono essere impugnate mediante ricorso dinanzi a un'autorità cantonale.

SR 173.32 Legge del 17 giugno 2005 sul Tribunale amministrativo federale (LTAF) LTAF Art. 33 Autorità inferiori - Il ricorso è ammissibile contro le decisioni:
^a	del Consiglio federale e degli organi dell'Assemblea federale in materia di rapporti di lavoro del personale federale, compreso il rifiuto dell'autorizzazione a procedere penalmente;
^b	del Consiglio federale concernenti:
^b1	la destituzione di un membro del Consiglio della banca o della direzione generale o di un loro supplente secondo la legge del 3 ottobre 200325 sulla Banca nazionale,
^b10	la revoca di un membro del consiglio d'amministrazione del Servizio svizzero di assegnazione delle tracce o l'approvazione della risoluzione del rapporto di lavoro del direttore da parte del consiglio d'amministrazione secondo la legge federale del 20 dicembre 195743 sulle ferrovie;
^b2	la revoca di un membro del consiglio di amministrazione dell'Autorità federale di vigilanza sui mercati finanziari o l'approvazione dello scioglimento del rapporto di lavoro del direttore da parte del consiglio di amministrazione secondo la legge del 22 giugno 200726 sulla vigilanza dei mercati finanziari,
^b3	il blocco di valori patrimoniali secondo la legge del 18 dicembre 201528 sui valori patrimoniali di provenienza illecita,
^b4	il divieto di determinate attività secondo la LAIn30,
^b4bis	il divieto di organizzazioni secondo la LAIn,
^b5	la revoca di un membro del Consiglio d'istituto dell'Istituto federale di metrologia secondo la legge federale del 17 giugno 201133 sull'Istituto federale di metrologia,
^b6	la revoca di un membro del consiglio di amministrazione dell'Autorità federale di sorveglianza dei revisori o l'approvazione dello scioglimento del rapporto di lavoro del direttore da parte del consiglio di amministrazione secondo la legge del 16 dicembre 200535 sui revisori,
^b7	la revoca di un membro del Consiglio dell'Istituto svizzero per gli agenti terapeutici secondo la legge del 15 dicembre 200037 sugli agenti terapeutici,
^b8	la revoca di un membro del consiglio di amministrazione dell'istituto secondo la legge del 16 giugno 201739 sui fondi di compensazione,
^b9	la revoca di un membro del consiglio d'Istituto dell'Istituto svizzero di diritto comparato secondo la legge federale del 28 settembre 201841 sull'Istituto svizzero di diritto comparato,
^c	del Tribunale penale federale in materia di rapporti di lavoro dei suoi giudici e del suo personale;
^cbis	del Tribunale federale dei brevetti in materia di rapporti di lavoro dei suoi giudici e del suo personale;
^dquinquies	della Cancelleria federale, dei dipartimenti e dei servizi dell'Amministrazione federale loro subordinati o aggregati amministrativamente;
^e	degli stabilimenti e delle aziende della Confederazione;
^f	delle commissioni federali;
^g	dei tribunali arbitrali costituiti in virtù di contratti di diritto pubblico sottoscritti dalla Confederazione, dai suoi stabilimenti o dalle sue aziende;
^h	delle autorità o organizzazioni indipendenti dall'Amministrazione federale che decidono nell'adempimento di compiti di diritto pubblico loro affidati dalla Confederazione;
ⁱ	delle autorità cantonali, in quanto una legge federale preveda che le loro decisioni sono impugnabili mediante ricorso dinanzi al Tribunale amministrativo federale.

SR 172.021 Legge federale del 20 dicembre 1968 sulla procedura amministrativa (PA) PA Art. 48
¹	Ha diritto di ricorrere chi:
^a	ha partecipato al procedimento dinanzi all'autorità inferiore o è stato privato della possibilità di farlo;
^b	è particolarmente toccato dalla decisione impugnata; e
^c	ha un interesse degno di protezione all'annullamento o alla modificazione della stessa.
²	Ha inoltre diritto di ricorrere ogni persona, organizzazione o autorità cui un'altra legge federale riconosce tale diritto.

SR 101 Costituzione federale della Confederazione Svizzera del 18 aprile 1999 Cost. Art. 10 Diritto alla vita e alla libertà personale - 1 Ognuno ha diritto alla vita. La pena di morte è vietata.
¹	Ognuno ha diritto alla vita. La pena di morte è vietata.
²	Ognuno ha diritto alla libertà personale, in particolare all'integrità fisica e psichica e alla libertà di movimento.
³	La tortura nonché ogni altro genere di trattamento o punizione crudele, inumano o degradante sono vietati.

SR 172.021 Legge federale del 20 dicembre 1968 sulla procedura amministrativa (PA) PA Art. 25^a
¹	Chiunque ha un interesse degno di protezione può esigere che l'autorità competente per atti materiali che si fondano sul diritto pubblico federale e che tangono diritti od obblighi:
^a	ometta, cessi o revochi atti materiali illeciti;
^b	elimini le conseguenze di atti materiali illeciti;
^c	accerti l'illiceità di atti materiali.
²	L'autorità pronuncia mediante decisione formale.

SR 172.021 Legge federale del 20 dicembre 1968 sulla procedura amministrativa (PA) PA Art. 50
¹	Il ricorso dev'essere depositato entro 30 giorni dalla notificazione della decisione.
²	Il ricorso per denegata o ritardata giustizia può essere interposto in ogni tempo.

SR 172.021 Legge federale del 20 dicembre 1968 sulla procedura amministrativa (PA) PA Art. 52
¹	L'atto di ricorso deve contenere le conclusioni, i motivi, l'indicazione dei mezzi di prova e la firma del ricorrente o del suo rappresentante; devono essere allegati la decisione impugnata e i documenti indicati come mezzi di prova, se sono in possesso del ricorrente.
²	Se il ricorso non soddisfa a questi requisiti o se le conclusioni o i motivi del ricorrente non sono sufficientemente chiari, e il ricorso non sembra manifestamente inammissibile, l'autorità di ricorso assegna al ricorrente un breve termine suppletorio per rimediarvi.
³	Essa gli assegna questo termine con la comminatoria che, decorrendo infruttuoso, deciderà secondo l'inserto o, qualora manchino le conclusioni, i motivi oppure la firma, non entrerà nel merito del ricorso.

SR 172.021 Legge federale del 20 dicembre 1968 sulla procedura amministrativa (PA) PA Art. 49 - Il ricorrente può far valere:
^a	la violazione del diritto federale, compreso l'eccesso o l'abuso del potere di apprezzamento;
^b	l'accertamento inesatto o incompleto di fatti giuridicamente rilevanti;
^c	l'inadeguatezza; questa censura non è ammissibile quando un'autorità cantonale ha giudicato come autorità di ricorso.

SR 101 Costituzione federale della Confederazione Svizzera del 18 aprile 1999 Cost. Art. 29 Garanzie procedurali generali - 1 In procedimenti dinanzi ad autorità giudiziarie o amministrative, ognuno ha diritto alla parità ed equità di trattamento, nonché ad essere giudicato entro un termine ragionevole.
¹	In procedimenti dinanzi ad autorità giudiziarie o amministrative, ognuno ha diritto alla parità ed equità di trattamento, nonché ad essere giudicato entro un termine ragionevole.
²	Le parti hanno diritto d'essere sentite.
³	Chi non dispone dei mezzi necessari ha diritto alla gratuità della procedura se la sua causa non sembra priva di probabilità di successo. Ha inoltre diritto al patrocinio gratuito qualora la presenza di un legale sia necessaria per tutelare i suoi diritti.

SR 172.021 Legge federale del 20 dicembre 1968 sulla procedura amministrativa (PA) PA Art. 35
¹	Le decisioni scritte, anche se notificate in forma di lettera, devono essere designate come tali, motivate, e indicare il rimedio giuridico.
²	L'indicazione del rimedio giuridico deve menzionare il rimedio giuridico ordinario ammissibile, l'autorità competente e il termine per interporlo.
³	L'autorità può rinunciare a indicare i motivi e il rimedio giuridico allorché la decisione sia interamente conforme alle domande delle parti e nessuna parte chieda la motivazione.

SR 172.021 Legge federale del 20 dicembre 1968 sulla procedura amministrativa (PA) PA Art. 32
¹	Prima di decidere, l'autorità apprezza tutte le allegazioni rilevanti prodotte dalla parte in tempo utile.
²	Essa può tener conto delle allegazioni tardive che sembrino decisive.

SR 732.1 Legge federale del 21 marzo 2003 sull'energia nucleare (LENu) LENu Art. 4 Principi per lo sfruttamento dell'energia nucleare - 1 Nello sfruttamento dell'energia nucleare occorre proteggere l'uomo e l'ambiente dai pericoli delle radiazioni ionizzanti. Le sostanze radioattive possono essere liberate soltanto nella misura in cui non presentino pericolo. Occorre in particolare prevenire la liberazione inammissibile di sostanze radioattive, nonché l'irradiazione inammissibile delle persone, sia durante il normale esercizio sia in caso di incidente.
¹	Nello sfruttamento dell'energia nucleare occorre proteggere l'uomo e l'ambiente dai pericoli delle radiazioni ionizzanti. Le sostanze radioattive possono essere liberate soltanto nella misura in cui non presentino pericolo. Occorre in particolare prevenire la liberazione inammissibile di sostanze radioattive, nonché l'irradiazione inammissibile delle persone, sia durante il normale esercizio sia in caso di incidente.
²	Occorre tener conto degli effetti a lungo termine sul patrimonio ereditario.
³	Al fine della prevenzione occorre adottare tutti i provvedimenti che:
^a	sono necessari secondo l'esperienza e lo stato della scienza e della tecnica;
^b	contribuiscono a un'ulteriore riduzione del pericolo, sempreché siano adeguati.

SR 732.1 Legge federale del 21 marzo 2003 sull'energia nucleare (LENu) LENu Art. 5 Provvedimenti di protezione - 1 Nella progettazione, nella costruzione e nell'esercizio di impianti nucleari occorre prendere provvedimenti di protezione secondo i principi riconosciuti sul piano internazionale. I provvedimenti di protezione comprendono segnatamente l'impiego di componenti di buona qualità, l'installazione di barriere di sicurezza scaglionate, la realizzazione di molteplici sistemi di sicurezza e la loro automazione, la creazione di un'organizzazione adeguata con personale qualificato, nonché la promozione di una spiccata cultura della sicurezza.
¹	Nella progettazione, nella costruzione e nell'esercizio di impianti nucleari occorre prendere provvedimenti di protezione secondo i principi riconosciuti sul piano internazionale. I provvedimenti di protezione comprendono segnatamente l'impiego di componenti di buona qualità, l'installazione di barriere di sicurezza scaglionate, la realizzazione di molteplici sistemi di sicurezza e la loro automazione, la creazione di un'organizzazione adeguata con personale qualificato, nonché la promozione di una spiccata cultura della sicurezza.
²	Per il caso in cui vengano liberate quantità pericolose di sostanze radioattive occorre preparare provvedimenti di protezione d'emergenza volti a limitare l'entità del danno.
³	Per impedire che la sicurezza interna di impianti nucleari e materiali nucleari sia ridotta da effetti non autorizzati o che materiali nucleari siano sottratti, vanno presi provvedimenti di sicurezza esterna.4
^3bis	La classificazione e il trattamento delle informazioni sono rette dalle disposizioni della legislazione sulla sicurezza delle informazioni in seno alla Confederazione.5
⁴	Il Consiglio federale determina quali provvedimenti di protezione sono necessari.

SR 732.11 Ordinanza del 10 dicembre 2004 sull'energia nucleare (OENu) - Ordinanza sull'energia nucleare OENu Art. 7 Requisiti in materia di sicurezza nucleare interna - Per garantire la sicurezza nucleare interna è necessario osservare i seguenti provvedimenti di protezione:
^a	per la progettazione, la costruzione, la messa in esercizio e l'esercizio di impianti nucleari vanno utilizzati procedimenti, materiali di lavorazione, tecniche, strutture e protocolli organizzativi sperimentati o di elevata qualità comprovata; questo si applica in particolare ai settori della pianificazione, della fabbricazione, della verifica, della direzione d'esercizio, della sorveglianza, della manutenzione, della garanzia di qualità, della valutazione delle esperienze, della disposizione ergonomica come pure della formazione e del perfezionamento;
^b	qualora il funzionamento si allontani dal regime di normale esercizio, l'impianto deve reagire secondo un comportamento per quanto possibile autoregolante e poco sensibile agli errori; a tal scopo dev'essere pianificato per quanto possibile un comportamento caratterizzato da sicurezza inerente; per sicurezza inerente s'intende lo stato in cui un sistema tecnico funziona in modo sicuro di per sé ossia senza sistemi ausiliari;
^c	per tenere sotto controllo gli incidenti, l'impianto dev'essere progettato in modo tale che non possano verificarsi ricadute radiologiche inammissibili nei suoi dintorni; al riguardo vanno previsti sistemi di sicurezza passivi e attivi;
^d	per evitare incidenti che possono liberare sostanze radioattive in quantità pericolose, occorre inoltre adottare misure preventive e lenitive in ambito tecnico, organizzativo e amministrativo.

SR 732.11 Ordinanza del 10 dicembre 2004 sull'energia nucleare (OENu) - Ordinanza sull'energia nucleare OENu Art. 8 Requisiti in materia di protezione contro gli incidenti - 1 Negli impianti nucleari, vanno adottati provvedimenti di protezione contro gli incidenti originati all'interno o all'esterno dell'impianto.
¹	Negli impianti nucleari, vanno adottati provvedimenti di protezione contro gli incidenti originati all'interno o all'esterno dell'impianto.
²	Per incidenti originati all'interno dell'impianto s'intendono in particolare perturbazioni a livello di reattività, fuoriuscite del liquido di raffreddamento, perdite dei pozzi di calore, incendi, inondazioni, influssi meccanici in seguito al mancato funzionamento delle componenti, danneggiamento delle guaine nella manipolazione di elementi di combustibile, mancato funzionamento dei sistemi d'esercizio, azionamento indesiderato o funzionamento difettoso di sistemi di sicurezza ed errore umano.
³	Per incidenti originati all'esterno dell'impianto s'intendono in particolare gli incidenti che possono essere scatenati da terremoti, inondazioni, caduta incidentale di aerei civili e militari sull'impianto, raffiche di vento, fulmini, onde di pressione, incendi, perdite dell'approvvigionamento esterno di energia, danni o interruzioni dell'afflusso esterno di acqua di raffreddamento.
⁴	Nella progettazione di un impianto nucleare ai sensi dell'articolo 7 lettera c, gli incidenti di cui al capoverso 2 e gli incidenti non cagionati da cause naturali secondo il capoverso 3 vanno suddivisi in funzione della frequenza come stabilito nell'articolo 123 capoverso 2 ORaP6. In tale contesto, oltre all'evento iniziatore va ipotizzato un fallimento singolo indipendente. Occorre comprovare che le dosi di cui all'articolo 123 capoverso 2 ORaP possono essere rispettate.7
^4bis	Nella progettazione di un impianto nucleare ai sensi dell'articolo 7 lettera c, in caso di incidenti cagionati da cause naturali secondo il capoverso 3 occorre di volta in volta ipotizzare una causa naturale con una frequenza annua di 10-3 e una causa naturale con una frequenza annua di 10-4. Oltre all'evento naturale iniziatore va ipotizzato un fallimento singolo indipendente. Occorre comprovare che la dose risultante da un singolo incidente di questo tipo per gli individui della popolazione ammonta:
^a	al massimo a 1 mSv per eventi con una frequenza annua di 10-3;
^b	al massimo a 100 mSv per eventi con una frequenza annua di 10-4.8
⁵	Mediante analisi probabilistiche occorre dimostrare che vi è una protezione sufficiente contro incidenti che superano la base di progetto. A questo riguardo possono essere considerate le misure preventive e lenitive di cui all'articolo 7 lettera d.9
⁶	Il Dipartimento federale dell'ambiente, dei trasporti, dell'energia e delle comunicazioni (Dipartimento) fissa in un'ordinanza le ipotesi specifiche di pericolo e i criteri di valutazione.

SR 732.11 Ordinanza del 10 dicembre 2004 sull'energia nucleare (OENu) - Ordinanza sull'energia nucleare OENu Art. 8 Requisiti in materia di protezione contro gli incidenti - 1 Negli impianti nucleari, vanno adottati provvedimenti di protezione contro gli incidenti originati all'interno o all'esterno dell'impianto.
¹	Negli impianti nucleari, vanno adottati provvedimenti di protezione contro gli incidenti originati all'interno o all'esterno dell'impianto.
²	Per incidenti originati all'interno dell'impianto s'intendono in particolare perturbazioni a livello di reattività, fuoriuscite del liquido di raffreddamento, perdite dei pozzi di calore, incendi, inondazioni, influssi meccanici in seguito al mancato funzionamento delle componenti, danneggiamento delle guaine nella manipolazione di elementi di combustibile, mancato funzionamento dei sistemi d'esercizio, azionamento indesiderato o funzionamento difettoso di sistemi di sicurezza ed errore umano.
³	Per incidenti originati all'esterno dell'impianto s'intendono in particolare gli incidenti che possono essere scatenati da terremoti, inondazioni, caduta incidentale di aerei civili e militari sull'impianto, raffiche di vento, fulmini, onde di pressione, incendi, perdite dell'approvvigionamento esterno di energia, danni o interruzioni dell'afflusso esterno di acqua di raffreddamento.
⁴	Nella progettazione di un impianto nucleare ai sensi dell'articolo 7 lettera c, gli incidenti di cui al capoverso 2 e gli incidenti non cagionati da cause naturali secondo il capoverso 3 vanno suddivisi in funzione della frequenza come stabilito nell'articolo 123 capoverso 2 ORaP6. In tale contesto, oltre all'evento iniziatore va ipotizzato un fallimento singolo indipendente. Occorre comprovare che le dosi di cui all'articolo 123 capoverso 2 ORaP possono essere rispettate.7
^4bis	Nella progettazione di un impianto nucleare ai sensi dell'articolo 7 lettera c, in caso di incidenti cagionati da cause naturali secondo il capoverso 3 occorre di volta in volta ipotizzare una causa naturale con una frequenza annua di 10-3 e una causa naturale con una frequenza annua di 10-4. Oltre all'evento naturale iniziatore va ipotizzato un fallimento singolo indipendente. Occorre comprovare che la dose risultante da un singolo incidente di questo tipo per gli individui della popolazione ammonta:
^a	al massimo a 1 mSv per eventi con una frequenza annua di 10-3;
^b	al massimo a 100 mSv per eventi con una frequenza annua di 10-4.8
⁵	Mediante analisi probabilistiche occorre dimostrare che vi è una protezione sufficiente contro incidenti che superano la base di progetto. A questo riguardo possono essere considerate le misure preventive e lenitive di cui all'articolo 7 lettera d.9
⁶	Il Dipartimento federale dell'ambiente, dei trasporti, dell'energia e delle comunicazioni (Dipartimento) fissa in un'ordinanza le ipotesi specifiche di pericolo e i criteri di valutazione.

SR 732.11 Ordinanza del 10 dicembre 2004 sull'energia nucleare (OENu) - Ordinanza sull'energia nucleare OENu Art. 44 Criteri per la messa fuori servizio temporaneo e il riequipaggiamento di centrali nucleari - 1 Il titolare di una licenza d'esercizio deve mettere senza indugio fuori servizio temporaneo la centrale nucleare e riequipaggiarla se è adempiuto uno o più dei seguenti criteri:
¹	Il titolare di una licenza d'esercizio deve mettere senza indugio fuori servizio temporaneo la centrale nucleare e riequipaggiarla se è adempiuto uno o più dei seguenti criteri:
^a	le analisi degli incidenti mostrano che il raffreddamento del nocciolo, nel caso di un incidente di cui all'articolo 8 capoversi 2 e 3, non è più garantito e di conseguenza si supera una dose di 100 mSv;
^b	l'integrità del circuito primario non è più garantita;
^c	l'integrità del contenitore non è più garantita.
²	Nell'analisi di cui al capoverso 1 lettera a si devono considerare gli incidenti non cagionati da cause naturali con una frequenza annua superiore a 10-6 e gli eventi naturali con una frequenza annua di 10-4.
³	Il Dipartimento fissa in un'ordinanza la metodica e le condizioni marginali per la verifica dei criteri.

SR 732.11 Ordinanza del 10 dicembre 2004 sull'energia nucleare (OENu) - Ordinanza sull'energia nucleare OENu Art. 8 Requisiti in materia di protezione contro gli incidenti - 1 Negli impianti nucleari, vanno adottati provvedimenti di protezione contro gli incidenti originati all'interno o all'esterno dell'impianto.
¹	Negli impianti nucleari, vanno adottati provvedimenti di protezione contro gli incidenti originati all'interno o all'esterno dell'impianto.
²	Per incidenti originati all'interno dell'impianto s'intendono in particolare perturbazioni a livello di reattività, fuoriuscite del liquido di raffreddamento, perdite dei pozzi di calore, incendi, inondazioni, influssi meccanici in seguito al mancato funzionamento delle componenti, danneggiamento delle guaine nella manipolazione di elementi di combustibile, mancato funzionamento dei sistemi d'esercizio, azionamento indesiderato o funzionamento difettoso di sistemi di sicurezza ed errore umano.
³	Per incidenti originati all'esterno dell'impianto s'intendono in particolare gli incidenti che possono essere scatenati da terremoti, inondazioni, caduta incidentale di aerei civili e militari sull'impianto, raffiche di vento, fulmini, onde di pressione, incendi, perdite dell'approvvigionamento esterno di energia, danni o interruzioni dell'afflusso esterno di acqua di raffreddamento.
⁴	Nella progettazione di un impianto nucleare ai sensi dell'articolo 7 lettera c, gli incidenti di cui al capoverso 2 e gli incidenti non cagionati da cause naturali secondo il capoverso 3 vanno suddivisi in funzione della frequenza come stabilito nell'articolo 123 capoverso 2 ORaP6. In tale contesto, oltre all'evento iniziatore va ipotizzato un fallimento singolo indipendente. Occorre comprovare che le dosi di cui all'articolo 123 capoverso 2 ORaP possono essere rispettate.7
^4bis	Nella progettazione di un impianto nucleare ai sensi dell'articolo 7 lettera c, in caso di incidenti cagionati da cause naturali secondo il capoverso 3 occorre di volta in volta ipotizzare una causa naturale con una frequenza annua di 10-3 e una causa naturale con una frequenza annua di 10-4. Oltre all'evento naturale iniziatore va ipotizzato un fallimento singolo indipendente. Occorre comprovare che la dose risultante da un singolo incidente di questo tipo per gli individui della popolazione ammonta:
^a	al massimo a 1 mSv per eventi con una frequenza annua di 10-3;
^b	al massimo a 100 mSv per eventi con una frequenza annua di 10-4.8
⁵	Mediante analisi probabilistiche occorre dimostrare che vi è una protezione sufficiente contro incidenti che superano la base di progetto. A questo riguardo possono essere considerate le misure preventive e lenitive di cui all'articolo 7 lettera d.9
⁶	Il Dipartimento federale dell'ambiente, dei trasporti, dell'energia e delle comunicazioni (Dipartimento) fissa in un'ordinanza le ipotesi specifiche di pericolo e i criteri di valutazione.

SR 732.1 Legge federale del 21 marzo 2003 sull'energia nucleare (LENu) LENu Art. 22 Obblighi generali del titolare della licenza - 1 Il titolare della licenza è responsabile della sicurezza dell'impianto e dell'esercizio.
¹	Il titolare della licenza è responsabile della sicurezza dell'impianto e dell'esercizio.
²	A questo scopo deve segnatamente:
^a	dare continuamente la priorità necessaria alla sicurezza nucleare nell'esercizio dell'impianto nucleare, segnatamente rispettare i limiti e le condizioni d'esercizio prescritti;
^b	creare un'organizzazione adeguata e occupare un effettivo sufficiente di personale idoneo e professionalmente competente; il Consiglio federale stabilisce le esigenze minime e disciplina la formazione del personale specializzato;
^c	prendere provvedimenti per mantenere l'impianto in buono stato;
^d	eseguire controlli a posteriori nonché valutazioni sistematiche della sicurezza interna ed esterna per tutta la durata d'esistenza dell'impianto;
^e	per una centrale nucleare, procedere periodicamente a un'approfondita verifica della sicurezza;
^f	fare rapporto periodicamente alle autorità di vigilanza sullo stato e l'esercizio dell'impianto e notificare loro senza indugio avvenimenti particolari;
^g	riequipaggiare l'impianto nella misura richiesta dall'esperienza e dallo stato della tecnica di riequipaggiamento e prendere provvedimenti ulteriori sempreché contribuiscano a un'ulteriore riduzione del pericolo e siano adeguati;
^h	seguire lo sviluppo della scienza e della tecnica nonché le esperienze d'esercizio di impianti paragonabili;
ⁱ	tenere una documentazione completa sulle attrezzature tecniche e l'esercizio e, se occorre, adeguare il rapporto sulla sicurezza interna e il rapporto sulla sicurezza esterna;
^j	prendere misure atte ad assicurare la qualità di tutte le attività svolte durante l'esercizio;
^k	aggiornare il piano per la disattivazione o il progetto per la fase di osservazione e il piano per la chiusura dell'impianto.
³	Il Consiglio federale definisce i criteri che, se adempiuti, obbligano il titolare della licenza a mettere temporaneamente l'impianto nucleare fuori esercizio e a riequipaggiarlo.

SR 732.11 Ordinanza del 10 dicembre 2004 sull'energia nucleare (OENu) - Ordinanza sull'energia nucleare OENu Art. 6 Autorità di vigilanza - Le autorità di vigilanza sono:
^a	per quanto concerne la sicurezza nucleare e la sicurezza esterna, l'Ispettorato federale della sicurezza nucleare (IFSN);
^b	per i rimanenti settori nell'esecuzione della LENu, l'Ufficio federale.

SR 814.501 Ordinanza del 26 aprile 2017 sulla radioprotezione (ORaP) ORaP Art. 123 Organizzazione delle aziende
¹	Il titolare della licenza deve adottare provvedimenti idonei per evitare incidenti.
²	L'azienda deve essere organizzata in modo da soddisfare i seguenti requisiti:
^a	per gli incidenti la cui probabile frequenza annua è superiore a 10-1, i vincoli di dose stabiliti nella licenza devono poter essere osservati;
^b	per gli incidenti la cui probabile frequenza annua è compresa tra 10-1 e 10-2, un singolo incidente non deve comportare alcuna dose supplementare che superi i rispettivi vincoli di dose;
^c	per gli incidenti la cui probabile frequenza annua è compresa fra 10-2 e 10-4, la dose risultante da un singolo incidente per gli individui della popolazione non deve superare 1 mSv;
^d	per gli incidenti la cui probabile frequenza annua è compresa fra 10-4 e 10-6, la dose risultante da un singolo incidente per gli individui della popolazione non deve superare 100 mSv. L'autorità preposta al rilascio delle licenze può, nel singolo caso, stabilire una dose inferiore.
³	L'azienda deve essere organizzata in modo che gli incidenti di cui al capoverso 2 lettere c e d possano verificarsi soltanto raramente.
⁴	L'autorità di vigilanza esige dall'azienda l'adozione delle misure preventive necessarie per gli incidenti di cui al capoverso 2 lettere c e d, come pure per quelli la cui frequenza di accadimento annua è inferiore a 10-6, ma le cui conseguenze possono essere gravi.
⁵	Essa stabilisce, nel singolo caso, i metodi e le condizioni per l'analisi degli incidenti e per la classificazione degli incidenti nelle categorie di frequenza di cui al capoverso 2 lettere b-d. La dose efficace o le dosi equivalenti risultanti da irradiazioni accidentali di persone devono essere accertate mediante le grandezze di apprezzamento e i fattori di dose di cui agli allegati 3, 5 e 6 conformemente allo stato della scienza e della tecnica.
⁶	L'autorità di vigilanza può chiedere alle aziende in cui possono verificarsi gli incidenti menzionati nel capoverso 2 lettera d di:
^a	rilevare i parametri d'impianto necessari per seguire l'evoluzione dell'incidente, per elaborare diagnosi e previsioni nonché per individuare provvedimenti di protezione della popolazione;
^b	trasmettere costantemente alle autorità di vigilanza i parametri d'impianto mediante una rete sicura anche in caso di incidente.

SR 814.501 Ordinanza del 26 aprile 2017 sulla radioprotezione (ORaP) ORaP Art. 1 Oggetto e campo d'applicazione
¹	La presente ordinanza disciplina, a protezione dell'essere umano e dell'ambiente dalle radiazioni ionizzanti:
^a	per le situazioni di esposizione pianificate:
^a1	le licenze,
^a2	l'esposizione della popolazione,
^a3	le attività non giustificate,
^a4	l'esposizione medica,
^a5	l'esposizione professionale,
^a6	la manipolazione delle sorgenti di radiazioni,
^a7	la manipolazione dei rifiuti radioattivi,
^a8	la prevenzione e la gestione di incidenti;
^b	per le situazioni di esposizione di emergenza: la prevenzione e la gestione;
^c	per le situazioni di esposizione esistenti: la manipolazione dei siti e degli oggetti radiologicamente contaminati, del radon, dei materiali contenenti radionuclidi presenti in natura nonché della contaminazione a lungo termine in seguito a un'emergenza;
^d	la formazione e l'aggiornamento delle persone che manipolano le radiazioni ionizzanti o con la radioattività;
^e	le attività di vigilanza e di esecuzione;
^f	la consulenza svolta dalla Commissione federale della radioprotezione (CPR).
²	Si applica a tutte le situazioni di esposizione a radiazioni ionizzanti artificiali e naturali.
³	Non si applica:
^a	alle esposizioni ai radionuclidi che si trovano naturalmente nel corpo umano;
^b	alle esposizioni di persone alla radiazione cosmica: tuttavia si applica alle esposizioni del personale di volo alla radiazione cosmica;
^c	alle esposizioni in superficie ai radionuclidi presenti nella crosta terrestre, purché non sia perturbata da interventi.

SR 732.11 Ordinanza del 10 dicembre 2004 sull'energia nucleare (OENu) - Ordinanza sull'energia nucleare OENu Art. 10 Principi relativi alla progettazione di centrali nucleari - 1 Alle centrali nucleari si applicano in particolare i seguenti principi:
¹	Alle centrali nucleari si applicano in particolare i seguenti principi:
^a	le funzioni di sicurezza devono risultare efficaci anche qualora si verifichi un qualsivoglia fallimento singolo indipendente dall'evento iniziatore, ossia anche quando un componente non sia disponibile perché in manutenzione; è considerato fallimento singolo il fallimento casuale di un componente laddove il componente perda la capacità di adempiere la prevista funzione di sicurezza; i fallimenti direttamente derivanti da tale fallimento casuale sono considerati parte integrante del fallimento singolo;
^b	le funzioni di sicurezza devono rispondere, per quanto possibile, ai principi della ridondanza e della diversità; per ridondanza s'intende l'esistenza di un numero di dispositivi pronti a funzionare superiore a quello necessario per adempiere la prevista funzione di sicurezza; per diversità s'intende l'applicazione di principi fisici o tecnici di natura diversa;
^c	i treni di dispositivi ridondanti impiegati per adempiere una funzione di sicurezza devono essere, se possibile, indipendenti sul piano funzionale gli uni dagli altri, vale a dire sia dal punto di vista dei sistemi meccanici sia dei sistemi di supporto quali la strumentazione di controllo e l'approvvigionamento di energia, il raffreddamento e la ventilazione;
^d	i treni di dispositivi ridondanti impiegati per adempiere una funzione di sicurezza devono essere, per quanto possibile, ubicati in ambienti separati;
^e	i treni di dispositivi ridondanti impiegati per adempiere una funzione di sicurezza devono poter essere, per quanto possibile, verificati integralmente oppure per segmenti il più possibile estesi sia mediante azionamento manuale sia mediante impulso automatico simulato, anche in condizioni di alimentazione elettrica d'emergenza;
^f	le funzioni di sicurezza devono essere automatizzate in modo tale che, in caso di incidente di cui all'articolo 8, nei primi 30 minuti che seguono l'evento iniziatore non si rendano necessari interventi di sicurezza da parte del personale;
^g	nella progettazione dei sistemi e dei componenti si devono prevedere sufficienti margini di sicurezza;
^h	se possibile, in caso di disfunzioni degli equipaggiamenti, dev'essere garantito che il comportamento del sistema tenda dalla parte della sicurezza;
ⁱ	le funzioni di sicurezza passive devono essere preferite a quelle attive;
^j	gli ambienti di lavoro e lo svolgimento delle operazioni di gestione e di manutenzione dell'impianto devono essere organizzati in modo da tener conto delle capacità umane e dei loro limiti;
^k	in caso di pari guadagno in termini di sicurezza, vanno preferite misure di prevenzione degli incidenti di cui all'articolo 7 lettera d rispetto a misure atte a lenire le conseguenze degli stessi.
²	L'IFSN è incaricato di disciplinare mediante direttive i principi specifici per la progettazione di reattori ad acqua leggera.10

SR 172.021 Legge federale del 20 dicembre 1968 sulla procedura amministrativa (PA) PA Art. 61
¹	L'autorità di ricorso decide la causa o eccezionalmente la rinvia, con istruzioni vincolanti, all'autorità inferiore.
²	La decisione del ricorso deve contenere la ricapitolazione dei fatti rilevanti, i motivi e il dispositivo.
³	Essa è notificata alle parti e all'autorità inferiore.

SR 173.320.2 Regolamento del 21 febbraio 2008 sulle tasse e sulle spese ripetibili nelle cause dinanzi al Tribunale amministrativo federale (TS-TAF) TS-TAF Art. 1 Spese processuali
¹	Le spese del procedimento dinanzi al Tribunale amministrativo federale (Tribunale) comprendono la tassa di giustizia e i disborsi.
²	La tassa di giustizia copre le spese per la fotocopiatura delle memorie delle parti e gli oneri amministrativi normalmente dovuti per i servizi corrispondenti, quali le spese di personale, di locazione e di materiale, le spese postali, telefoniche e di telefax.
³	Sono disborsi, in particolare, le spese di traduzione e di assunzione delle prove. Le spese di traduzione non vengono conteggiate se si tratta di traduzioni tra lingue ufficiali.

SR 172.021 Legge federale del 20 dicembre 1968 sulla procedura amministrativa (PA) PA Art. 63
¹	L'autorità di ricorso mette nel dispositivo le spese processuali, consistenti in una tassa di decisione nelle tasse di cancelleria e negli sborsi, di regola a carico della parte soccombente. Se questa soccombe solo parzialmente, le spese processuali sono ridotte. Per eccezione, si possono condonare le spese processuali.
²	Nessuna spesa processuale è messa a carico dell'autorità inferiore ne delle autorità federali, che promuovano il ricorso e soccombano; se l'autorità ricorrente, che soccombe, non è un'autorità federale, le spese processuali le sono addossate in quanto la causa concerna interessi pecuniari di enti o d'istituti autonomi.
³	Alla parte vincente possono essere addossate solo le spese processuali che abbia cagionato violando le regole di procedura.
⁴	L'autorità di ricorso, il suo presidente o il giudice dell'istruzione esige dal ricorrente un anticipo equivalente alle presunte spese processuali. Stabilisce un congruo termine per il pagamento con la comminatoria che altrimenti non entrerà nel merito. Se sussistono motivi particolari, può rinunciare interamente o in parte a esigere l'anticipo.100
^4bis	La tassa di decisione è stabilita in funzione dell'ampiezza e della difficoltà della causa, del modo di condotta processuale e della situazione finanziaria delle parti. Il suo importo oscilla:
^a	da 100 a 5000 franchi nelle controversie senza interesse pecuniario;
^b	da 100 a 50 000 franchi nelle altre controversie.101
⁵	Il Consiglio federale disciplina i dettagli relativi alla determinazione delle tasse.102 Sono fatti salvi l'articolo 16 capoverso 1 lettera a della legge del 17 giugno 2005103 sul Tribunale amministrativo federale e l'articolo 73 della legge del 19 marzo 2010104 sull'organizzazione delle autorità penali.105

SR 172.021 Legge federale del 20 dicembre 1968 sulla procedura amministrativa (PA) PA Art. 64
¹	L'autorità di ricorso, se ammette il ricorso in tutto o in parte, può, d'ufficio o a domanda, assegnare al ricorrente una indennità per le spese indispensabili e relativamente elevate che ha sopportato.
²	Il dispositivo indica l'ammontare dell'indennità e l'addossa all'ente o all'istituto autonomo, nel cui nome l'autorità inferiore ha deciso, in quanto non possa essere messa a carico di una controparte soccombente.
³	Se una controparte soccombente ha presentato conclusioni indipendenti, l'indennità può essere messa a suo carico, secondo la propria solvenza.
⁴	L'ente o l'istituto autonomo, nel cui nome l'autorità inferiore ha deciso, risponde dell'indennità addossata a una controparte soccombente, in quanto non possa essere riscossa.
⁵	Il Consiglio federale disciplina la determinazione delle spese ripetibili.106 Sono fatti salvi l'articolo 16 capoverso 1 lettera a della legge del 17 giugno 2005107 sul Tribunale amministrativo federale e l'articolo 73 della legge del 19 marzo 2010108 sull'organizzazione delle autorità penali.109

SR 173.320.2 Regolamento del 21 febbraio 2008 sulle tasse e sulle spese ripetibili nelle cause dinanzi al Tribunale amministrativo federale (TS-TAF) TS-TAF Art. 7 Principio
¹	La parte vincente ha diritto alle ripetibili per le spese necessarie derivanti dalla causa.
²	Se la parte vince solo parzialmente, le spese ripetibili sono ridotte in proporzione.
³	Le autorità federali e, di regola, le altre autorità con qualità di parte non hanno diritto a un'indennità a titolo di ripetibili.
⁴	Se le spese sono relativamente modeste, si può rinunciare a concedere alla parte un'indennità a titolo di ripetibili.
⁵	L'articolo 6a è applicabile per analogia.7

SR 173.320.2 Regolamento del 21 febbraio 2008 sulle tasse e sulle spese ripetibili nelle cause dinanzi al Tribunale amministrativo federale (TS-TAF) TS-TAF Art. 8 Spese ripetibili
¹	Le ripetibili comprendono le spese di rappresentanza o di patrocinio ed eventuali altri disborsi di parte.
²	Per spese non necessarie non vengono corrisposte indennità.

SR 173.320.2 Regolamento del 21 febbraio 2008 sulle tasse e sulle spese ripetibili nelle cause dinanzi al Tribunale amministrativo federale (TS-TAF) TS-TAF Art. 9 Spese di rappresentanza e di patrocinio
¹	Le spese di rappresentanza e di patrocinio comprendono:
^a	l'onorario dell'avvocato o l'indennità dovuta ai mandatari professionali che non sono avvocati;
^b	i disborsi quali, segnatamente, le spese di fotocopiatura, le spese di viaggio, di vitto e di alloggio, le spese di porto e le spese telefoniche;
^c	l'imposta sul valore aggiunto eventualmente dovuta sulle indennità ai sensi delle lettere a e b, a meno che la stessa non sia già stata considerata.
²	Non è dovuta alcuna indennità se esiste un rapporto di lavoro tra il mandatario e la parte.

SR 173.110 Legge del 17 giugno 2005 sul Tribunale federale (LTF) - Organizzazione giudiziaria LTF Art. 82 Principio - Il Tribunale federale giudica i ricorsi:
^a	contro le decisioni pronunciate in cause di diritto pubblico;
^b	contro gli atti normativi cantonali;
^c	concernenti il diritto di voto dei cittadini nonché le elezioni e votazioni popolari.

SR 173.110 Legge del 17 giugno 2005 sul Tribunale federale (LTF) - Organizzazione giudiziaria LTF Art. 42 Atti scritti - 1 Gli atti scritti devono essere redatti in una lingua ufficiale, contenere le conclusioni, i motivi e l'indicazione dei mezzi di prova ed essere firmati.
¹	Gli atti scritti devono essere redatti in una lingua ufficiale, contenere le conclusioni, i motivi e l'indicazione dei mezzi di prova ed essere firmati.
²	Nei motivi occorre spiegare in modo conciso perché l'atto impugnato viola il diritto. Qualora il ricorso sia ammissibile soltanto se concerne una questione di diritto di importanza fondamentale o un caso particolarmente importante per altri motivi, occorre spiegare perché la causa adempie siffatta condizione.14 15
³	Se sono in possesso della parte, i documenti indicati come mezzi di prova devono essere allegati; se l'atto scritto è diretto contro una decisione, anche questa deve essere allegata.
⁴	In caso di trasmissione per via elettronica, la parte o il suo patrocinatore deve munire l'atto scritto di una firma elettronica qualificata secondo la legge del 18 marzo 201616 sulla firma elettronica. Il Tribunale federale determina mediante regolamento:
^a	il formato dell'atto scritto e dei relativi allegati;
^b	le modalità di trasmissione;
^c	le condizioni alle quali può essere richiesta la trasmissione successiva di documenti cartacei in caso di problemi tecnici.17
⁵	Se mancano la firma della parte o del suo patrocinatore, la procura dello stesso o gli allegati prescritti, o se il patrocinatore non è autorizzato in quanto tale, è fissato un congruo termine per sanare il vizio, con la comminatoria che altrimenti l'atto scritto non sarà preso in considerazione.
⁶	Gli atti illeggibili, sconvenienti, incomprensibili, prolissi o non redatti in una lingua ufficiale possono essere del pari rinviati al loro autore affinché li modifichi.
⁷	Gli atti scritti dovuti a condotta processuale da querulomane o altrimenti abusiva sono inammissibili.