Entscheiddatum: 22.01.2019Publikationsdatum: 25.01.2019
Bundesverwaltungsgericht Tribunal administratif fédéral Tribunale amministrativo federale Tribunal administrativ federal Abteilung I A-1969/2017
Urteil vom 22. Januar 2019 Besetzung Richterin Christine Ackermann (Vorsitz), Richter Jérôme Candrian, Richter Christoph Bandli, Gerichtsschreiber Ivo Hartmann. Parteien 1. A._______, 2. B._______, 3. C._______, 4. D._______, 5. E._______, 6. F._______, 7. G._______, 8. H._______, 9. I._______, 10. J._______, 11. K._______, 12. L._______, 13. M._______, 14. N._______, 15. O._______, alle vertreten durch lic. iur. Martin Pestalozzi, Rechtsanwalt, Seefeldstrasse 9a, 8630 Rüti ZH, Beschwerdeführende, gegen Axpo Power AG, Parkstrasse 23, 5401 Baden, vertreten durch Prof. Dr. iur. Hans Rudolf Trüeb , Rechtsanwalt LL.M., und Dr. iur. Martin Zobl, Rechtsanwalt LL.M., Walder Wyss AG, Seefeldstrasse 123, Postfach 1236, 8034 Zürich, Beschwerdegegnerin, Eidgenössisches Nuklearsicherheitsinspektorat ENSI, Industriestrasse 19, 5200 Brugg AG, Vorinstanz. Gegenstand Verfügung über Realakte (Nachweis zur Beherrschung des 10'000-jährlichen Erdbebens).
A. Die Axpo Power AG betreibt das Kernkraftwerk Beznau (nachfolgend: KKB). Dieses umfasst zwei Reaktorblöcke (nachfolgend: KKB I und KKB II).
B. Im Nachgang zum Kernkraftwerk-Unfall in Fukushima im März 2011 verlangte das Eidgenössische Nuklearsicherheitsinspektorat (nachfolgend: ENSI) von der Axpo Power AG die Überprüfung der Auslegung des KKB (sog. deterministischer Sicherheitsnachweis). Gegenstand dieses Nachweises bildete die Frage, ob die Kernkühlung und die Sicherheit der Brennelementlagerbecken des KKB unter Einwirkung eines 10'000-jährlichen Erdbebens und der Kombination von Erdbeben mit erdbebenbedingtem Hochwasser einzelfehlersicher gewährleistet bleibt sowie die Strahlenbelastung in der Umgebung des KKB die Dosislimite von 100 Millisievert (mSv) aufgrund von allfälligen Leckagen im Primärkreislauf und im Containment eingehalten wird.
C. Die Axpo Power AG reichte dem ENSI den geforderten Sicherheitsnachweis für das KKB am 30. März 2012 ein.
D. Am 7. Juli 2012 erstellte das ENSI die Stellungnahme "zum deterministischen Nachweis des KKB zur Beherrschung eines 10'000-jährlichen Erdbebens" (sog. Aktennotiz ENSI 14/1658; nachfolgend: Aktennotiz). Das ENSI kam zum Schluss, dass der von der Axpo Power AG geforderte Sicherheitsnachweis vollständig erbracht wurde; eine unverzügliche vorläufige Ausserbetriebnahme des KKB sei nicht angezeigt.
Das ENSI publizierte in diesem Zusammenhang am 13. Juli 2012 einen Artikel auf seiner Webseite, in dem es das 10'000-jährliche Erdbeben als "das extremste Erdbeben, das betrachtet werden muss" qualifizierte und dieses der sog. Störfallkategorie 3 zuordnete, welche einen Dosisgrenzwert von 100 mSv vorschreibe. Es hielt fest, dass dieser Grenzwert vom KKB eingehalten werde.
E. Am 19. August 2015 ersuchten A._______ und verschiedene, eingangs aufgeführte Privatpersonen (nachfolgend: Gesuchstellende) das ENSI um Erlass einer Verfügung über Realakte betreffend die Rechtmässigkeit der Aktennotiz.
F. Mit Verfügung vom 27. Februar 2017 stellte das ENSI fest, dass die mit der Aktennotiz erfolgte Akzeptierung des deterministischen Nachweises des KKB rechtmässig sei. Es wies sämtliche anderslautenden Anträge der Gesuchstellenden ab.
G. Dagegen führen die Gesuchstellenden (nachfolgend: Beschwerdeführende) am 3. April 2017 Beschwerde beim Bundesverwaltungsgericht. Sie stellen folgende Rechtsbegehren:
"1.Es sei in Gutheissung der Beschwerde die angefochtene Verfügung des ENSI vom 27. Februar 2017 ([...]) aufzuheben.
2.Widerrechtlicher Betrieb des Kernkraftwerks Beznau:
2.1.Es sei festzustellen, dass die Stellungnahme des ENSI zum deterministischen Nachweis des Kernkraftwerks Beznau zur Beherrschung des 10'000-jährlichen Erdbebens vom 7. Juli 2012 und die in diesem Zusammenhang vor allem unter dem Datum 13. Juli 2012 erfolgten Informationen der Öffentlichkeit durch das ENSI sowie die Aufsichtshandlungen des ENSI in Bezug auf den Nachweis des ausreichenden Schutzes gegen durch Naturereignisse, wie insbesondere Erdbeben, ausgelöste Störfälle widerrechtlich sind, insoweit das ENSI
2.1.1.eine Dosislimite von 100 mSv gemäss Art. 94 Abs. 5 StSV statt einer Dosislimite von 1 mSv gemäss Art. 94 Abs. 4 StSV für durch Naturereignisse ausgelöste Störfälle mit einer Häufigkeit grösser gleich 10-4 pro Jahr im Sinne von Art. 5 Abs. 4 der Gefährdungsannahmenverordnung anwendet;
2.1.2.feststellt, das Kriterium gemäss Art. 3 der Ausserbetriebnahmeverordnung werde nicht erreicht, obwohl die maximale Gesamtdosis aller Beiträge resultierend aus dem Erdbeben bei Leistungsbetrieb 1 mSv gemäss dem Nachweis des Kernkraftwerks Beznau vom 30. März 2012, Seite 13, mit 28.9 mSv bzw. 15.5 mSv für Kleinkinder, 12.6 mSv bzw. 6.36 mSv für zehnjährige Kinder und 9.40 mSv bzw. 5.29 mSv für Erwachsene bzw. 28.9 mSv und 78 mSv gemäss der Stellungnahme des ENSI, Seite 36, bei weitem überschreitet.
2.2.Es sei festzustellen, dass es das ENSI demzufolge widerrechtlich unterlassen hat, für die unverzügliche vorläufige Ausserbetriebnahme des Kernkraftwerks Beznau zu sorgen.
2.3.Es sei das ENSI zu verpflichten, zur Beseitigung der Folgen dieser widerrechtlichen Unterlassung für die unverzügliche vorläufige Ausserbetriebnahme des Kernkraftwerks Beznau zu sorgen.
3.Widerrechtliche Gefährdungsannahme:
3.1.Es sei vorfrageweise festzustellen, dass Art. 5 Abs. 4 der Gefährdungsannahmenverordnung des UVEK im Widerspruch zu den höherrangigen Normen von Art. 8 Abs. 3 und 4 KEV in Verbindung mit Art. 94 Abs. 5 StSV steht, insoweit für den Nachweis des ausreichenden Schutzes gegen durch Naturereignisse ausgelöste Störfälle ausschliesslich Gefährdungen mit einer Häufigkeit von grösser gleich 10-4 pro Jahr zu berücksichtigen und zu bewerten sind, statt auch solche mit einer Häufigkeit zwischen 10-4 und 10-6 pro Jahr gemäss Art. 94 Abs. 5 StSV, und dass diese Norm der Gefährdungsannahmenverordnung insoweit nicht schutzmindernd anwendbar ist.
3.2.Es sei festzustellen dass es das ENSI demzufolge widerrechtlich unterlassen hat, für das Kernkraftwerk Beznau einen rechtlich korrekten deterministischen Nachweis zur Beherrschung auch von Erdbeben zu fordern, die im Sinne von Art. 94 Abs. 5 StSV mit einer Häufigkeit zwischen 10-4 und 10-6 pro Jahr zu erwarten sind.
3.3.Es sei das ENSI zu verpflichten, zur Beseitigung der Folgen dieser widerrechtlichen Unterlassung den deterministischen Nachweis auch zur Beherrschung des 1'000'000-jährlichen Erdbebens bzw. eventualiter des 999'999-jährlichen Erdbebens beim Kernkraftwerk Beznau einzufordern, bevor das ENSI, nach der unverzüglichen vorläufigen Ausserbetriebnahme aufgrund der Rechtsbegehren Nr. 2, gegebenenfalls eine Wiederinbetriebnahme erlaubt.
3.4.Eventualiter sei, im Fall der Ablehnung der Rechtsbegehren Nr. 2, das ENSI zu verpflichten, zur Beseitigung der Folgen dieser widerrechtlichen Unterlassung den deterministischen Nachweis gemäss Rechtsbegehren Nr. 3.3 unverzüglich einzufordern.
4.Widerrechtliche Berechnung der aus einem Störfall resultierenden zusätzlichen Dosis:
4.1.Es sei (eventualiter vorfrageweise) festzustellen, dass die Beschränkung der Expositionszeit auf ein Jahr unmittelbar nach dem Ereignis zur Überprüfung der Einhaltung der Dosislimiten gemäss Richtlinie ENSI-G14 widerrechtlich ist.
4.2.Es sei festzustellen, dass das ENSI es demzufolge widerrechtlich unterlassen hat, für das Kernkraftwerk Beznau einen rechtlich korrekten deterministischen Nachweis zur Beherrschung des massgebenden Erdbebens zu verlangen, welcher auf einer zeitlich umfassenden Ermittlung der aus dem Störfall resultierenden Dosis für nicht beruflich strahlenexponierte Personen im Sinne von Art. 94 StSV basiert.
4.3.Es sei das ENSI zu verpflichten, zur Beseitigung der Folgen dieser widerrechtlichen Unterlassung den deterministischen Nachweis zur Beherrschung des massgebenden Erdbebens beim Kernkraftwerk Beznau, basierend auf einer zeitlich umfassenden Ermittlung der aus dem Störfall resultierenden Dosis für nicht beruflich strahlenexponierte Personen im Sinne von Art. 94 StSV, einzufordern, bevor das ENSI, nach der unverzüglichen vorläufigen Ausserbetriebnahme aufgrund der Rechtsbegehren Nr. 2, gegebenenfalls eine Wiederinbetriebnahme erlaubt.
4.4.Eventualiter sei, im Fall der Ablehnung der Rechtsbegehren Nr. 2, das ENSI zu verpflichten, den deterministischen Nachweis gemäss Rechtsbegehren Nr. 4.3 unverzüglich einzufordern.
4.5Das ENSI sei zu verpflichten, dabei als massgebendes Erdbeben im Sinne der Rechtsbegehren Nr. 4.2 und 4.3 das 1'000'000-jährliche (bzw. subeventualiter das 999'999-jährliche) Erdbeben gemäss Rechtsbegehren Nr. 3 zu erklären, eventualiter, im Fall der Ablehnung der Rechtsbegehren Nr. 2 und Nr. 3, das 10'000-jährliche Erdbeben gemäss Art. 5 Abs. 4 der Gefährdungsannahmenverordnung.
5.Soweit die Widerrechtlichkeit gemäss den Rechtsbegehren Nr. 2- 4 auf frühere Verfügungen und Aufsichtshandlungen des ENSI zurückzuführen ist, sei das ENSI zu verpflichten, im Sinne der Erwägungen auch die Widerrechtlichkeit dieser Verfügungen, Entscheide und Informationen der Öffentlichkeit festzustellen.
6.Es sei das ENSI zu verpflichten, künftig solche widerrechtlichen Aufsichtshandlungen im Sinne der Erwägungen zu unterlassen.
Es sei das ENSI zu verpflichten, sämtliche Aufsichtshandlungen des ENSI, welche auf solchen Widerrechtlichkeiten beruhen, zu widerrufen und es seien die Folgen dieser bisherigen widerrechtlichen Aufsichtshandlungen zu beseitigen.
Es sei eventualiter Dispositivziffer 2 der angefochtenen Verfügung auch dann aufzuheben, wenn die Beschwerde in der Hauptsache ganz oder teilweise abgewiesen werden sollte und es sei für das erstinstanzliche Verfahren auf die Erhebung von Verfahrenskosten zu verzichten, subeventualiter seien diese auf höchstens CHF 2'000.00 zu reduzieren.
9.Alles unter Kosten- und Entschädigungsfolgen zulasten des ENSI und der Beschwerdegegnerin."
H. Mit Vernehmlassung vom 13. Juli 2017 schliesst das ENSI (nachfolgend: Vorinstanz) auf die Abweisung der Beschwerde.
I. Die Axpo Power AG (nachfolgend: Beschwerdegegnerin) beantragt:
"1. Auf die Beschwerde sei nicht einzutreten.
2.Eventualiter sei auf die Beschwerde der Beschwerdeführer 13-15 nicht einzutreten und die Beschwerde im Übrigen abzuweisen.
3.Sub-eventualiter sei die Beschwerde abzuweisen."
J. Mit den Schlussbemerkungen vom 15. September 2017 halten die Beschwerdeführenden an ihren unveränderten Begehren fest.
K. Die Vorinstanz reicht am 21. November 2017 weitere Bemerkungen ein.
L. Die Beschwerdegegnerin erneuert mit ihren Schlussbemerkungen vom 23. November 2017 ebenfalls ihre Begehren aus der Beschwerdeantwort.
M. Am 19. Januar 2018 zeigt die Vorinstanz dem Bundesverwaltungsgericht an, dass der Bundesrat am 10. Januar 2018 die Vernehmlassung zu einer Teilrevision der Kernenergieverordnung, der Ausserbetriebnahmeverordnung und der Gefährdungsannahmeverordnung eröffnet habe. Mit der Revision solle eine Präzisierung der vorliegend relevanten bzw. strittigen Rechtsgrundlagen erfolgen.
N. Mit Eingaben vom 31. Januar 2018 sowie vom 12. Februar 2018 äussern sich die Beschwerdeführenden und die Beschwerdegegnerin je zu der von der Vorinstanz angezeigten Eröffnung des Vernehmlassungsverfahrens.
O. Auf die weiteren Vorbringen der Verfahrensbeteiligten und die sich bei den Akten befindlichen Dokumente wird - soweit entscheidrelevant - in den nachfolgenden Erwägungen eingegangen.
1.1 Das Bundesverwaltungsgericht beurteilt gemäss Art. 31 des Verwaltungsgerichtsgesetzes vom 17. Juni 2005 (VGG, SR 173.32) Beschwerden gegen Verfügungen nach Art. 5 des Verwaltungsverfahrensgesetzes vom 20. Dezember 1968 (VwVG, SR 172.021). Da hier keine Ausnahme nach Art. 32 VGG vorliegt und mit dem ENSI eine Vorinstanz im Sinn von Art. 33 Bst. e VGG verfügt hat, ist das Bundesverwaltungsgericht zur Beurteilung der Beschwerde zuständig. Das Verfahren richtet sich nach dem VwVG, soweit das VGG nichts anderes bestimmt (Art. 37 VGG).
1.2 Zur Beschwerde ist nach Art. 48 Abs. 1 VwVG berechtigt, wer vor der Vorinstanz am Verfahren teilgenommen oder keine Möglichkeit zur Teilnahme erhalten hat (Bst. a), durch die angefochtene Verfügung besonders berührt ist (Bst. b) und ein schutzwürdiges Interesse an deren Aufhebung oder Änderung hat (Bst. c).
Die Beschwerdeführenden haben sich am vorinstanzlichen Verfahren beteiligt und sind Adressaten der angefochtenen Verfügung. Mit diesem Entscheid wurde ihr Gesuch um Erlass einer Verfügung abgewiesen, soweit die Vorinstanz darauf eingetreten ist. Sie sind insoweit beschwert. Zwischen den Parteien ist jedoch strittig, ob die Beschwerdeführenden ein schutzwürdiges Interesse aufweisen.
1.2.1 Aktuelles praktisches Interesse
1.2.1.1 Die Beschwerdegegnerin macht geltend, dass die Beschwerdeführenden über kein aktuelles praktisches Interesse verfügen. Seit der strittigen Sicherheitsbewertung seien über fünf Jahre vergangen. Zwischenzeitlich seien umfangreiche Nachrüstungen mit einem Volumen von rund 700 Mio. Fr. erfolgt, welche das Sicherheitsdispositiv des KKB weiter gestärkt hätten. Der Sicherheitsnachweis in der Aktennotiz beruhe somit auf überholten Fakten. Sodann habe die Vorinstanz mit einer weiteren Verfügung vom 26. Mai 2016 neue Anforderungen hinsichtlich der Gefährdungsannahmen und der Nachweisführung für Erdbeben vorgegeben. Demnach seien nun neue Nachweisparameter massgebend. Aufgrund der veränderten tatsächlichen und rechtlichen Rahmenbedingungen würden sich zahlreiche Anträge als gegenstandslos erweisen und die sofortige Ausserbetriebnahme des KKB könne nicht gefordert werden. Im Übrigen könne in der vorliegenden Konstellation auch nicht ausnahmsweise auf das Erfordernis der Aktualität des Rechtsschutzinteresses verzichtet werden, da sich dieselben Fragen (bezüglich des konkret strittigen Sicherheitsnachweises) aufgrund des sich fortlaufend verändernden Standes des Sicherheitsdispositivs der Anlage nie wieder stellen könne. Den Beschwerdeführenden gehe es allein um die Kontrolle und Beurteilung der historischen Aufsichtstätigkeit. Schliesslich sollten mit Art. 25a VwVG ausschliesslich Rechtsschutzlücken im Bereich des tatsächlichen Verwaltungshandelns behoben werden. Die Bestimmung diene jedoch nicht dazu, den Rechtsweg - trotz der bezüglich der Verfügung vom 26. Mai 2016 verpassten Fristen - wieder zu öffnen. Folglich sei auf die Beschwerde nicht einzutreten.
1.2.1.2 Die Beschwerdeführenden halten dagegen, dass die zwischenzeitlich erfolgten Nachrüstungen nichts am Befund der Aktennotiz ändern würden. Solange die seit dem angefochtenen Realakt getroffenen Massnahmen nicht nachweislich die von ihnen gerügte Widerrechtlichkeit beseitigen würden, bleibe ihr Interesse aktuell. Ebenso habe sich auch in (aufsichts- )rechtlicher Hinsicht mit dem Erlass der Verfügung vom 26. Mai 2016 nichts verändert. Die Vorinstanz halte nach wie vor an der gerügten Praxis der willkürlich punktuell festgelegten Jährlichkeiten und der falschen Zuordnung des 10'000-jährlichen Ereignisses fest. Mithin würden sie über ein aktuelles schutzwürdiges Interesse an der unverzüglichen vorläufigen Ausserbetriebnahme des KKB verfügen. Schliesslich seien auch die Voraussetzungen für einen Verzicht auf das Erfordernis der Aktualität gegeben. Denn aufgrund der fortwährenden Aufsichtstätigkeit und des sich ständig ändernden Sachverhalts könnte kaum je eine rechtzeitige Überprüfung im Einzelfall erfolgen. Ohnehin würden sich vorliegend Rechtsfragen stellen, die nicht durch Veränderungen der tatsächlichen Elemente beeinflusst würden.
1.2.1.3 Praxisgemäss wird vom Beschwerdeführer ein schutzwürdiges Interesse verlangt. Dieses besteht im praktischen Nutzen, der sich ergibt, wenn er mit seinem Anliegen obsiegt und dadurch seine tatsächliche oder rechtliche Situation unmittelbar beeinflusst werden kann. Die Beschwerde dient nicht dazu, abstrakt die objektive Rechtmässigkeit des staatlichen Handelns zu überprüfen, sondern dem Beschwerdeführer einen praktischen Vorteil zu verschaffen (BGE 141 II 14 E. 4.4 und BGE 140 II 214 E. 2.1). Das Interesse gilt solange als aktuell, als der mit der angefochtenen Verfügung verbundene Nachteil im Urteilszeitpunkt noch besteht bzw. der angefochtene Akt noch Rechtswirkungen zeitigt (Vera Marantelli/ Said Huber, in: Waldmann/Weissenberger [Hrsg.], Praxiskommentar Verwaltungsverfahrensgesetz, 2. Aufl. 2016 [nachfolgend: Praxiskommentar VwVG], Art. 48 Rz. 10 und 15).
1.2.1.4 Das Bundesgericht hat im Zusammenhang mit dem Kernkraftwerk Mühleberg (nachfolgend: KKM) bereits erkannt, dass an einer ordnungsgemässen Sicherheitsüberprüfung und der Einhaltung der dem Schutz der Anwohner dienenden Normen der Störfallvorsorge ein ausgewiesenes Rechtsschutzinteresse bestehe. Solange der Sicherheitsnachweis für die Beherrschung eines Auslegungsstörfalls nicht erbracht sei, sei die nukleare Sicherheit des KKM nicht (mehr) gewährleistet. Entscheidend für das Vorliegen eines Rechtsschutzinteresses ist demnach die sog. Risikoexposition (BGE 140 II 315 E. 3.4 und 5.2.3; Urteil des BVGer A-5762/2012 vom 7. Februar 2013 E. 7 und 8; kritisch zum Kriterium der Risikoexposition: Kathrin Föhse/Joel Drittenbass, Parteistellung und Rechtsschutz natürlicher Personen im Umfeld von Kernkraftwerken, in: Sicherheit & Recht, Heft 3, 2017, S. 167 ff., S. 172 f. und 175 ff.).
1.2.1.5 Im konkreten Fall richtet sich die Beschwerde gegen die Verfügung, mit welcher die Vorinstanz den Sicherheitsnachweis des KKB zur Beherrschung eines 10'000-jährlichen Erdbebens als erbracht erachtete. Die Beschwerdeführenden bestreiten das Vorliegen eines ordnungsgemässen Sicherheitsnachweises, da die Vorinstanz die Dosislimite für die durch Naturereignisse ausgelösten Störfälle falsch festgelegt und trotz der resultierenden Dosisgrenzwertüberschreitung nicht die unverzügliche Ausserbetriebnahme des KKB angeordnet habe. Weiter rügen sie insbesondere eine widerrechtliche Ermittlung der aus einem Störfall resultierenden zusätzlichen Strahlendosis. Folglich besteht im Lichte der oben dargestellten Rechtsprechung grundsätzlich ein Rechtsschutzinteresse der Beschwerdeführenden an der Überprüfung des strittigen Sicherheitsnachweises. Daran vermögen auch die von der Beschwerdegegnerin angeführten Nachrüstungen, mithin der zwischenzeitlich geänderte Sachverhalt und die seither erbrachten Sicherheitsnachweise nichts zu ändern. Da sich die Beschwerde im Kern gegen die "gelebte Aufsichtspraxis" des ENSI richtet, bleibt das Interesse der Beschwerdeführenden an deren Überprüfung solange aktuell, als das ENSI auf seine Praxis nicht in dem beantragten Sinn zurückkommt. Die ordnungsgemässe Aufsicht wird als Rechtsfrage von den tatsächlichen Entwicklungen nicht beeinflusst. Im konkreten Fall hat die Vorinstanz mit der angefochtenen Verfügung an ihrer Aufsichtspraxis vollumfänglich festgehalten. Folglich besteht grundsätzlich ein aktuelles, schutzwürdiges Interesse an deren Überprüfung.
1.2.1.6 Soweit die Beschwerdeführenden mit ihrem Begehren Nr. 2.3 fordern, die Vorinstanz sei anzuweisen, für die unverzügliche vorläufige Ausserbetriebnahme des KKB zu sorgen, kann ihnen nicht gefolgt werden. Zwischen der Aktennotiz vom 7. Juli 2012 und der Gesuchseinreichung vom 19. August 2015 sind mehrere Jahre vergangen. Diesbezüglich ist unbestritten, dass Nachrüstungen am KKB erfolgt sind; strittig ist, ob diese Nachrüstungen einen Einfluss auf die festgestellte Freisetzung radioaktiver Stoffe bei einem Störfall haben. Wie es sich damit verhält, kann vorliegend offen bleiben, da zumindest als erstellt gelten kann, dass der Stand der Anlage im heutigen Zeitpunkt nicht mehr derselbe ist. Sollte somit im Folgenden eine widerrechtliche Praxis der Vorinstanz festgestellt werden, müsste ein neuer Sicherheitsnachweis gefordert werden, der die Grundlage für den Entscheid einer allfälligen Ausserbetriebnahme des KKB bilden würde. Nach dem Gesagten fehlt es an einem aktuellen Interesse an der geforderten unverzüglichen Ausserbetriebnahme des KKB.
Bei gegebenen Voraussetzungen könnte ferner ausnahmsweise auf das Erfordernis des aktuellen Rechtsschutzinteresses verzichtet werden (vgl. BGE 142 I 135 E. 1.1). In diesem Fall würde dem Leistungsbegehren Nr. 2.3 in Form eines Feststellungsbegehrens Rechnung getragen. Dieses wäre darauf gerichtet, ob die Vorinstanz aufgrund des damaligen Standes der Anlage eine unverzügliche vorläufige Ausserbetriebnahme des KKB hätte anordnen müssen. Da die Beschwerdeführenden parallel zum Leistungsbegehren jedoch ein entsprechendes Feststellungsbegehren (Begehren Nr. 2.2) stellen, braucht die Frage des Verzichts auf ein aktuelles Rechtsschutzinteresse nicht abschliessend geklärt zu werden. Das Begehren Nr. 2.3 geht letztlich im Begehren Nr. 2.2 auf. Folglich wird mit der Beurteilung des Begehrens Nr. 2.2 dem Rechtsschutzbedürfnis der Beschwerdeführenden bereits vollumfänglich Rechnung getragen. Demnach ist auf das Begehren Nr. 2.3 mangels Aktualität nicht einzutreten.
1.2.1.7 Schliesslich stellen die Beschwerdeführenden weitere Leistungsbegehren (Nrn. 3.3 und 4.3). Diesen ist gemein, dass sie eine unverzügliche Ausserbetriebnahme des KKB voraussetzen und bei dessen allfälligen Wiederinbetriebnahme gewisse zusätzliche Nachweise fordern. Nachdem mangels aktuellen Interesses auf das Begehren Nr. 2.3 nicht einzutreten ist, entfällt auch von vornherein das Rechtsschutzinteresse an den beiden weiterführenden Begehren. Folglich ist auf die Leistungsbegehren Nrn. 3.3 und 4.3 ebenfalls nicht einzutreten.
1.2.2 Räumliche Beziehungsnähe
1.2.2.1 Die Beschwerdelegitimation setzt weiter eine hinreichende (räumliche) Beziehungsnähe voraus. Nach der bundesgerichtlichen Rechtsprechung sind Anwohner der Notfallplanungszone 1 (Gebiet im Umkreis von 3 bis 5 Kilometer um eine Kernanlage) befugt, eine Verfügung über aufsichtsrechtliche Realakte der Vorinstanz zu verlangen, wenn die nukleare Sicherheit auf dem Spiel steht (BGE 140 II 315 E. 5.1).
1.2.2.2 Demnach sind die Beschwerdeführenden Nrn. 1-10, deren Zuordnung zur Notfallplanungszone 1 unbestritten geblieben ist, als Anwohner des KKB zu qualifizieren. Ihre Beschwerdelegitimation wird von den Verfahrensbeteiligten zu Recht nicht in Frage gestellt.
1.2.2.3 Die Beschwerdegegnerin macht aber geltend, seitens der Beschwerdeführenden Nrn. 13-15 bestehe keine hinreichende Beziehungsnähe. Diese befänden sich - wie alle anderen Einwohner der Schweiz - in der Zone Nr. 3. Mithin liege eine Popularbeschwerde vor.
Die Beschwerdeführenden halten dagegen, dass sich die Legitimation der Beschwerdeführenden Nrn. 13-15 nicht aus der Gefahrenzone ableite. Sie befänden sich vielmehr innerhalb des 50 km-Radius um das KKB, in welchem Jodtabletten vorsorglich an die Bevölkerung abgegeben werden (Art. 3 der Jodtabletten-Verordnung vom 22. Januar 2014 [SR 814.52]). Demnach seien sie gegenüber der Allgemeinheit einer erhöhten Gefährdung ausgesetzt.
1.2.2.4 Praxisgemäss genügt bei einer gemeinsamen Beschwerdeführung, wenn die Beschwerdelegitimation einzelner Beschwerdeführenden bejaht werden kann. Das Rechtsschutzinteresse weiterer Beteiligter braucht in diesem Fall nicht abschliessend geprüft zu werden (vgl. betreffend das KKM: BGE 140 II 315 E. 5.1 und Urteil des BVGer A-667/2010 vom 1. März 2012 E. 1.2; vgl. im Allgemeinen: Urteil des BVGer A-391/2014 vom 14. Oktober 2015 E. 1.2 mit weiteren Hinweisen). Nachdem diese Voraussetzungen vorliegend erfüllt sind, kann die Frage der hinreichenden Beziehungsnähe der Beschwerdeführenden Nrn. 13-15 offen bleiben.
1.2.3 Subsidiarität der Feststellungsbegehren
1.2.3.1 Die Beschwerdegegnerin bringt sodann vor, dass die "verästelten, sich über vier A4-Seiten erstreckenden Antragskomplexe" den formellen Anforderungen an eine Beschwerde nicht genügen würden. Konkret mangle es bezüglich zahlreicher Feststellungsbegehren insbesondere an einem schutzwürdigen Interesse, da ebenso ein Leistungs- oder Gestaltungsentscheid möglich sei. Zudem würden die Feststellungsbegehren keinen eigenständigen Gehalt aufweisen.
1.2.3.2 Die Beschwerdeführenden bringen dagegen vor, dass die Feststellung einer Widerrechtlichkeit einer Handlung bzw. Unterlassung ein selbständiger Tatbestand von Art. 25a VwVG sei. Das Feststellungsbegehren stelle eine Form der Folgenbeseitigung dar und habe präventive Funktion. Sie seien deshalb nicht gezwungen, Gestaltungsbegehren zu stellen.
1.2.3.3 Die Beschwerdeführenden weisen zu Recht daraufhin, dass ein Feststellungsbegehren der Folgebeseitigung dienen kann. In diesem Zusammenhang ist insbesondere anerkannt, dass mit einem Feststellungsbegehren auf die Korrektur einer künftigen Verwaltungspraxis hingewirkt werden kann (sog. präventive Wirkung: Isabelle Häner, in: Praxiskommentar VwVG, Art. 25a Rz. 44; Beatrice Weber-Dürler, Auer/Müller/Schindler [Hrsg.], Kommentar zum VwVG, 2. Aufl. 2019 [nachfolgend: Kommentar VwVG], Art. 25a Rz. 31; Enrico Riva, Neue bundesrechtliche Regelung des Rechtsschutzes gegen Realakte, in: SJZ 200, S. 337 ff., S. 344). Dies bezwecken die Beschwerdeführenden auch im vorliegenden Fall, soweit sie die Feststellung einer widerrechtlichen Aufsichtspraxis verlangen (Begehren Nr. 2.1). Weiter wurde oben festgestellt, dass den Beschwerdeführenden ein Leistungsbegehren auf unverzügliche vorläufige Ausserbetriebnahme des KKB mangels aktuellen praktischen Interesses nicht (mehr) offensteht (vgl. E. 1.2.1.6). In dieser Konstellation ist die diesbezüglich beantragte Feststellung (Begehren Nr. 2.2) gemäss Art. 25a Abs. 1 Bst. c VwVG zulässig.
1.2.3.4 Anders verhält es sich hingegen mit den weiteren Feststellungsbegehren (einerseits Nrn. 3.1 und 3.2 sowie andererseits Nrn. 4.1 und 4.2), welche die Beschwerdeführenden allesamt kumulativ mit einem Leistungsbegehren (einerseits Nr. 3.4 sowie andererseits Nrn. 4.4 und 4.5) gestellt haben. Zwar ist in der Lehre im Anwendungsbereich von Art. 25a VwVG die Frage der Subsidiarität eines Feststellungsbegehrens gegenüber einem Leistungs- oder Gestaltungsbegehren umstritten (die Subsidiarität bejahend: Michael Beusch/André W. Moser/Lorenz Kneubühler, Ausgewählte prozessrechtliche Fragen im Verfahren vor dem Bundesverwaltungsgericht, in: ZBl 2008, Bd. 109, S. 1 ff., S. 7 Fn. 32; Häner, in: Praxiskommentar VwVG, Art. 25a Rz. 45, Riva, a.a.O., S. 344; a.M. Weber-Dürler, Kommentar VwVG, Art. 25a Rz. 46, Marianne Tschopp-Christen, Rechtsschutz gegenüber Realakten des Bundes, 2009, S. 155). Einigkeit herrscht aber zumindest für den Fall, dass ein Betroffener parallel beide Formen von Begehren geltend macht und dem Feststellungsbegehren dabei kein eigenständiger Gehalt zukommt. Trifft dies zu, besteht kein schutzwürdiges Interesse an der beantragten Feststellung (Tschopp-Christen, a.a.O., S. 156 f.; Weber-Dürler, in: Kommentar VwVG, Art. 25a Rz. 46). Insoweit erwog das Bundesgericht, wenn auch in einem anderen Zusammenhang, das schutzwürdige Interesse an einem Entscheid über das Realhandeln des ENSI (Art. 25a VwVG) bestehe nicht darin, dass abstrakt über die Widerrechtlichkeit einzelner Aufsichtshandlungen Feststellungen getroffen, sondern darin, dass die gesetzlich vorgeschriebenen Schutzmassnahmen gegen Gefährdungen umgesetzt werden (vgl. Urteil des BGer 2C_545/2018 vom 5. Oktober 2018 E. 2.3). Mithin stehen konkrete Anordnungen und damit Leistungs- und Gestaltungsbegehren im Vordergrund.
Die Beschwerdeführenden verfolgen mit ihren Feststellungsbegehren letztlich dasselbe Ziel wie mit ihren Leistungsbegehren; die beantragten Feststellungen haben keine eigenständige oder darüber hinausgehende Wirkung. Damit fehlt es an einem schutzwürdigen Interesse. Auf die Feststellungsbegehren Nrn. 3.1, 3.2, 4.1 und 4.2 ist deshalb nicht einzutreten.
1.2.4 Vorbehältlich der obigen Ausführungen (E. 1.2.1-1.2.3) sind die Beschwerdeführenden zur Beschwerde legitimiert.
1.3 Streitgegenstand
1.3.1 Streitgegenstand in der nachträglichen Verwaltungsrechtspflege ist das Rechtsverhältnis, das Gegenstand der angefochtenen Verfügung (Anfechtungsobjekt) bildet, soweit es im Streit liegt. Gegenstände, über welche die erstinstanzlich verfügende Behörde nicht entschieden hat und über die sie nicht zu entscheiden hatte, sind aus Gründen der funktionellen Zuständigkeit durch die zweite Instanz nicht zu beurteilen (vgl. BGE 142 I 155 E. 4.4.2 und BGE 136 II 457 E. 4.2; Christoph Auer, Streitgegenstand und Rügeprinzip im Spannungsfeld der verwaltungsrechtlichen Prozessmaximen, 1997, S. 35 und 63 Rz. 403 f.; Alfred Kölz/Isabelle Häner/Martin Bertschi, Verwaltungsverfahren und Verwaltungsrechtspflege des Bundes, 3. Aufl. 2013, Rz. 686 ff.).
1.3.2
1.3.2.1 Die Vorinstanz definiert in der angefochtenen Verfügung den Streitgegenstand wie folgt: Gegenstand des Verfahrens bilde einzig der spezifische Nachweis für den Auslegungsstörfall Erdbeben (und Erdbeben in Kombination mit Hochwasser) mit einer bestimmten bzw. bestimmbaren Ereignishäufigkeit an der Grenze der Auslegung des KKB. Folglich gehe es zu weit, wenn die Beschwerdeführenden deterministische Sicherheitsbewertungen für Ereignisse mit verschiedenen Häufigkeiten oder gar für ein Kontinuum von Häufigkeiten fordern würden. Ferner übersteige die Überprüfung anderer Sicherheitsbewertungen oder anderer Aufsichtshandlungen als jene in der strittigen Aktennotiz den Rahmen der Verfügung. Folglich bewege sich das Begehren, es seien sämtliche weiteren auf der gerügten Praxis beruhenden Aufsichtshandlungen zu widerrufen, ausserhalb des Streitgegenstandes, soweit sich dieses nicht auf den strittigen Nachweis betreffend das KKB beziehe. Zudem würden weder die in der Verfügung vom 26. Mai 2016 festgelegten neuen Erdbebengefährdungsannahmen (ENSI-2015) noch die hierbei verlangte Neuüberprüfung des KKB Gegenstand des Verfahrens bilden.
1.3.2.2 Die Beschwerdeführenden bringen dazu vor, dass die Vorinstanz den Streitgegenstand zu Unrecht beschränkt habe. Der Streitgegenstand werde durch die Gesuchsbegehren bestimmt. Folglich könne nur auf ein Nichteintreten erkannt werden, wenn die Voraussetzungen von Art. 25a VwVG nicht erfüllt seien. Bezeichne aber die Behörde - wie vorliegend - eine (materielle) Abweisung als angebliches Nichteintreten, ändere dies nichts an der Zulässigkeit der Begehren. Das Gericht habe diese Begehren umfassend zu prüfen; für eine Rückweisung aufgrund eines unrechtmässigen Nichteintretens bestehe kein Anlass.
1.3.2.3 Nach Ansicht der Beschwerdegegnerin bildet die Aktennotiz den Streitgegenstand des vorinstanzlichen Verfahrens. Darin habe die Vorinstanz von ihr den Nachweis verlangt, dass das KKB ein 10'000-jährliches Erdbeben beherrsche. Mit der Aktennotiz habe die Vorinstanz festgestellt, dass sie diesen Nachweis erbracht habe. Alle weiteren damit nicht in einem Zusammenhang stehenden Verfügungen (auch jene vom 26. Mai 2016 betreffend die neuen Erdbebengefährdungsannahmen ENSI-2015), Aufsichtshandlungen oder angeblichen Unterlassungen der Vorinstanz, hätten bereits im erstinstanzlichen Verfahren nicht zum Streitgegenstand gehört. Demnach sei die Vorinstanz zu Recht nicht darauf eingetreten.
1.3.2.4 Die Vorinstanz macht geltend, dass im Beschwerdeverfahren vor dem Bundesverwaltungsgericht nur die Frage zu klären sei, ob sie zu Recht den Streitgegenstand beschränkt habe oder ob sie auf die weitergehenden Begehren hätte eintreten müssen. Insofern bleibe das Verfahren allein auf die Eintretensfrage beschränkt.
1.3.3 Wird - wie hier - ein Entscheid angefochten, in dem die Vorinstanz auf gewisse Begehren nicht eingetreten ist, so prüft das Bundesverwaltungsgericht diesbezüglich nur die Rechtsfrage, ob die Vorinstanz die Eintretensvoraussetzungen insoweit zu Recht verneinte (statt vieler: Urteil des BVGer A-1269/2015 vom 11. August 2015 E. 1.3; André Moser/Michael Beusch/Lorenz Kneubühler, Prozessieren vor dem Bundesverwaltungsgericht, 2. Aufl. 2013, Rz. 2.8, 2.164 und 2.213). Folglich ist zu beurteilen, ob die Vorinstanz den Streitgegenstand korrekt definierte.
1.3.3.1 Wird die erstinstanzliche Anordnung durch ein Gesuch eingeleitet, bestimmt sich der Streitgegenstand des Verfahrens bereits aufgrund der Gesuchsbegehren und dem ihnen zugrunde gelegten Sachverhalt (vgl. Martin Bertschi, in: Alain Griffel [Hrsg.], Kommentar VRG, 3. Aufl., 2014, Vorbemerkungen zu §§19-28a, Rz. 46).
1.3.3.2 Nach dem Gesagten sind die Gesuchsbegehren entscheidend für die Bestimmung des Streitgegenstandes; dieser hängt damit gerade nicht von der vorinstanzlichen Verfügung ab. Trotzdem kann dessen Umfang nicht losgelöst vom Sachverhalt bestimmt werden. Im konkreten Fall bildete die strittige Aktennotiz bzw. die darin zum Ausdruck kommende Aufsichtspraxis der Vorinstanz den Auslöser für das Gesuch der Beschwerdeführenden. Dadurch wird der Streitgegenstand letztlich dennoch durch die Aktennotiz definiert. Folglich brauchten die weiterführenden, ausserhalb des Sachverhaltskomplexes der Aktennotiz stehenden Begehren grundsätzlich nicht geprüft zu werden (vgl. hierzu A-4153/2016 E. 1.4, wo der Streitgegenstand betreffend den Realakt - wenn auch ohne Begründung - auf den Sachverhalt zum KKM beschränkt wurde). Die Vorinstanz ist damit zu Recht nicht auf die entsprechenden Begehren ([i.] Feststellung der Widerrechtlichkeit sämtlicher früherer auf der strittigen Praxis des ENSI beruhender Verfügungen, Aufsichtshandlungen und Informationen der Öffentlichkeit sowie [ii.] deren Widerruf samt Beseitigung ihrer Folgen) eingetreten. Dementsprechend bildete auch die Verfügung vom 26. Mai 2016 betreffend die festgelegten neuen Erdbebengefährdungsannahmen und die angeordnete Neuüberprüfung des KKB nicht Gegenstand des erstinstanzlichen Verfahrens. Folglich sind die Beschwerdebegehren Nrn. 5 und 7 abzuweisen.
Ohnehin würde sich selbst für den Fall, dass die Vorinstanz auf die beiden Begehren hätte eintreten müssen, nichts am Ausgang des vorliegenden Beschwerdeverfahrens ändern. Wie noch zu zeigen sein wird, wäre den Begehren materiell keine Folge zu leisten (vgl. E. 7-9).
1.3.4
1.3.4.1 Weiter führt die Vorinstanz aus, dass es über den Rahmen des Verfahrens hinausgehe, wenn (deterministische) Sicherheitsbewertungen für Ereignisse mit verschiedenen Häufigkeiten oder gar für ein Kontinuum von Häufigkeiten gefordert werden. Die Rechtmässigkeit der Sicherheitsbewertung aus dem Jahr 2012 sei lediglich bei der korrekterweise zu unterstellenden Häufigkeit des Störfallereignisses zu überprüfen.
1.3.4.2 Wird ein Nichteintretensentscheid mit materiellen Argumenten begründet, handelt es sich um einen materiellen Entscheid (vgl. Urteil des BGer 2C_762/2010 vom 2. Februar 2011 E. 2; Urteil des BVGer B-5405/2015 vom 1. Februar 2017 E. 1). In diesem Fall bilden jene Begehren, auf die formell nicht eingetreten wurden, Teil des Streitgegenstandes, soweit sie angefochten werden. Sie sind damit ohne Weiteres einem reformatorischen Entscheid zugänglich.
1.3.4.3 Im konkreten Fall hat sich die Vorinstanz nicht nur dazu geäussert, weshalb für den deterministischen Sicherheitsnachweis bezüglich Erdbeben auf ein 10'000-jährliches Ereignis abzustellen sei. Vielmehr legt sie zugleich auch dar, aus welchen Gründen die Beschwerdeführenden keine weiteren, insbesondere "abdeckende" Nachweise für ein 9'999-jährliches oder ein 1'000'000-jährliches bzw. 999'999-jährliches Ereignis verlangen können. Damit äussert sie sich materiell zu den von den Beschwerdeführenden gestellten Begehren. Obwohl sie auf die einzelnen Begehren (formell) nicht eingetreten ist, hat sie diese bei Lichte betrachtet (materiell) abgewiesen. Damit bilden diese Begehren ohne Weiteres Gegenstand des vorliegenden Verfahrens. Darauf ist im Folgenden einzutreten.
1.3.5 Nach dem Gesagten bildet der in der strittigen Aktennotiz zum Ausdruck kommende Sachverhalt betreffend das KKB den Streitgegenstand. Auf die darüber hinaus reichenden Begehren Nrn. 5 und 7 ist nicht einzutreten. Demgegenüber sind die Begehren betreffend den Nachweis zu den weiteren Häufigkeiten zu beurteilen.
1.4 Auf die im Übrigen frist- und formgerecht eingereichte Beschwerde (vgl. Art. 50 Abs. 1 und Art. 52 VwVG) ist daher - vorbehältlich der E. 1.2 und 1.3 - einzutreten.
Das Bundesverwaltungsgericht entscheidet grundsätzlich mit uneingeschränkter Kognition. Es überprüft die angefochtene Verfügung auf Rechtsverletzungen - einschliesslich unrichtiger oder unvollständiger Feststellung des rechtserheblichen Sachverhalts und Rechtsfehler bei der Ermessensausübung - sowie auf Angemessenheit hin (Art. 49 VwVG). Es auferlegt sich allerdings dann eine gewisse Zurückhaltung, wenn unter anderem technische Fragen zu beurteilen sind. Verfügt die Vorinstanz - wie vorliegend das ENSI (Art. 6 Bst. a KEV; René Schaffhauser/Felix Uhlmann, in: Ehrenzeller et al. [Hrsg.], Die Schweizerische Bundesverfassung, St. Galler Kommentar, 3. Aufl. 2014 [nachfolgend: St. Galler BV-Kommentar], Art. 90 Rz. 22) - über bessere Kenntnisse, namentlich bei technischen und örtlichen Verhältnissen, setzt die Beschwerdeinstanz ihr eigenes Ermessen nicht "ohne Not" an die Stelle der Vorinstanz (statt vieler: BGE 139 II 185 E. 14.1; A-4153/2016 E. 2; Oliver Zibung/Elias Hofstetter, in: Praxiskommentar VwVG, Art. 49 Rz. 22 und 46 f.).
An erster Stelle ist auf die formellen Rügen der Beschwerdeführenden einzugehen.
3.1 Die Beschwerdeführenden bringen vor, die Vorinstanz habe sich im Zusammenhang mit der Beschränkung ihres Akteneinsichtsrechts parteiisch verhalten. Konkret beanstanden sie, dass die Vorinstanz die anwaltlich vertretene Beschwerdegegnerin von sich aus aufgefordert habe, bezüglich der eingereichten Akten Verfahrensanträge für eine Einschränkung der Akteneinsicht zu stellen und zu begründen. Dies wäre einzig zum Schutz öffentlicher, nicht aber privater Interessen zulässig gewesen. Mit ihrem einseitigen Vorgehen habe die Vorinstanz das Gebot der "gleichen und gerechten Behandlung" von Art. 29 Abs. 1 der Bundesverfassung vom 18. April 1999 (BV, SR 101) verletzt.
3.2 Die Vorinstanz erfüllt die Aufgaben, die ihr insbesondere nach der Kernenergie- und der Strahlenschutzgesetzgebung übertragen sind (Art. 2 Abs. 1 des Bundesgesetzes vom 22. Juni 2007 über das Eidgenössische Nuklearsicherheitsinspektorat [ENSIG; SR 732.2]). Hat sie in ihrem Verfahren über eine Akteneinsicht zu entscheiden, wendet sie die entsprechende Anspruchsgrundlage sowie deren Ausnahmeregelung (Art. 26 und 27 VwVG) von Amtes wegen an. Dabei hat sie nicht nur allfällige der Akteneinsicht entgegenstehende Gründe zu prüfen, sondern es liegt ihn ihrem pflichtgemässen Ermessen zwischen den Interessen an der Akteneinsicht und allfälligen Geheimhaltungsinteressen abzuwägen (vgl. Bernhard Waldmann/Magnus Oeschger, in: Praxiskommentar VwVG, Art. 27 Rz. 3).
3.3 Demnach ist es nicht zu beanstanden, dass die Vorinstanz aus eigenem Antrieb die Beschwerdegegnerin um die Darlegung allfälliger Geheimhaltungsgründe anfragte. Vielmehr handelt es sich um ein ordnungsgemässes Vorgehen. Ein parteiisches Verhalten liegt nicht vor.
4.1 Die strittige Aktennotiz stammt vom 7. Juli 2012. Die angefochtene Verfügung betreffend den Realakt erging ihrerseits am 27. Februar 2017. Per 1. Januar 2018 ist sodann die neue Strahlenschutzverordnung 26. April 2017 (StSV; SR 814.501) in Kraft getreten. Es stellt sich deshalb die Frage, nach welchem Recht die Aktennotiz bzw. die angefochtene Verfügung zu beurteilen sind.
Die massgebliche Bestimmung, Art. 94 der Strahlenschutzverordnung vom 22. Juni 1994 (aStSV, AS 1994 1947 bzw. AS 2005 601), wurde - soweit sie vorliegend von Interesse ist - bis auf gesetzestechnische und untergeordnete sprachliche Anpassungen integral in die neue Bestimmung von Art. 123 StSV überführt. Da beide Regelungen denselben Gehalt aufweisen (vgl. auch Erläuternder Bericht zur Totalrevision der Strahlenschutzverordnung [StSV], gefunden unter: > Gesund leben > Strahlung, Radioaktivität & Schall > Totalrevision der Verordnungen im Strahlenschutz > Bundesrätliche Verordnungen > Strahlenschutzverordnung [StSV], abgerufen am 13. November 2018 [nachfolgend: Erläuternder Bericht StSV], Art. 136, S. 42), erübrigen sich Ausführungen zur intertemporalen Geltung. Es wird im Folgenden ausschliesslich auf die Bestimmung der alten Strahlenschutzverordnung Bezug genommen, wie in den Eingaben im Verfahren.
4.2 Soweit Art. 8 Abs. 4 der Kernenergieverordnung vom 10. Dezember 2004 (KEV, SR 732.11) auf die Strahlenschutzverordnung verweist, wird im Folgenden jeweils die altrechtliche Bestimmung der Kernenergieverordnung (AS 2005 601) verwendet. Der Gehalt dieser Norm hat sich durch die zwischenzeitlich erfolgte Revision der Strahlenschutzverordnung ebenfalls nicht verändert.
5.1 Der Gesetzgeber räumt der nuklearen Sicherheit einen hohen Stellenwert ein. Hierzu definiert er in Art. 4 des Kernenergiegesetzes vom 21. März 2003 (KEG, SR 732.1) die allgemeinen Grundsätze bzw. Schutzziele: Danach sind bei der Nutzung der Kernenergie Mensch und Umwelt vor Gefährdungen durch ionisierende Strahlung zu schützen. Radioaktive Stoffe dürfen nur in nicht gefährdendem Umfang freigesetzt werden. Es muss insbesondere Vorsorge getroffen werden gegen eine unzulässige Freisetzung radioaktiver Stoffe sowie gegen eine unzulässige Bestrahlung von Personen im Normalbetrieb und bei Störfällen (Art. 4 Abs. 1 KEG). Im Sinne der Vorsorge sind alle Vorkehren zu treffen, die nach der Erfahrung und dem Stand von Wissenschaft und Technik notwendig sind (Bst. a) und zu einer weiteren Verminderung der Gefährdung beitragen, soweit sie angemessen sind (Bst. b; sog. ALARA-Prinzip [As Low As Reasonably Achievable]). Um die Einhaltung der genannten Grundsätze gewährleisten zu können, verlangt Art. 5 Abs. 1 KEG, dass bei der Auslegung (verstanden als die konzeptionelle Ausgestaltung und technische Realisierung einer Kernanlage), beim Bau und beim Betrieb von Kernkraftwerken Schutz-massnahmen nach international anerkannten Grundsätzen zu treffen sind. Schliesslich hält Art. 5 Abs. 4 KEG fest, dass der Bundesrat regelt, welche Schutzmassnahmen erforderlich sind (vgl. zum Ganzen: Franz Kessler Coendet/Andreas Schefer, in: Kratz et al. [Hrsg.], Kommentar zum Energierecht, Bd. II, 2016 [nachfolgend: Kommentar Energierecht], Art. 4 Rz. 1 und Art. 5 Rz. 7 ff.).
5.2 Die genannten Anforderungen an die nukleare Sicherheit und die zu treffenden Schutzmassnahmen werden auf Verordnungsstufe für Kernkraftwerke in den Art. 7-10 KEV konkretisiert.
5.2.1 Gemäss Art. 7 Bst. c KEV muss die Anlage so ausgelegt werden, dass nicht nur im Normalbetrieb, sondern auch bei Störfällen keine unzulässigen radiologischen Auswirkungen in der Umgebung der Anlage entstehen; dazu sind passive und aktive Sicherheitssysteme vorzusehen (sog. Auslegungsstörfälle; vgl. demgegenüber die vorliegend nicht relevanten auslegungsüberschreitenden Störfälle, bei welchen radioaktive Stoffe in gefährdendem Umfang freigesetzt werden [Art. 7 Bst. d KEV]; zum Ganzen: Ulrich Schmocker/Patrick Meyer, in: Risikobasiertes Recht - Risikoorientierte Aufsicht in der Kernenergie, Teil I, Risikoorientierte Aufsicht über die Schweizer Kernanlagen, 2000, S. 20 ff.). Um dieses Ziel (nukleare Sicherheit) zu erreichen, sind bei Kernkraftwerken gegen Auslegungsstörfälle mit Ursprung innerhalb und ausserhalb der Anlage Schutzmassnahmen zu treffen. Zu den letztgenannten Störfällen zählen insbesondere solche, die durch Erdbeben und Überflutungen ausgelöst werden (vgl. Art. 8 Abs. 1 und 3 KEV).
5.2.2 Auslegungsstörfälle müssen deterministisch beherrscht werden, indem vom Bewilligungsinhaber eines Kernkraftwerks nachzuweisen ist, dass insbesondere die radiologischen Vorgaben (sog. Dosisrichtwerte) eingehalten werden (vgl. BGE 139 II 185 E. 11.5.1; Schmocker/Meyer, a.a.O., S. 23; vgl. demgegenüber die auslegungsüberschreitenden Störfälle, welche nicht deterministisch beherrscht, sondern im Rahmen einer probabilistischen Sicherheitsanalyse [PSA] bewertet werden). Hierzu werden die Störfälle nach den Häufigkeiten gemäss Art. 94 Abs. 2-5 aStSV eingeteilt; zudem ist zusätzlich zum auslösenden Ereignis ein unabhängiger Einzelfehler zu unterstellen (vgl. Art. 10 Abs. 1 Bst. a KEV; wonach unter einem Einzelfehler das zufällige Versagen einer Komponente verstanden wird, welche zum Verlust ihrer Sicherheitsfunktion führt). Es ist nachzuweisen, dass die Dosen der einzelnen Störfallkategorien (sog. Strahlenexposition) eingehalten werden (Art. 8 Abs. 4 KEV).
5.2.3 Art. 94 aStSV regelt die Störfallvorsorge - soweit vorliegend von Interesse - wie folgt:
(...)
Abs. 3:Bei Störfällen, die mit einer Häufigkeit zwischen 10-1 und 10-2 pro Jahr zu erwarten sind, muss der Betrieb so ausgelegt sein, dass ein einzelner Störfall eine zusätzliche Dosis von höchstens dem für diesen Betrieb festgelegten quellenbezogenen jährlichen Dosiswert (Anm.: 0,3 mSv [Richtlinie ENSI-G15, Ziff. 4.3.1 Bst. b und e]) zur Folge hat.
Abs. 4:Bei Störfällen, die mit einer Häufigkeit zwischen 10-2 und 10-4 pro Jahr zu erwarten sind, muss der Betrieb so ausgelegt sein, dass die aus einem einzelnen Störfall resultierende Dosis für nichtberuflich strahlenexponierte Personen höchstens 1 mSv beträgt.
Abs. 5: Bei Störfällen, die mit einer Häufigkeit zwischen 10-4 und 10-6 pro Jahr zu erwarten sind, muss der Betrieb so ausgelegt sein, dass die aus einem einzelnen Störfall resultierende Dosis für nichtberuflich strahlenexponierte Personen höchstens 100 mSv beträgt. Die Bewilligungsbehörde kann im Einzelfall eine tiefere Dosis vorsehen.
(...)
Abs. 8: Die Aufsichtsbehörde legt im Einzelfall die Methodik und die Randbedingungen für die Störfallanalyse sowie für die Einordnung der Störfälle in die Häufigkeitskategorien der Absätze 3-5 fest. Die effektive Dosis oder die Organdosen durch störfallbedingte Bestrahlung von Personen sind mit den Beurteilungsgrössen und Dosisfaktoren der Anhänge 3, 4 und 7 nach dem Stand von Wissenschaft und Technik zu ermitteln.
Exemplarisch sei darauf hingewiesen, dass sich die Störfallhäufigkeit von 10-4 pro Jahr mathematisch auch als 1:10'000 bzw. 0.0001 umschreiben lässt. Sie drückt damit ein 10'000-jährliches Ereignis aus. Entsprechend steht ein Störfall mit der Häufigkeit von 10-6 pro Jahr für ein 1'000'000-jährliches Ereignis.
5.2.4 Die Einzelheiten betreffend den Nachweis der Beherrschung eines Auslegungsstörfalls eines Kernkraftwerks im vorerwähnten Sinn regelt sodann die Verordnung des UVEK vom 17. Juni 2009 über die Gefährdungsannahmen und die Bewertung des Schutzes gegen Störfälle in Kernanlagen (SR 732.112.2; nachfolgend: Gefährdungsannahmenverordnung).
Diese teilt die Auslegungsstörfälle in Anlehnung an das Strahlenschutzrecht den Kategorien 1 bis 3 zu, grenzt aber die ihnen zugeordneten Häufigkeiten anders ab. Gemäss Art. 1 Bst. a Gefährdungsannahmenverordnung werden unterschieden:
Ziff. 1:Störfälle der Kategorie 1: Störfälle mit einer Häufigkeit kleiner gleich 10-1 und grösser als 10-2 pro Jahr.
Ziff. 2:Störfälle der Kategorie 2: Störfälle mit einer Häufigkeit kleiner gleich 10-2 und grösser als 10-4 pro Jahr.
Ziff. 3:Störfälle der Kategorie 3: Störfälle mit einer Häufigkeit kleiner gleich 10-4 und grösser als 10-6 pro Jahr.
5.2.5 Die Gefährdungsannahmenverordnung verlangt im Rahmen der deterministischen Störfallanalyse den Nachweis, dass ein abdeckendes Spektrum von Störfällen durch die getroffenen Schutzmassnahmen wirksam beherrscht wird und die Schutzziele eingehalten werden (Art. 1 Bst. e Gefährdungsannahmenverordnung). Der Bewilligungsinhaber hat die Gefährdungen aus Störfällen, die durch Naturereignisse ausgelöst werden, wie Erdbeben und Überflutung, mit Hilfe einer probabilistischen Gefährdungsanalyse zu ermitteln. Hierbei sind die aus aktuellen wissenschaftlichen Erkenntnissen gewonnenen historischen Daten sowie absehbare Veränderungen der massgebenden Einflussgrössen zu berücksichtigen und zu bewerten (Art. 5 Abs. 3 Gefährdungsannahmenverordnung). Für den Nachweis des ausreichenden Schutzes gegen Störfälle, die durch Naturereignisse wie Erdbeben ausgelöst werden, sind Gefährdungen mit einer Häufigkeiten grösser gleich 10-4 pro Jahr zu berücksichtigen und zu bewerten (Art. 5 Abs. 4 Gefährdungsannahmenverordnung).
5.2.6 Vom Inhaber einer Betriebsbewilligung für ein Kernkraftwerk wird schliesslich der Nachweis verlangt, dass die Dosiswerte gemäss den Art. 94 Abs. 3-5 aStSV eingehalten werden (sog. radiologische Kriterien; Art. 7 Bst. a Gefährdungsannahmenverordnung).
5.3 Die Vorinstanz ist jederzeit befugt, vom Bewilligungsinhaber die Überprüfung der Auslegung eines Kernkraftwerks anzuordnen (Art. 6 KEV i.V.m. Art. 22 Abs. 2 Bst. d KEG; vgl. A-4153/2016 E. 4.5.3). Ergibt eine solche Überprüfung, dass - wie im Folgenden zu prüfen sein wird - die Kernkühlung bei Störfällen nach Art. 8 KEV, die Integrität des Primärkreislaufs oder die Integrität des Containments nicht mehr gewährleistet ist, hat der Inhaber der Bewilligung den Kernreaktor ausser Betrieb zu nehmen und nachzurüsten (Art. 44 Abs. 1 Bst. a-c KEV). Unter Kernkühlung wird die Abfuhr der Wärmeenergie des Reaktorkerns durch die Kühlsysteme verstanden, so dass die Auslegungstemperartur aller Kernbestandteile nicht überschritten wird (vgl. Anhang 1 Bst. e KEV).
Das zuständige Departement hat festgelegt, das Kernkraftwerk sei unverzüglich vorläufig ausser Betrieb zu nehmen, wenn die Überprüfung ergibt, dass unter anderem die Dosisgrenzwerte nach Art. 94 Abs. 3-5 aStSV nicht eingehalten werden (vgl. Art. 3 der Verordnung des UVEK vom 16. April 2008 über die Methodik und die Randbedingungen zur Überprüfung der Kriterien für die vorläufige Ausserbetriebnahme von Kernkraftwerken (SR 732.114.5; nachfolgend: Ausserbetriebnahmeverordnung).
6.1 Die Vorinstanz verlangte vom KKB den deterministischen Sicherheitsnachweis zur Beherrschung eines 10'000-jährlichen Erdbebens sowie der Kombination eines entsprechenden Erdbebens mit Hochwasser. Neben der Sicherheit des Reaktors, des Primärkreislaufs und des Containments waren zusätzlich die Auslegung der Brennelementlagerbecken, -gebäude und -kühlsysteme zu überprüfen und die Einhaltung der zulässigen Dosislimiten für diese Störfälle nachzuweisen (Aktennotiz, S. 46). Als Randbedingung setzte die Vorinstanz unter anderem fest, dass die seismischen Gefährdungsannahmen unter anderem aufgrund der im Rahmen des PEGASOS Refinement Project (PRP; PEGASOS = Probabilistische Erdbebengefährdungsanalyse für die KKW-Standorte in der Schweiz) erhobenen Standortdaten zu ermitteln waren. Zudem hatte sich die Berechnung der aus dem Störfall resultierenden Dosis auf Basis der während des Analysezeitraums emittierten radioaktiven Stoffe zu erfolgen und sich nach der Richtlinie ENSI-G14 zu richten. Die Richtlinie ENSI-G14 stellt dabei auf eine Expositionszeit von einem Jahr ab. Dem Nachweis lag schliesslich (implizit) die Randbedingung zugrunde, dass das zu untersuchende Ereignis (10'000-jährliches Erdbeben) der Störfallkategorie 3 zuzuordnen ist und das KKB somit nachzuweisen hat, dass die Dosislimite von 100 mSv nicht überschritten wird (vgl. ENSI, Verfügung: Vorgehensvorgaben zur Überprüfung der Auslegung bezüglich Erdbeben und Überflutung, 1. April 2011 [bg-act. 8]; Aktennotiz, Ziff. 1.2, S. 5 und Ziff. 7.1, S. 46 sowie 48).
6.2 Die Vorinstanz akzeptierte die Annahmen der Beschwerdegegnerin betreffend der Erdbebengefährdungen aus dem PRP. Abgestellt wurde auf den sog. PRP-Intermediate Hazard Wert (Mittelwert ["mean"]; nachfolgend: PRP-IH) für 10'000-jährliche Ereignisse mit einer maximalen horizontalen Bodenbeschleunigung (Peak Ground Acceleration [PGA]) von 0.348 g auf Oberflächen- bzw. Fundamentniveau des Reaktorgebäudes (-15 m). Für das sog. Referenzfelsniveau (-145 m) beträgt die Bodenbeschleunigung gemäss dem PRP-IH 0.17 g (Aktennotiz, Ziff. 2.1, S. 9 f.). Ebenso teilte sie die Annahme, dass die maximale Überflutung im Bereich der KKB-Gebäude zufolge eines Bruchs des Limmatstauwehrs bei Wettingen mit 0.11 m unterhalb der Auslegungsüberflutungshöhe von 1.65 m des KKB liege (Aktennotiz, Ziff. 6.1 und Ziff. 7.1, S. 47).
6.3 Weiter erachtete die Vorinstanz die Erdbebenfestigkeit für die zur Kern- und Beckenkühlung erforderlichen relevanten Strukturen, Systeme und Komponenten (sog. SSK) mit einer Ausnahme als genügend (Aktennotiz, Ziff.7.1, S. 48).
6.4 Betreffend der radiologischen Auswirkungen des Erdbebens (Strahlenbelastung) kam die Vorinstanz zum Schluss, dass die massgebenden Beiträge für Freisetzungen aus dem Abfahren des Reaktors und dem Versagen von nicht erdbebenfesten Ausrüstungen abgeleitet werden. Selbst im ungünstigsten Fall und unter Berücksichtigung des Dosisbeitrags aus dem Brennelementbecken liege die maximale Strahlendosis unter dem zulässigen Grenzwert von 100 mSv. Die Vorinstanz beurteilte die ermittelten Dosiswerte als konservativ abdeckend. Folglich würden die Kriterien für eine unverzügliche, vorläufige Ausserbetriebnahme des KKB nicht erreicht (Aktennotiz, Ziff. 7.1, S. 48 und Ziff. 7.2, S. 49).
7.1
7.1.1 Die Beschwerdeführenden machen geltend, dass das 10'000-jährliche Erdbeben der Störfallkategorie 2 zugeteilt werden müsse. Dies ergebe sich einerseits aus dem klaren Wortlaut von Art. 5 Abs. 4 i.V.m. Art. 1 Bst. e und Art. 5 Abs. 3 der Gefährdungsannahmenverordnung. Danach seien Ereignisse mit einer Häufigkeit von grösser gleich 10-4 pro Jahr zu betrachten. Zudem habe die Störfallanalyse nachzuweisen, dass ein abdeckendes bzw. umhüllendes Spektrum von Störfällen wirksam beherrscht werde, wobei jenes Spektrum gewählt werden müsse, dessen Störfälle die grössten Anforderungen an die Einhaltung der Schutzziele stelle. Folglich stehe das 10'000-jährliche Erdbeben stellvertretend auch für häufigere bzw. umhüllte Ereignisse, weshalb es insbesondere aufgrund des Vorsorgeprinzips der Störfallkategorie 2 zuzuordnen sei, wenn es als einziges Ereignis untersucht werde. An diesem Ergebnis vermöge auch die von der Vorinstanz vorgenommene Auslegung von Art. 94 Abs. 4 und 5 aStSV nichts zu ändern. Die Vorinstanz könne aus ihrem Verweis auf eine anderweitige (vorbestehende) Praxis nichts zu ihren Gunsten ableiten. Insbesondere sei früher das sog. "Safe Shutdown"-Erdbeben (SSE oder Sicherheitserdbeben; Anm.: heute Nachweiserdbeben Störfallkategorie 3 [NESK 3]) jeweils gestützt auf die aktuellsten Erkenntnisse in die Störfallkategorien eingeteilt worden. Mit anderen worden sei jeweils für den Fall, dass sich die Erkenntnisse zu den Gefährdungsannahmen geändert hatten, nicht die Stärke des Sicherheitserdbebens angepasst worden, sondern seine Häufigkeit. Folglich musste das Sicherheitserdbeben allenfalls einer neuen Störfallkategorie zugeteilt werden. Diese Praxis fand noch im Jahr 2007 Anwendung, wie der Fall zum KKM zeigt. Entsprechend könne die Festlegung historisch nicht so unverrückbar "punktgenau" verstanden werden, wie es die Vorinstanz darstelle. Ohnehin würden allfällige Reminiszenzen die entgegenstehenden, später eingeführten Regelungen der Gefährdungsannahmenverordnung nicht verdrängen. Vielmehr zeige sich, dass die vormalige Praxis gerade nicht in die neuen Bestimmungen eingeflossen sei. So entspreche es dem klaren Willen des Verordnungsgebers, dass neuerdings ein durchgehender Schutz (Wortwahl "grösser gleich 10-4 pro Jahr") zu gewährleisten sei und nicht mehr nur das punktuelle "Safe Shutdown"-Erdbeben beherrscht werden müsse. Entsprechend hätten sich die Gesetzgebung zu den Gefährdungsannahmen und damit auch die Nachweiskriterien grundlegend verändert. Die Praxis, dass nur eine von zwei punktgenauen Ereignishäufigkeiten untersucht worden sei, sei widerrechtlich. Im Übrigen habe auch die Kommission für Nukleare Sicherheit (KNS) festgehalten, dass das 10'000-jährliche Erdbeben abdeckend für die Störfallkategorie 2 sei, weshalb es nach den Regeln der konservativen Nachweisführung der Kategorie 2 zugeteilt werden müsse. Die zwischenzeitlich erfolgte Einführung eines zusätzlichen Nachweiserdbebens der Störfallkategorie 2 (sog. NESK 2) mit einer Häufigkeit von 10-3 pro Jahr stütze ihre Argumentation, da damit eingeräumt werde, dass es für die Störfallkategorie 2 ein separates Störfallszenario brauche. Da aber für das NESK 2 nur ein 1'000-jährliches Erdbeben angenommen werde, sei dieses Störfallszenario nicht umhüllend für die Störfallkategorie 2; die Ereignisse mit einer Häufigkeit von 10-3 bis 10-4 pro Jahr würden damit nicht abgedeckt. Implizit machen sie somit geltend, dass nach wie vor das 10'000-jährliche Ereignis das einzige sei, das die Störfallkategorie 2 umhüllt. Ferner sei auch der Vergleich mit den internationalen Regelwerken untauglich. Einerseits würden die internationalen Standards ebenfalls verlangen, dass die ausgewählten Störfälle das umhüllende Spektrum abbilden. Andererseits habe die Schweiz auf die sog. "Siting Criteria" für Kernkraftwerke verzichtet, weshalb sie ein deutlich höheres Schutzniveau garantieren müsse.
7.1.2 Die Beschwerdegegnerin hält dagegen, dass die Ausführungen der Beschwerdeführenden auf einem falschen Verständnis des nuklearen Regelwerks beruhen würden. Die von ihnen angeführten Bestimmungen würden sich auf die Auslegung beziehen. Nach der Inbetriebnahme richte sich die Störfallanalyse insbesondere nicht nach Art. 94 aStSV, sondern die Störfallkategorien würden allein durch Art. 1 Bst. a der Gefährdungsannahmenverordnung definiert. Die Gefährdungsannahmenverordnung ordne das 10'000-jährliche Erdbeben eindeutig der Störfallkategorie 3 zu, womit ein Dosisgrenzwert von 100 mSv massgebend sei. Zudem sei Art. 94 aStSV im historischen Kontext auszulegen. Mit dem nachträglich eingefügten Art. 94 Abs. 5 aStSV sollte lediglich die vorbestehende Praxis der Vorinstanz kodifiziert und nicht verschärft werden, welche das sog. SSE bei einer Häufigkeit von 10-4 pro Jahr ansiedelte und der Störfallkategorie 3 zugeordnet habe. Daran vermöge der Verweis der Beschwerdeführenden auf die Stellungnahme der damaligen HSK zur Periodischen Sicherheitsüberprüfung des KKM aus dem Jahr 2007 nichts zu ändern. Diese Stellungnahme sei darauf zurückzuführen, dass das vor Jahrzehnten auf 10-4 pro Jahr festgelegte SSE aufgrund neuer Erkenntnisse über die Erdbebengefährdung häufiger zu erwarten gewesen wäre. Neuerdings sei jedoch das NESK 3 massgebend, bei dessen Nachweis jeweils die neusten Erdbebendaten zu berücksichtigen seien und welches einer Häufigkeit von 10-4 pro Jahr zugeordnet werde. Entsprechend könne auch von einer Zementierung des Standes von Wissenschaft und Technik keine Rede sein. Weiter sei nicht einzusehen, weshalb der Verordnungsgeber für ein derart aussergewöhnliches Ereignis wie ein 10'000-jährliches Erdbeben einen derart geringen Grenzwert von 1 mSv hätte einführen sollen, der lediglich 20% der durchschnittlichen jährlichen Dosis aus natürlichen und medizinischen Quellen entspreche. Ferner sei die Häufigkeit des unterstellten auslösenden Ereignisses deutlich grösser als die Häufigkeit des untersuchten Störfalls, da jeweils zusätzlich ein unabhängiger Einzelfehler unterstellt werde. Dies gelte selbst für den Fall, dass kein Einzelfehler angenommen werde, da die Wahrscheinlichkeit für ein Szenario ohne Einzelfehler aufgrund mathematischer Gesetzmässigkeiten ebenfalls unter 100% liege und damit die Häufigkeit des Ereignisses zwangsläufig geringer als 10-4 pro Jahr sei. Auch für sich betrachtet sei die Häufigkeit eines 10'000-jährlichen Erdbebens unter 10-4 pro Jahr einzustufen, da es sich bei den Angaben zur Erdbebengefährdung um eine Summenkurve handle. Auch aus diesen Gründen gehöre das SSE bzw. NESK 3 eindeutig in die Störfallkategorie 3. Dies sei sodann gerechtfertigt, da die Erdbebengefährdung nur für Ereignisse mit einer Häufigkeit von bis zu 10-4 pro Jahr zuverlässig bestimmt werden könne. Damit sei die Zuordnung des NESK 3 als denkbar schwerstes im Rahmen der deterministischen Störfallanalyse zu betrachtendes Ereignis, zur Störfallkategorie 3 logisch. Dies entspreche im Übrigen auch den internationalen Vorgaben, in deren Kontext das nukleare Regelwerk zu interpretieren sei. Die Standards der IAEA würden bei der Störfallvorsorge von Kernkraftwerken die Berücksichtigung von zwei diskreten, d.h. auf zwei spezifische Häufigkeitspunkte begrenzte Erdbeben bzw. Erdbebenstärken vorsehen; einerseits das sehr starke Beben SL-2, das mit einer Häufigkeit zwischen 10-3 und 10-4 pro Jahr (Erwartungswert) angegeben werde, und das SL-1, das mit einer Häufigkeit von 10-2 pro Jahr definiert sei. In Umsetzung der IAEA-Standards habe die Schweiz ihre Kernkraftwerke beim Bau auf das sog. SSE ausgelegt, welches dem SL-2 entspreche. Folglich werde zu Recht der Nachweis verlangt, dass das der Auslegung zugrunde liegende schwerste Beben (SSE bzw. NESK 3) beherrscht werden könne. Demgegenüber sei jedoch der von den Beschwerdeführenden geforderte Nachweis einer graduellen Vielzahl von Beben anstelle der deterministischen Beherrschung diskreter Ereignisse oder eines selteneren und damit stärkeren Bebens als jenes mit einer Häufigkeit von 10-4 pro Jahr unzulässig. Entgegen den Beschwerdeführenden betreffe die Untersuchung eines abdeckenden bzw. umhüllenden Spektrums von Störfällen nicht die Definition der auslösenden Ereignisse (Nachweiserdbeben). Damit sei vielmehr die Annahme des schlimmsten Einzelfehlers (Versagen einer bestimmten Komponente im Rahmen des Störfalls) mit den gravierendsten radiologischen Auswirkungen gemeint, welcher dann abdeckend für alle weiteren Einzelfehler stehe. Aufgrund der Kombination eines 10'000-jährlichen Erdbebens und der Annahme eines Einzelfehlers könne mit einem einzigen deterministischen Nachweis ein abdeckendes Spektrum von Störfällen innerhalb der Störfallkategorie 3 untersucht werden. Soweit die Beschwerdeführenden eine gegenüber den IAEA-Standard strengere Praxis (maximale Dosis von 1 mSv bei einem 10'000-jährlichen Erdbeben) fordern würden, da die Schweiz die sog. "Siting Criteria" missachte, könne ihnen nicht gefolgt werden. So gebe es andere Staaten, die diese nicht einhalten würden und welche weniger strenge Dosisgrenzwerte kennen wie zum Beispiel die USA oder Deutschland.
7.1.3 Die Vorinstanz hält zum Streitpunkt der Abgrenzung der Störfallkategorien 2 und 3 fest, dass der Wortlaut von Art. 94 aStSV unklar und damit auslegungsbedürftig sei. In historischer Hinsicht sei relevant, dass mit der Änderung von Art. 94 aStSV die Substanz der Richtlinien der HSK auf Stufe Bundesratsverordnung verankert werden sollte. Bereits unter Geltung der früheren Atomgesetzgebung sei dem Sicherheitserdbeben eine Häufigkeit von 10-4 pro Jahr und eine bestimmte Bodenbeschleunigung nach damaligem Kenntnisstand zugeordnet worden. Zudem habe die Vorinstanz bzw. ihre Vorgängerin während der gesamten Geltungszeit der Richtlinie HSK-R-100 und auch nach deren Revision im Jahr 2004 an der Zuordnung des Erdbebennachweises für das 10'000-jährliche Ereignis zur Störfallkategorie 3 und einem Dosiswert von 100 mSv festgehalten. Die Richtlinie HSK-R-100 bleibe trotz der Vorbringen der Beschwerdeführenden, wonach die HSK jeweils bei Vorliegen neuer Erkenntnisse zu den Gefährdungsannahmen nicht die Stärke des SSE, sondern dessen Häufigkeit angepasst habe, für die Grenzziehung der Störfallkategorie massgebend. Denn eine Neubestimmung der Gefährdung habe in der Regel keine Änderung des Nachweiskriteriums (Anm.: Dosisgrenzwertes) zur Folge. Sodann stünden weder die Äusserungen der HSK in ihrem Gutachten im Zusammenhang mit der Aufhebung der befristeten Betriebsbewilligung des KKB II im Jahr 2004 noch jene im Zusammenhang mit dem KKM im Jahr 2007 im Widerspruch zu ihrer Praxis. Die Verfügung sei zudem mit der Richtlinie ENSI-A01 kompatibel, welche die Richtlinie HSK-R-100 abgelöst habe. Die Berechnungen in der neuen Richtlinie seien differenzierter, als dies in der Beschwerde dargestellt werde. Aufgrund der Berücksichtigung des unabhängigen Einzelfehlers verringere sich die Häufigkeit des massgeblichen Störfalls grundsätzlich von 10-4 auf 10-5 pro Jahr. Damit rechtfertige sich die Zuordnung des 10'000-jährlichen Erdbebens zur Störfallkategorie 3 umso mehr. Ferner macht die Vorinstanz geltend, dass sie nicht verpflichtet sei, Nachweise für verschiedene Störfallhäufigkeiten zu erbringen. Bei einer Sicherheitsbewertung im Zusammenhang mit Erdbeben sei vor allem das Kernkühlbarkeitskriterium relevant. Da dieses aber nur bei sehr starken Erdbeben gefährdet sei, sei die Beschränkung auf das stärkste zu betrachtende Erdbeben zielführend. Ebenso bestehe keine Rechtspflicht, das 9'999-jährliche Erdbeben zu untersuchen. Aufgrund der Festsetzung des NESK 2 und NESK 3 resultiere keine Herabsetzung des Schutzversprechens, da das Zusammenspiel von deterministischen und probabilistischen Sicherheitsbewertungen den gesamten Bereich der Erdbebengefährdungen abdeckend erfasse. Deshalb würden Art. 1 Bst. e und Art. 5 Abs. 3 und 4 der Gefährdungsannahmenverordnung der strittigen Sicherheitsbewertung nicht entgegenstehen. Schliesslich bestehe kein Widerspruch zum Vorsorgeprinzip, wenn das 10'000-jährliche Erdbeben nicht der Störfallkategorie 2 bzw. 1 mSv zugeordnet werde. Aus technischer Sicht bestehe ein gutes Schutzniveau, wenn eine maximale Dosis von nicht mehr als 100 mSv nachgewiesen werde. Dies gelte insbesondere, wenn der von den Beschwerdeführenden geforderte Wert von 1 mSv in Relation zur durchschnittlichen jährlichen Strahlenbelastung (rund 4.6 mSv) gesetzt werde. Es entspreche weder internationalen Standards noch sei es verhältnismässig, wenn eine Dosis von lediglich 1 mSv als Ausserbetriebnahmekriterium für ein Kernkraftwerk mit Blick auf ein derart gravierendes Erdbeben vorgeschrieben werde. Folglich werde das Vorsorgeprinzip durch die Zuteilung zur Kategorie 3 gewahrt. Mit Blick auf die internationalen Standards legt die Vorinstanz dar, dass die WENRA keine maximalen Dosiswerte beim Erdbebennachweis fordere. Der Verweis auf die Dosiswerte in Deutschland sei nicht zulässig, da dort ein einfacheres Ermittlungsverfahren bestehe und Median- anstatt Mittelwerte verwendet würden. Der von der Schweiz geforderte Sicherheitsnachweis (10'000-jährlich und 100 mSv) und einem daraus abgeleiteten Abstellkriterium stelle weltweit sehr strenge, wenn nicht sogar einzigartige Anforderungen.
7.1.4 In der Replik machen die Beschwerdeführenden geltend, dass der unabhängige Einzelfehler zu Unrecht berücksichtigt werde, da der Dosiswert von 1 mSv auch ohne dessen Annahme überschritten sei. Im Übrigen verstosse dieser gegen übergeordnetes Recht (Art. 8 Abs. 4 KEV). Der Verweis auf die durchschnittliche jährliche Strahlenbelastung sei unbe-helflich, da die Grenzwerte gerade im Bewusstsein festgesetzt worden seien, um jede zusätzliche Strahlenbelastung möglichst gering zu halten. Sodann sei die Unterscheidung der Beschwerdegegnerin zwischen Bau und Betrieb eines Kernkraftwerks unbehelflich, da sich die Art. 8 ff. KEV nicht allein auf die Auslegung (beim Bau) bezögen. Die Auslegungsstörfälle eines Kernkraftwerks seien dynamisch zu definieren und dessen Auslegung fortlaufend zu überprüfen und zu hinterfragen. Gleichermassen würden auch die nachrangigen, auf die Kernenergieverordnung gestützten Verordnungen (Gefährdungsannahmenverordnung und Ausserbetriebnahmeverordnung) für bereits im Betrieb befindliche Kernkraftwerke gelten. Ferner bestreiten sie die Aussagen zur Summenkurve der Beschwerdegegnerin. Als Erdbebengefährdungsannahmen seien die im Rahmen der anlagespezifischen probabilistischen Sicherheitsanalyse (PSA) ermittelten Häufigkeiten zu verwenden; die damit ermittelten Resultate würden aber weder ein Erdbebenszenario noch eine Summe der Häufigkeiten einer Vielzahl von Erdbeben darstellen.
7.2 Bevor die relevanten Normen näher zu betrachten sind, ist zunächst darauf einzugehen, welche Bestimmungen auf im Betrieb befindliche Kernkraftwerke Anwendung finden.
Die Beschwerdegegnerin macht diesbezüglich geltend, dass sich verschiedene Anforderungen an die nukleare Sicherheit (v.a. Art. 7, Art. 8 Abs. 4 und Art. 12 KEV) ausdrücklich auf die Auslegung (beim Bau) einer Anlage beschränken würden und demnach nicht für Störfallanalysen während des Betriebs anwendbar seien. Entsprechend bestehe keine Pflicht, in Betrieb stehende Anlagen ständig neu auszulegen und auch die Nachrüstungspflicht gemäss Art. 22 Abs. 2 Bst. g KEG sei für bestehende Anlagen nicht schrankenlos.
Der Argumentation der Beschwerdegegnerin kann mit Bezug auf den konkreten Fall nicht vollends gefolgt werden. Einerseits regelt die Kernenergieverordnung zumindest die Frage der Anforderungen an die nukleare Sicherheit und die Anforderungen an den Schutz gegen Störfälle auch von bestehenden Kernkraftwerken. Art. 82 KEV hält hierzu ausdrücklich fest, dass bei der Festlegung des Umfangs von Nachrüstungen in Kernanlagen, die vor Inkrafttreten des KEG in Betrieb genommen wurden, die Anforderungen und Grundsätze nach Art. 7-12 KEV nach Massgabe von Art. 22 Abs. 2 Bst. g KEG zu erfüllen seien. Mithin sind gerade die vorliegend zentralen Art. 7 und 8 KEV (samt des in Art. 8 Abs. 4 KEV enthaltenen Verweises auf Art. 94 Abs. 3-5 aStSV) auch bei in Betrieb befindlichen Kernkraftwerken zu beachten. Ob eine bzw. welche konkrete Nachrüstungspflicht sich allenfalls daraus ergibt und welche Massnahmen daraus abgeleitet werden, ist hingegen nicht entscheidrelevant. Andererseits verfügte die Vorinstanz im Nachgang zum Reaktorunfall in Fukushima, es sei unverzüglich "die Auslegung der Kernkraftwerke in der Schweiz bezüglich Erdbeben und Überflutung" gestützt auf Art. 2 Abs. 1 Bst. d der Ausserbetriebnahmeverordnung zu überprüfen (vgl. Aktennotiz, Ziff. 1.1, S. 3). Wenn die Vorinstanz eine derartige Überprüfung der Auslegung der (bestehenden) Kernkraftwerke anordnet, schliesst diese notwendigerweise die von der Beschwerdegegnerin ausgenommenen Normen, vor allem Art. 7 Bst. c und Art. 8 Abs. 4 KEV, mit ein. Mithin sind die Bestimmungen der Kernenergieverordnung zu den Grundsätzen der nuklearen Sicherheit (Art. 7 f. KEV) im Folgenden ohne Weiteres heranzuziehen.
7.3 Im Rahmen der deterministischen Störfallanalyse ist nachzuweisen, dass ein abdeckendes Spektrum von Störfällen durch die getroffenen Schutzmassnahmen wirksam beherrscht wird und damit die grundlegenden Schutzziele, d.h. insbesondere die radiologischen Kriterien, eingehalten werden (Art. 1 Bst. e und d der Gefährdungsannahmenverordnung; vgl. Art. 7 Bst. c KEV). Art. 8 Abs. 4 KEV verlangt in diesem Zusammenhang, dass für die Auslegung eines Kernkraftwerks die Störfälle nach den Häufigkeiten des Art. 94 aStSV einzuteilen sind. Strittig ist an erster Stelle der Gehalt von Art. 94 Abs. 4 sowie 5 aStSV und die daraus folgenden Zuordnungen eines 10'000-jährlichen Erdbebens bzw. eines 10'000-jährlichen Erdbebens samt erdbebenbedingtem Hochwasser. Nachfolgend wird der Einfachheit halber nur noch von "Erdbeben" die Rede sein; das Ereignis des 10'000-jährlichen Erdbebens samt erdbebenbedingtem Hochwasser ist dabei mitgemeint. Die Zuordnung anderer störfallauslösender Ereignisse (Art. 4 Abs. 1 und Art. 5 Abs. 1 der Gefährdungsannahmenverordnung) braucht vorliegend nicht geklärt zu werden.
7.4 Der Inhalt einer Norm ist durch Auslegung zu ermitteln. Ausgangs-punkt jeder Auslegung ist der Wortlaut, wobei bei Erlassen des Bundes-rechts die Fassungen in den drei Amtssprachen gleichwertig sind. Ist der Text nicht ohne Weiteres klar und sind verschiedene Interpretationen möglich, muss nach der wahren Tragweite der Bestimmung gesucht werden. Vom Wortlaut kann abgewichen werden, wenn triftige Gründe für die Annahme bestehen, dass er nicht den wahren Sinn der Vorschrift wiedergibt. Solche Gründe können sich aus der Entstehungsgeschichte, aus dem Sinn und Zweck der Norm oder aus dem Zusammenhang mit anderen Gesetzesbestimmungen ergeben (BGE 143 II 268 E. 4.3.1 und BGE 143 II 202 E. 8.5). Bei der Auslegung sind alle Auslegungselemente zu berücksichtigen (Methodenpluralismus; BGE 143 I 109 E. 6). Es sollen alle jene Methoden kombiniert werden, die für den konkreten Fall im Hinblick auf ein vernünftiges und praktikables Ergebnis am meisten Überzeugungskraft haben, ohne die Wertungsentscheidungen des geschichtlichen Normsetzers zu missachten. Sind mehrere Lösungen denkbar, ist jene zu wählen, die der Verfassung entspricht (BGE 143 V 114 E. 5.2, BVGE 2016/25 E. 2.6.4.1; Urteil des BVGer A-6895/2017 vom 20. November 2018 E. 3.4.2.1; Moser/ Beusch/ Kneubühler, a.a.O., Rz. 2.182 ff.; Tschannen/Zimmerli/Müller, Allgemeines Verwaltungsrecht, 4. Aufl. 2014, § 25 Rz. 2).
7.5 Der Wortlaut von Art. 94 Abs. 4 aStSV umfasst Störfälle mit einer Häufigkeit zwischen 10-2 und 10-4 pro Jahr. Demgegenüber regelt Art. 94 Abs. 5 aStSV die Störfälle mit einer Häufigkeit zwischen 10-4 und 10-6 pro Jahr. Damit ist der Wortlaut von Art. 94 Abs. 4 und 5 StSV unklar, da sich die Zuordnung des strittigen 10'000-jährlichen Erdbebens (10-4 pro Jahr), welches sich genau in der Mitte der beiden Häufigkeitsbereiche befindet und von diesen nicht erfasst wird, nicht eindeutig ergibt. Aus der italienischen Fassung ("[...] gli incidenti la cui frequenza annua é compresa fra 10-2 e 10-4 [...]"; "[...] gli incidenti la cui frequenza annua é compresa fra 10-4 e 10-6 [...]") und dem französischen Text ("[...] les défaillances dont la fréquence est située entre 10-2 et 10-4 [...]; "[...] les défaillances dont la fréquence est située entre 10-4 et 10-6 [...]) ergeben sich keine weiteren Hinweise für die Zuordnung eines 10'000-jährlichen Ereignisses. Damit sind die weiteren Auslegungsmethoden heranzuziehen.
7.6 Im Rahmen der historischen Auslegung sind neben den Materialien zur Strahlenschutzverordnung insbesondere auch jene zur Kernenergieverordnung beizuziehen, da die beiden Verordnungen insoweit miteinander verknüpft sind, als dass Art. 8 Abs. 4 KEV im Zusammenhang mit der Störfallanalyse auf Art. 94 Abs. 3-5 aStSV verweist.
7.6.1 Sowohl mit dem Erlass von Art. 94 aStSV (AS 1994 1947; nachfolgend: StSV [1994]) per 1. Oktober 1994, als auch mit der später erfolgten Inkraftsetzung der Kernenergieverordnung sowie der damit erneut verbundenen Anpassung von Art. 94 StSV (1994) per 1. Februar 2005 (nachfolgend: StSV [2005]) sollten vorbestehende Richtlinien der Aufsichtsbehörden, d.h. der Kommission für die Sicherheit von Atomanlagen (KSA), der Hauptabteilung für die Sicherheit der Kernanlagen (HSK) und später dann der Vorinstanz, kodifiziert werden (vgl. Erläuternder Bericht zur Strahlenschutzverordnung, Dezember 1992 [nachfolgend: Erläuterung StSV], S. 30; Erläuternder Bericht zur Kernenergieverordnung vom 12. Mai 2004 [nachfolgend: Erläuterung KEV], S. 6 f. und 10).
7.6.2 Damit sind im Rahmen der historischen Auslegung an erster Stelle die Richtlinien der Vorinstanz und ihrer Rechtsvorgängerinnen, der HSK und der KSA, heranzuziehen. Erst anschliessend ist auf die erfolgten Verordnungsanpassungen einzugehen.
7.6.2.1 Den Richtlinien kommt der Charakter von Vollzugshilfen zu, die rechtliche Anforderungen konkretisieren und eine einheitliche Vollzugspraxis erleichtern. Es handelt sich dabei um eine gewisse Selbstbindung der Vorinstanz in der Auslegung des geltenden Rechts; sie stellen ein Hilfsmittel zur Ausübung der Aufsicht dar (vgl. Reto Patrick Müller, Nuklearaufsicht in der Schweiz, in: Sicherheit & Recht 3/2015, S. 189 ff., S. 202; Schmocker/ Meyer, a.a.O., S. 8; vgl. beispielsweise bereits die Richtlinie HSK-R-11, Ziele für den Schutz von Personen vor ionisierender Strahlung im Bereich von Kernkraftwerken, Mai 1980 [nachfolgend Richtlinie HSK-R-11 [1980]], Ziff. 1, wonach mit den Richtlinien aufgezeigt werden soll, nach welchen Kriterien die Behörden die Gesuche beurteilen und die Aufsicht durchführen). Folglich sind die Richtlinien Ausdruck der Praxis der Aufsichtsbehörden, welche für die historische Auslegung ebenfalls beachtlich ist.
7.6.2.2 Im Folgenden sind die Entwicklungen in der Aufsicht und die Entstehung der Richtlinien darzustellen.
7.6.2.3 Bereits bei der Erstellung der ersten Generation von Kernkraftwerken in der Schweiz galt die Vorgabe, dass Störfälle soweit beherrscht werden sollten, dass für die Umgebung keine Gefahr besteht (Auslegungs-störfälle; vgl. oben E. 5.2.1). Für den Strahlenschutz waren damals die Verordnung über den Strahlenschutz vom 30. Juni 1976 (SSVO 1976; AS 1976 1573) und die Richtlinie HSK-R-11 (1980) massgebend (vgl. Naegelin, a.a.O., S. 153; Schmocker/ Meyer, a.a.O., S.22). Die Richtlinie legte in Abweichung zum sog. Normalbetrieb eines Kernkraftwerks höhere Strahlendosen für vorhersehbar seltene Störfälle fest, auf deren Beherrschung das Kernkraftwerk auszulegen war. Damit sollte ein unverhältnismässig grosser Aufwand bei der Auslegung eines Kernkraftwerks vermieden werden (Naegelin, a.a.O., S. 155). Verlangt wurde der Nachweis, dass die getroffenen Sicherheitsmassnahmen geeignet sind, um die vorgegebenen radiologischen Grenzwerte einzuhalten (Wilfried Hennings/Johannes Mertens/ Bernhard Reer, Methodik der Risikoanalyse für Kernkraftwerke, 1995, S. 33). Die Richtlinie unterschied drei verschiedene Betriebsstände (heute: Störfälle). Neben der sog. Betriebsstörung musste ein Kernkraftwerk so ausgelegt werden, dass bei einem Zwischenfall für Einzelpersonen der Bevölkerung in der Umgebung keine höhere Dosis als 1 mSv und bei einem Unfall nach konservativer Berechnung keine höhere Dosis als 100 mSv erwartet wird. Zwischenfälle definierte sie als Störfälle mit einer kleinen Eintrittswahrscheinlichkeit von 10-2 bis 10-4 pro Reaktorjahr. Als Unfälle wurden schwere Störfälle mit einer seltenen Eintrittswahrscheinlichkeit von 10-4 bis 10-6 pro Reaktorjahr qualifiziert (vgl. Richtlinie HSK-R-11 [1980], Ziff. 3.3 und 5.1).
7.6.2.4 Nach dem Gesagten wurden die Auslegungsstörfälle bzw. die sie auslösenden Ereignisse auf einen Häufigkeitsbereich bis minimal 10-6 pro Jahr beschränkt. Erdbeben als störfallauslösende Ereignisse ausserhalb der Anlage wurden jedoch von Beginn an anders normiert. Die damalige Aufsichtsbehörde, die KSA, legte bereits bei der Planung der ersten schweizerischen Kernkraftwerke Schutzmassnahmen in Bezug auf Erdbeben fest. Zwischen 1973 und 1975 entwickelten Experten der Abteilung für die Sicherheit der Kernanlagen (ASK) und des Schweizerischen Erdbebendienstes spezifische Erdbebenspezifikationen. Diesen lag eine probabilistische Betrachtung zugrunde, wonach die an einem Ort zu erwartende maximale Erdbebenstärke mit zunehmendem Betrachtungszeitraum wächst. Oder anders ausgedrückt: Je seltener das Beben, umso grösser dessen Stärke. Entsprechend wurde die Erdbebenhäufigkeit als wichtiger Parameter für die Auslegung identifiziert und fallweise für die einzelnen Kernkraftwerke vorgegeben. Dies bildete die Basis für das ab dem Jahr 1977 zu berücksichtigende sog. "Safe Shutdown Earthquake" (SSE; später Sicherheitserdbeben), welchem die mit einer Häufigkeit von 10-4 pro Jahr zu erwartende Bebenstärke zugeordnet wurde. Demnach musste ein Kernkraftwerk so ausgelegt und ausgeführt werden, dass es bei einem 10'000-jährlichen Erdbeben noch sicher abgestellt werden konnte: Einerseits mussten alle innerhalb des Sicherheitsbehälters angeordneten sicherheitsrelevanten Einrichtungen dem Sicherheitserdbeben standhalten und andererseits musste nachgewiesen werden, dass die Anlage in einen sicheren Zustand überführt werden könnte (Schmocker/Meyer, a.a.O., S. 20). Mit anderen Worten mussten Kernkraftwerke maximal für die Stärke eines Erdbebens mit einer Häufigkeit von 10-4 pro Jahr ausgelegt werden; dies bildete die Auslegungsgrenze. Zugleich folgt daraus, dass bei Erdbeben eine Häufigkeit zu betrachten ist, die grösser und somit weniger konservativ ist als die Häufigkeit von 10-6 pro Jahr, welche bei den anderen Störfall auslösenden Ereignissen massgebend ist. Die Festlegung des Sicherheitserdbebens auf eine Häufigkeit von 10-4 pro Jahr erfolgte bewusst, da einerseits die Stärke noch seltenerer Erdbeben nicht bekannt und vermutungsweise nicht mehr viel grösser war sowie andererseits die dafür ausgelegten Bauten wohl noch wesentliche Reserven für bedeutend stärkere Beben aufweisen (Schmocker/Meyer, a.a.O., S. 20). Sodann war man sich bereits damals bewusst, dass die Wahl der korrekten Häufigkeit des Sicherheitserdbebens im Rahmen von Störfallanalysen entscheidend war. Dieses Problem wurde in der Folge durch die Einführung der probabilistischen Risikoanalyse etwas entschärft (zum Ganzen: Naegelin, a.a.O., S. 39 f. und S. 144 f.).
7.6.2.5 Die oben dargelegten Anlagezustände eines Kernkraftwerks wurden in der Folge von der Richtlinie HSK-R-100 aufgenommen und definiert (vgl. Richtlinie HSK-R-100, Anlagezustände eines Kernkraftwerks, Juni 1987 [nachfolgend: Richtlinie HSK-R-100 [1987]]). Diese Richtlinie hielt fest, dass die Kategorisierung der Auslegungsstörfälle nach der voraussichtlichen Eintrittshäufigkeit des jeweiligen auslösenden Ereignisses erfolge. Die angegebenen Grenzen der Häufigkeitsbereiche würden dabei nur orientierenden Charakter haben (HSK-R-100 [1987], S. 1 Ziff. 2). Hinsichtlich der Störfälle unterschied die Richtlinie drei Ereigniskategorien, wobei sie der Ereigniskategorie 2 den Störfall mit kleiner Ereignishäufigkeit ("ca. 10-2 bis 10-4 pro Reaktorjahr") und der Ereigniskategorie 3 den Störfall mit sehr kleiner Ereignishäufigkeit ("ca. 10-4 bis 10-6 pro Reaktorjahr") zuordnete. Als Beispiel für einen Störfall der Ereigniskategorie 3 führte die Richtlinie das Sicherheitserdbeben (SSE) auf (HSK-R-100 [1987], S. 2, Ziff. 2.2-2.4). Mithin wurde das Sicherheitserdbeben nach dieser Richtlinie der höchsten Kategorie 3 der Auslegungsstörfälle bzw. dem Häufigkeitsbereich von ca. 10-4 bis 10-6 pro Reaktorjahr zugeordnet.
7.6.2.6 Die Beschwerdeführenden wenden ein, dies stütze die Auffassung der Vorinstanz nicht, wonach das 10'000-jährliche Erdbeben der Störfallkategorie 3 zuzuordnen sei. Sowohl in der Richtlinie HSK-R-11 (1980), welche den Häufigkeitsbereich mit dem Wort "bis" beschreibe, als auch in der Richtlinie HSK-R-100, welche die Kategorien mit der Wendung "ca. 10-2 bis 10-4" bzw. "ca. 10-4 bis 10-6" bezeichne, würden die Häufigkeitsbereiche ebenso neutral bzw. ungenau abgegrenzt wie im Art. 94 Abs. 4-5 StSV. Aus der HSK-R-100 (1987) ergebe sich aufgrund des Zusatzes "ca." und der beispielhaften Zuordnung des Sicherheitserdbebens zur Ereigniskategorie 3 zudem, dass die Häufigkeitsbereiche und Störfallzuordnungen bereits damals nicht absolut verstanden wurden.
Die Beschwerdeführenden können aus ihren Vorbringen nichts zu ihren Gunsten ableiten. Denn aus der oben dargelegten Entwicklung der Richtlinien, welche wie erwähnt Ausdruck der Praxis der Vorinstanz bildeten, folgt, dass das Sicherheitserdbeben von Beginn an der seltensten Kategorie der Auslegungsstörfälle zugeordnet wurde. Diese Zuordnung ist historisch begründet, da das Sicherheitserdbeben die Auslegungsgrenze bildet; mithin gehörte es zur seltensten Kategorie von Störfällen, die im Rahmen der deterministischen Störfallanalyse noch zu betrachten waren. Wenn nun die Richtlinien den Häufigkeitsbereich der verschiedenen Ereigniskategorien nicht exakt abgrenzten, dürfte dies allein darauf zurückzuführen sein, dass deren Grenzen orientierenden Charakter hatten und die Auslegungsstörfälle nach ihrer voraussichtlichen, d.h. geschätzten Eintrittshäufigkeit den Kategorien zugeordnet wurden (vgl. Naegelin, a.a.O., S. 165). So wurde denn auch das Sicherheitserdbeben mit "im Bereich von 10-4" bzw. "ca. 10-4" angegeben. An der Zuordnung des Sicherheitserdbebens als Auslegungserdbeben ändert sich allein deswegen jedoch nichts.
7.6.2.7 Mit der Einführung der Strahlenschutzverordnung 1994 (Inkrafttreten per 1. Oktober 1994) wurden die Ereigniskategorien 1 und 2 erstmals auf Verordnungsstufe normiert (vgl. Erläuterung StSV, S. 30). Die Materialien zur Strahlenschutzverordnung 1994 halten hierzu fest, dass die vormalige SSVO 1976 zu den Störfällen nur rudimentäre Bestimmungen enthalten habe und diese vor allem in den Richtlinien der HSK geregelt wurden, welche in die StSV 1994 überführt wurden (vgl. Erläuterung StSV, S. 30). Der damalige Art. 94 Abs. 4 StSV (1994) regelte die Störfälle der Ereigniskategorie 2 mit "einer Häufigkeit zwischen 10-2 und 10-4 pro Jahr" und legte dafür eine maximal zulässige Dosis von 1 mSv fest. Art. 94 Abs. 5 StSV (1994) überliess hingegen die Regulierung der Störfälle der Ereigniskategorie 3 mit "einer Eintretenshäufigkeit kleiner (...) als 10-4 pro Jahr" der Aufsichtsbehörde. Daraus lässt sich jedoch nicht ableiten, dass im Umkehrschluss bereits aufgrund des Wortlauts das 10'000-jährliche Erdbeben eindeutig der Kategorie 2 zuzuordnen wäre, da die Kategorie 3 nur die Eintretenshäufigkeit "kleiner 10-4" und nicht "kleiner gleich 10-4" betrifft. Denn wie bereits dargelegt, ist der Wortlaut angesichts der historischen Betrachtung unklar. So legte die Richtlinie HSK-R-11 (1980), welche zu einem Grossteil in Art. 94 StSV (1994) überführt wurde (vgl. Erläuterung StSV, S. 30), die Häufigkeitsbereiche gerade nicht exakt fest. Andererseits hatte die Richtlinie HSK-R-100 (1987) nach wie vor Bestand, da die Ereigniskategorie 3 nicht kodifiziert wurde. Diese Richtlinie, die Ausfluss der von der Aufsichtsbehörde gestützt auf Art. 94 Abs. 5 StSV (1994) getroffenen Massnahmen bildete, legte den Häufigkeitsbereich der Ereigniskategorie 3 nach wie vor auf "ca. 10-4 bis 10-6 pro Reaktorjahr" fest. Sie blieb bis 2004 unverändert.
7.6.2.8 Im Dezember 2004 wurde die neue Richtlinie HSK-R-100 veröffentlicht. Die Richtlinie definierte den Häufigkeitsbereich der Störfallkategorie 2 mit "zwischen 10-2 und 10-4 pro Jahr" (Häufigkeit H pro Jahr: 10-2 < H < 10-4) und denjenigen der Störfallkategorie 3 mit "zwischen 10-4 und 10-6 pro Jahr" (Häufigkeit H pro Jahr: 10-4 < H < 10-6). Auf den Zusatz "ca." wurde verzichtet (vgl. HSK-R-100 [2004], Ziff. 5.2 f.). Damit wurden die Häufigkeitsbereiche nach wie vor gleich definiert; die beispielhafte Zuordnung des Sicherheitserdbebens zur Kategorie 3 wurde jedoch nicht mehr erwähnt. Dass damit eine Praxisänderung verbunden gewesen wäre, lässt sich der Richtlinie HSK-R-100 (2004) nicht entnehmen.
7.6.3 Schliesslich wurde das nukleare Regelwerk mit der Einführung des Kernenergiegesetzes per 1. Februar 2005 und dem Erlass der Kernenergieverordnung auf neue Grundlagen gestellt. Unter dem Regime des früheren Atomgesetzes vom 1. Juli 1960 (AS 1960 541) regelte die Atomverordnung vom 18. Januar 1984 (AS 1984 209; inkl. der vorangehenden Verordnungen) die Anforderungen an die nukleare Sicherheit nur in den Grundzügen. Deren Regulierung war vielmehr den Aufsichtsbehörden übertragen, welche besonders "im Bereich Sicherheit ein umfassendes Richtlinienwerk" erarbeitet hatten (Erläuterung KEV, S. 1). Mit der Novelle der Kernenergieverordnung sollte die Substanz der Richtlinien und die weiteren technischen Anforderungen auf Stufe Bundesratsverordnung verankert werden. Als Beispiele werden hierzu ausdrücklich jene zu den Gefährdungsannahmen und den Bewertungskriterien (radiologische Kriterien [Dosisgrenzwerte]) gemäss Art. 8 Abs. 4 KEV genannt, welche "wegen ihrer zentralen Bedeutung für das Sicherheitsniveau einer Kernanlage" in Zukunft auf Verordnungsstufe gehoben werden sollten (Erläuterung KEV, S. 6 f. und 10). Zugleich brachte die Konkretisierung des Kernenergiegesetzes auf Verordnungsstufe eine weitere Anpassung der Strahlenschutzverordnung mit sich. Hierzu halten die Materialien fest, dass die Strahlenschutzverordnung bis dahin nur die Störfälle mit einer Eintrittshäufigkeit zwischen 10-2 und 10-4 pro Jahr geregelt habe und die Regulierung "für Störfälle mit einer Eintrittshäufigkeit kleiner als 10-4 pro Jahr, deren Auswirkungen aber gross sein können", der Aufsichtsbehörde anheimgestellt worden sei (vgl. Art. 94 Abs. 4 und 5 StSV 1994). Entsprechend wurde im Zuge des Erlasses der Kernenergieverordnung auch noch die letzte Störfallkategorie 3, die bislang in der Richtlinie HSK-R-100 (2004) normiert war, in Art. 94 Abs. 5 StSV (2005) kodifiziert. Der Verordnungsgeber hielt insgesamt fest, dass die Bestimmungen über den Betrieb von Kernanlagen und weitere Bereiche der Kernenergieverordnung "weitestgehend geltendes Recht [seien] oder [...] der Praxis der Bewilligungs- und Aufsichtsbehörden" entsprechen würden (vgl. Erläuterung KEV, S. 7). Folglich stellen die genannten Normen der Kernenergie- und Strahlenschutzverordnung ausschliesslich eine Kodifikation des damals geltenden Richtlinienwerks dar. Dass mit ihnen eine Abkehr von der bisherigen Störfallvorsorge beabsichtigt gewesen wäre, lässt sich den Materialien nicht entnehmen. Im Gegenteil, sie bringen vielmehr die Kontinuität des massgeblichen Regelwerks und der Aufsicht zum Ausdruck.
7.6.4 Dies zeigt sich zudem an den folgenden Ausführungen zur (gelebten) Praxis der HSK bzw. der Vorinstanz.
7.6.4.1 Im Zuge des Verfahrens um die Erteilung einer unbefristeten Betriebsbewilligung für das KKB II holte der Bundesrat als Bewilligungsbehörde bei der HSK ein Gutachten ein. Die HSK beurteilte im Gutachten vom März 2004 als massgebenden Erdbeben-Störfall das Sicherheitserdbeben (SSE). Sie hielt fest, dass dieses im Bereich von 10-4 pro Jahr liege und der Ereigniskategorie 3 (Unfall) gemäss der Richtlinie HSK-R-100 zugeordnet werde. Die HSK ermittelte für den Störfall eine maximale Dosis im ersten Jahr von 10.9 mSv und befand, dass damit der zulässige Dosiswert für Störfälle der Ereigniskategorie 3 eingehalten werde (vgl. HSK, KKW Beznau II, Gutachten zum Gesuch der NOK um Aufhebung der Befristung der Betriebsbewilligung, HSK 14/730, März 2004 [nachfolgend: HSK-Gutachten KKW Beznau II], Ziff. 7.8.2 und 7.2.9.11, gefunden unter: > Dokumente > Gutachten, abgerufen am 3. Dezember 2018).
7.6.4.2 Sodann äusserte sich die HSK in der Stellungnahme vom November 2007 (HSK 11/1100) zur Erdbebensicherheit des KKM. Sie hielt fest, dass der deterministische Sicherheitsnachweis für das bisher geltende Sicherheitserdbeben erbracht sei, welches in die Störfallkategorie 3 klassiert wurde und einen Dosisgrenzwert von 100 mSv einzuhalten hatte. Zwar wies die Stellungnahme darauf hin, aufgrund der mit PEGASOS erarbeiteten neuen Grundlagen zur standortspezifischen Erdbebengefährdung sei davon auszugehen, dass das der Auslegung zugrundeliegende Erdbeben mit einer höheren Häufigkeit auftrete als bisher angenommen. Trotz der daraus resultierenden verschärften Annahmen sei aber die Einordnung des Sicherheitserdbebens in die Störfallkategorie 3 bei Berücksichtigung eines sog. Einzelfehlers korrekt. Der Nachweis für einen Störfall ohne Einzelfehler müsse aber noch erbracht werden (vgl. BGE 139 II 185 E. 14.3.3; vgl. sogleich zur Berücksichtigung des sog. unabhängigen Einzelfehlers bei der Störfallanalyse: E. 7.7.3). Die Bewilligungsinhaberin konnte dann im weiteren Verlauf des Verfahrens plausibel darlegen, dass der Störfall auch ohne Einzelfehler aufgrund besonderer Betriebszustände eine Eintretenswahrscheinlichkeit von kleiner 10-4 pro Jahr hat und somit ebenfalls in die Kategorie 3 gehört. Das Bundesgericht erachtete diese Einschätzung als einleuchtend und beurteilte den ermittelten Dosiswert anhand des Grenzwerts der Störfallkategorie 3 (vgl. BGE 139 II 185 E. 14.3.4).
Das geschilderte Vorgehen lässt zwei Schlüsse zu. Einerseits lässt sich der Stellungnahme HSK implizit entnehmen, dass das Sicherheitserdbeben wohl aufgrund seiner Stärke festgelegt wurde und dessen Häufigkeit demnach bei Vorliegen abweichender, aktueller Gefährdungsannahmen "schwanken" konnte. Andererseits hielt die HSK an ihrer Praxis fest und ordnete das Sicherheitserdbeben (unter Berücksichtigung des Einzelfehlers oder Betriebszustandes) nach wie vor der Störfallkategorie 3 zu.
Im Übrigen lässt sich aus einer allfälligen "schwankenden" Häufigkeit des ursprünglichen Sicherheitserdbebens nichts für die heutige Rechtslage ableiten. Sowohl im vorliegenden Fall als auch nach dem neuen Nachweiserdbeben der Störfallkategorie 3 (NESK 3) sind exakt 10'000-jährliche Erdbeben zu beurteilen und es sind beim NESK 3 bzw. waren im konkreten Fall die aktuell gültigen Gefährdungsannahmen zugrunde zu legen (Aktennotiz, Ziff. 1.1 f.; ENSI, Methodik deterministischer Nachweise der Schweizer Kernkraftwerke für Erdbeben der Störfallkategorie 2 und 3, Aktennotiz ENSI-AN-8567, Ziff. 1, gefunden unter: > Dokumente > weitere Dokumente, abgerufen am 7. Dezember 2018).
7.6.4.3 Des Weitern hat sich die Kommission für Nukleare Sicherheit (KNS) zur Praxis der Vorinstanz geäussert. In der auch von den Beschwerdeführenden angeführten Pressemitteilung, in welcher sich die KNS für eine Überprüfung der Grenzwertzuordnung ausspricht, hält diese zugleich fest, dass es der historisch gewachsenen Usanz entspreche, dass die Vorinstanz bei Nachweisen für das Auslegungserdbeben den Dosisgrenzwert von 100 mSv für die radiologischen Auswirkungen anwende (vgl. ENSI, Grenzwert der Radioaktivität hängt von der Häufigkeit des Ereignisses ab, gefunden unter: > Themen > Abgaben > Weitere Hintergrundartikel, abgerufen am 3. Dezember 2018).
7.6.4.4 Im Übrigen bekräftigt die Vorinstanz in ihrer Vernehmlassung, dass sie bzw. ihre Vorgängerin während der Geltung der Richtlinie HSK-R-100 an der Zuordnung des Erdbebennachweises für das 10'000-jährliche Erdbeben zur Störfallkategorie 3 mit einem Dosiswert von 100 mSv festgehalten habe und daran auch die Revision der Richtlinie im Jahr 2004 nichts geändert habe.
7.6.4.5 Somit wurde das Sicherheitserdbeben nach konstanter Praxis der Aufsichtsbehörden der Störfallkategorie 3 zugeteilt.
7.6.5 In der Folge wurden vom UVEK schliesslich die Gefährdungsannahmenverordnung und die Ausserbetriebnahmeverordnung per 1. August 2009 bzw. per 1. Mai 2008 erlassen. Dass diese Erlasse an der oben dargelegten Praxis etwas ändern sollten, ist nicht ersichtlich. Ohnehin konkretisieren sie als nachrangige Verordnungen einzig die Normen der Kernenergieverordnung und damit deren Regelungsabsicht.
7.6.6 Zusammengefasst ergibt sich aus einer historischen Betrachtung ein eindeutiges Bild. Das Sicherheitserdbeben mit einer Häufigkeit von 10-4 pro Jahr zählte von Beginn an zur Störfallkategorie 3. Zu keiner Zeit lässt sich den Richtlinien oder den Materialien entnehmen, dass aufgrund der verschiedentlich erfolgten Anpassungen am Richtlinienwerk, dem Erlass bzw. den Änderungen der Strahlenschutzverordnung oder dem Inkrafttreten der Kernenergieverordnung eine Praxisänderung betreffend die durch Erdbeben ausgelösten Störfalle hätte vorgenommen werden sollen.
7.7 Weiter ist Art. 94 StSV (2005) aus teleologischer Sicht zu betrachten.
7.7.1
7.7.1.1 Mit Art. 94 StSV (2005) wird der Bewilligungsinhaber zur Störfallvorsorge verpflichtet. Im Gegensatz zur alten Störfallverordnung 1976 wurde neu nicht nur das Ausmass eines eventuellen Störfalls, sondern auch die Wahrscheinlichkeit des Eintretens eines Störfalls in Betracht gezogen. Die für die Auslegungsstörfälle erforderliche Vorsorge wurde damit in Abhängigkeit von der Störfallhäufigkeit festgelegt (vgl. HSK-R-100 [2004], Ziff. 4.1). Die Störfälle sollten primär durch eine entsprechende Auslegung des Betriebs vermieden werden. Es sollte sichergestellt werden, dass die Dosisgrenzwerte für die Bevölkerung bei Störfällen, die während der Betriebsdauer zu erwarten sind, eingehalten werden können (vgl. Erläuterung StSV, S. 30). Dabei zeigte sich, dass die für den Sicherheitsnachweis durchzuführenden Störfallanalysen von der Auslegung der Anlagen und deren Standorten abhängen; gerade bei Störfällen, die durch externe Ereignisse wie Erdbeben oder Überflutungen ausgelöst werden, spielen die lokalen Gegebenheiten eine entscheidende Rolle (vgl. oben E. 7.6.2.4). Deshalb wurde der Aufsichtsbehörde die Kompetenz eingeräumt, neben der Methodik und den Randbedingungen der Störfallanalysen auch die Einordnung der Störfälle in die Häufigkeitskategorien von Art. 94 Abs. 3-4 StSV (2005; sog. Störfallkategorien Nrn. 1-3) festzulegen (vgl. Erläuternder Bericht zu den Änderungen der Strahlenschutzverordnung [Teilrevision der Strahlenschutzverordnung; Beilage zur Vernehmlassung des Eidgenössischen Departements des Innern vom 11. September 2006], S. 10, gefunden unter: Bundesrecht Vernehmlassungen Abgeschlossene Vernehmlassungen EDI, abgerufen am 4. Dezember 2018).
7.7.1.2 Dass die Aufsichtsbehörde die extern von Erdbeben oder Überflutungen ausgelösten Störfälle anlagen- und ortsspezifisch zuordnet, ist nachvollziehbar. Im Gegensatz zu internen (technischen) Störfällen können bei externen Ereignissen dem Störfall gerade keine exakten Häufigkeiten zugewiesen werden. Denn bei Naturkatastrophen wie Erdbeben steht die Belastung der Anlage aufgrund der zu erwartenden Bodenbeschleunigung in einem direkten Verhältnis zur Häufigkeit; je seltener das Ereignis, umso stärker fällt die Beschleunigung aus (vgl. oben E. 7.6.2.4). Die Aufsichtsbehörde legte in Ausübung ihres pflichtgemässen Ermessens dem Sicherheitserdbeben in ständiger Praxis (vgl. oben E. 7.6) eine Häufigkeit von 10-4 pro Jahr und die zu erwartende Bodenbeschleunigung zugrunde. Damit definierte sie die maximale Erdbebenstärke, auf die das KKB auszulegen war. Vor diesem Hintergrund ist nicht zu beanstanden, dass das Sicherheitserdbeben, welches nach diesem Verständnis die Auslegungsgrenze des Kernkraftwerks ("stärkstes anzunehmendes Erdbeben") bildet, begriffsnotwendig der höchsten Störfallkategorie zugeordnet wird.
7.7.2 Es stellt sich die Frage, ob dieses Vorgehen aus heutiger Sicht nach wie vor zu überzeugen vermag oder ob nicht die Zuordnung des Sicherheitserdbebens zur Störfallkategorie 2 nach den Regeln der konservativen Nachweisführung geboten erscheint, wie dies die Beschwerdeführenden fordern. Darauf ist im Folgenden einzugehen (E. 7.7.3-7.7.7).
7.7.3
7.7.3.1 Zunächst ist auf die Störfallhäufigkeit einzugehen. Auslegungs-störfälle müssen auch dann beherrscht werden können, wenn ein vom auslösenden Ereignis unabhängiger Einzelfehler in einem zur Störfallbeherrschung erforderlichen Sicherheitssystem unterstellt wird (vgl. oben E. 5.2.2). Es ist dabei der schwerwiegendste Einzelfehler für das jeweilige Ereignis anzunehmen (vgl Erläuterungsbericht zur Richtlinie ENSI-A01 [Juli 2009], Ziff. 2.4.2). Die für die Vorsorge massgebliche Störfallhäufigkeit wird dabei durch die Multiplikation der Eintrittshäufigkeit des auslösenden Ereignisses mit der bedingten Wahrscheinlichkeit eines Einzelfehlers definiert (vgl. HSK-R-100 [2004], Ziff. 4.1). Die Richtlinie wurde in der Folge überarbeitet und als neue Richtlinie ENSI-A01 im Juli 2009 veröffentlicht (bg-act. 20). Die Richtlinie ENSI-A01 verlangt zudem bei der Berechnung der Störfallhäufigkeit, dass die Unsicherheit bei der Bestimmung der Störfallhäufigkeit zu berücksichtigen ist und die Zuweisung zu einer Störfallkategorie in konservativer Weise zu erfolgen hat. Falls ein Störfall nur aufgrund eines Einzelfehlers der höheren Störfallkategorie zugeordnet wird und damit andere Nachweiskriterien gelten, ist der Nachweis der Störfallbeherrschung auch ohne Einzelfehler zu erbringen (Richtlinie ENSI-A01, Ziff. 4.1.1). Der Einzelfehler ist mit einer Wahrscheinlichkeit von 0.1 anzunehmen; da diese Annahme als eher konservativ gilt, kann er - eine nachvollziehbare Begründung durch den Betreiber vorausgesetzt - auch mit einer kleineren Wahrscheinlichkeit, bis minimal 0.01 angesetzt werden (vgl. Erläuterungsbericht zur Richtlinie ENSI-A01 [Juli 2009], Ziff. 2.4.2). Sodann dürfen bei der Bestimmung der Eintrittshäufigkeit des auslösenden Ereignisses Betriebszustände (z.B. Stillstand) und Betriebsvorschriften (z.B. zeitlich begrenzter Betrieb bei erhöhter Kühlmittelaktivität) des Kernkraftwerks berücksichtigt werden.
7.7.3.2 Daraus folgt, dass die Zuteilung eines Störfalls zu einer Störfallkategorie auf konservativen Vorgaben beruht. Für dessen Zuordnung ist letztlich nicht allein die Ereignishäufigkeit des Erdbebens mit 10-4 pro Jahr entscheidend, sondern erst die Störfallhäufigkeit unter Berücksichtigung des Einzelfehlers und allfälliger Betriebszustände des Kernkraftwerks. Bei Annahme eines Einzelfehlers von 0.1 verringert sich die Eintretenshäufigkeit des untersuchten Störfalls eines Sicherheitserdbebens gemäss den zutreffenden Darlegungen der Vorinstanz von 10-4 auf 10-5 pro Jahr (Berechnung: Eintretenshäufigkeit * Einzelfehlerwahrscheinlichkeit; 0.0001 * 0.1 = 0.00001 = 10-5).
7.7.3.3 Auch im vorliegenden Fall wurde ein Einzelfehler berücksichtigt. Die Aktennotiz hält hierzu fest, im Falle eines 10'000-jährlichen Erdbebens erfolge im KKB die Auslösung der Reaktorschnellschaltung sowie die sekundärseitige Wärmeabfuhr und die Stabilisierung der Anlage durch das sog. Notstand-Schutzsystem. Die Funktionstüchtigkeit der Notstand-Schutzsysteme wurde dabei unter Annahme eines Ausfalls der sekundärseitigen Wärmeabfuhr (unabhängiger Einzelfehler) sowie weiteren Annahmen (Ausfall der externen Stromversorgung und der Aare-Kühlwasserfassungen) bestätigt (Aktennotiz, S. 21 f. und S. 47).
7.7.3.4 Es stellt sich die Frage, ob der Einzelfehler im konkreten Fall berücksichtigt werden durfte. Die Richtlinie ENSI-A01 verlangt, dass bei einer nicht eindeutigen Zuordnung, der Störfall, den Regeln der konservativen Nachweisführung folgend, der tieferen Störfallkategorie zuzuweisen ist (vgl. Ziff. 4.1.1 Bst. c). Selbst wenn - wie dies die Beschwerdeführenden vorbringen - ursprünglich bei einer Änderung der Gefährdungsannahmen nicht die Stärke des Sicherheitserdbebens, sondern dessen Häufigkeit angepasst wurde und dadurch Fragen betreffend der korrekten Zuordnung auftauchen konnten, dürfte die Zuordnung heute eindeutig sein. So wurde im konkreten Fall im Rahmen des deterministischen Sicherheitsnachweises ausdrücklich verlangt, dass dem 10'000-jährlichen Erdbeben die damals aktuellsten Gefährdungsannahmen zugrunde zu legen waren (PRP-IH). Damit war die zu untersuchende Häufigkeit fest vorgegeben, d.h. exakt 10'000-jährlich (vgl. oben E. 7.6.4.2). Es kann also nicht argumentiert werden, dass das vorliegend betrachtete Ereignis bzw. dessen Beschleunigungen häufiger als das 10'000-jährliche Ereignis einzustufen wären, wie im oben geschilderten Fall des KKM (vgl. E. 7.6.4.2). Nach dem Gesagten kann der Einzelfehler berücksichtigt werden.
7.7.3.5 Die Berücksichtigung des Einzelfehlers ist nach dem Gesagten auf einen konservativen Nachweis gerichtet und rechtfertigt erst recht die Zuteilung des Sicherheitserdbebens zur Störfallkategorie 3.
7.7.3.6 Im Übrigen vermag die seitens der Beschwerdeführenden gegen die Richtlinie ENSI-A01vorgebrachte Kritik der fehlenden Gesetzmässigkeit nicht zu überzeugen. Die Richtlinie verlangt - in Übereinstimmung mit der allgemeinen Regel der konservativen Nachweisführung (vgl. Erläuterungsbericht zur Richtlinie ENSI-A01, Ziff. 2.4) - einen Nachweis ohne Einzelfehler, wenn dessen Berücksichtigung zur Zuordnung zur nächst höheren Störfallkategorie führt (Richtlinie ENSI-A01, Ziff. 4.1.1 Bst. c).
7.7.4
7.7.4.1 Die Beschwerdeführenden bringen im Weiteren vor, das Prinzip des "umhüllenden Spektrums" fordere, dass ein untersuchter Störfall "stellvertretend auch für den Nachweis eines ausreichenden Schutzes gegen alle abgedeckten (umhüllten), weniger anforderungsreichen Störfallabläufe" stehe. Aus diesem Grund könne logischerweise ein Störfallablauf aus dem umhüllenden Spektrum nicht allein anhand seiner grenzfälligen, also kleinsten Häufigkeit bewertet werden, sondern müsse auch nach den zugleich umhüllten Störfallabläufen mit grösserer Häufigkeit die zutreffenden Schutzziele einhalten. Denn die Dosis, die beim umhüllenden Ereignis massgebend sei, müsse auch bei einem häufigeren Ereignis in Kauf genommen werden.
7.7.4.2 Sollten die Beschwerdeführenden damit geltend machen, dass das 10'000-jährliche Erdbeben als Störfall der Kategorie 3 zugleich als umhüllenden Störfall der Störfallkategorie 2 zu verstehen sei, kann ihnen nicht gefolgt werden. Andernfalls gälten für das 10'000-jährliche Erdbeben zwei verschiedene Dosisgrenzwerte. Dies würde jedoch vor dem Hintergrund, dass die Gefährdungsannahmenverordnung gerade verschiedene Störfallkategorien definiert, denen je ein eigener Dosisgrenzwert gemäss Art. 94 Abs. 3-5 StSV (2005) zugewiesen wird, keinen Sinn ergeben. Vielmehr würde dies eher nahe legen, dass das sog. "abdeckende Spektrum" bezogen auf jede Störfallkategorie separat festzulegen und nach deren jeweils zugewiesenen Dosiswerten zu betrachten wäre (vgl. hierzu sogleich: E. 7.8.2.3).
7.7.4.3 Nach dem Gesagten kann weder eine Zuweisung des 10'000-jährlichen Erdbebens zur Störfallkategorie 2 noch dessen Betrachtung nach den Nachweiskriterien der Störfallkategorie 2 gefordert werden.
7.7.5 Unzutreffend ist, dass mit dem konkreten Vorgehen der Stand von Wissenschaft und Technik zementiert und bloss ein auf den sog. "Safe Shutdown" ausgerichteter Nachweis erbracht wird. Seit der Inkraftsetzung der Gefährdungsannahmenverordnung wird ausdrücklich verlangt, dass die deterministische Störfallanalyse immer mit den neusten verfügbaren Annahmen durchzuführen ist (vgl. Art. 13 der Gefährdungsannahmenverordnung). Dies geschah im Übrigen auch im vorliegenden Fall, in welchem die Beschwerdegegnerin der Störfallanalyse den im damaligen Zeitpunkt aktuellsten und dem Stand von Wissenschaft und Technik entsprechenden Bodenbeschleunigungswert von 0.17 g auf dem Referenzfelsniveau bzw. 0.348 g auf dem Oberflächenniveau (PRP-IH) für das 10'000-jährliche Erdbeben zugrunde legte. Dieser Wert liegt höher als der früher der Auslegung der Gesamtanlage bzw. als der auf den "Safe Shutdown" ausgerichtete Wert von 0.15 g (vgl. Aktennotiz, S. 10; HSK-Gutachten KKW Beznau II, Ziff. 6.1.2). Weiter werden die Gefährdungsannahmen auch im Rahmen der deterministischen Störfallanalyse probabilistisch ermittelt (Art. 5 Abs. 3 der Gefährdungsannahmenverordnung; vgl. Schmocker/Meyer, a.a.O., S. 23). Damit bildete gerade die von den Beschwerdeführenden geforderte risikoinformierte Vorgehensweise (risikoinformierte Gefährdungsannahmen) die Grundlage für die mit der strittigen Aktennotiz erfolgte Sicherheitsbewertung. Folglich werden die Gefährdungsannahmen jeweils nach dem Stand der Wissenschaft und Technik ermittelt. Es besteht auch insoweit keine Veranlassung, das 10'000-jährliche Erdbeben der Kategorie 2 zuzuweisen.
7.7.6 Der von den Beschwerdeführenden geforderte Dosisgrenzwert von 1 mSv für ein 10'000-jährliches Erdbeben ist ferner zur durchschnittlichen jährlichen Strahlenexposition der Schweizer Bevölkerung ins Verhältnis zu setzen. Die Strahlenexposition setzt sich dabei aus den Strahlendosen natürlicher und künstlicher Strahlenquellen zusammen. Die drei wichtigsten Ursachen für die Strahlenbelastung der Bevölkerung sind das Radon in Wohn- und Arbeitsräumen mit durchschnittlich rund 3.2 mSv pro Jahr, die medizinische Diagnostik mit 1.4 mSv pro Jahr und pro Person (Umrechnung auf die gesamte Bevölkerung) sowie die natürliche Radioaktivität mit einem mittleren Wert von rund 1.1 mSv (vgl. Bundesamt für Gesundheit, Strahlexposition der Schweizer Bevölkerung, gefunden unter: >Gesund leben > Strahlung, Radioaktivität & Schall > Strahlung und Gesundheit > Strahlenexposition der Schweizer Bevölkerung, abgerufen am 10. Dezember 2018). Insgesamt besteht für die Bevölkerung aufgrund der genannten Ursachen eine Strahlenbelastung von rund 5.7 mSv pro Jahr. Vor diesem Hintergrund hält die Vorinstanz fest, dass es nicht verhältnismässig wäre, wenn bei einer derart verheerenden Naturkatastrophe wie einem 10'000-jährlichen Erdbeben ein Grenzwert von maximal 1 mSv zulässig wäre. Dies entspricht nicht einmal 20 % der jährlichen Strahlenexposition der Schweizer Bevölkerung (Berechnung: 1 mSv ÷ 5.7 mSv). Das Bundesverwaltungsgericht teilt deshalb diese Sichtweise. Die Zuordnung des 10'000-jährlichen Erdbebens, d.h. eines sehr seltenen Ereignisses (Richtlinie HSK-R-100 [2004], Ziff. 5.3), zur Störfallkategorie 3 erscheint auch vor diesem Hintergrund gerechtfertigt; ein Verstoss gegen das Vorsorgeprinzip ist allein darin nicht ersichtlich.
7.7.7 Schliesslich hielt die KNS fest, dass die Bestimmung der Gefährdungsannahmen auf der Basis von PEGASOS sowie die Vorgaben für den deterministischen Sicherheitsnachweis samt der anwendbaren Dosislimite im internationalen Vergleich anspruchsvoll seien und ein gutes Sicherheitsniveau gewährleisten würden (vgl. KNS, Reaktorkatastrophe von Fukushima - Folgemassnahmen in der Schweiz, März 2012 [nachfolgend: KNS, Reaktorkatastrophe], Ziff. 5.1.1, S. 21, gefunden unter: News und Medien Publikationen Datenbank allgemeine Publikationen, abgerufen am 10. Dezember 2018). Die KNS nimmt als Konsultativbehörde unter anderem zuhanden des ENSI und des Bundesrats Beratungsaufgaben bei grundsätzlichen Fragen der nuklearen Sicherheit wahr und gibt dazu Empfehlungen ab (vgl. Art. 71 Abs. 1 KEG; Art. 3 der Verordnung vom 12. November 2008 über die Eidgenössische Kommission für nukleare Sicherheit [VKNS, SR 732.16]; vgl. Müller, a.a.O., S. 197 und 199). Sodann bestätigt auch die Vorinstanz, dass ein gutes Sicherheitsniveau bestehe, wenn die Einhaltung einer maximalen Dosis von 100 mSv für ein 10'000-jährliches Ereignis nachgewiesen werde (vgl. Vernehmlassung, Rz. 32). Für das Bundesverwaltungsgericht besteht keine Veranlassung, die Einschätzungen der beiden fachkundigen Behörden in Zweifel zu ziehen (vgl. oben E. 2). Folglich sprechen auch diese Einschätzungen gegen die Zuordnung des 10'000-jährlichen Erdbebens zur Störfallkategorie 2 mit einem Dosisgrenzwert von 1 mSv.
7.7.8 Nach dem Gesagten rechtfertigt sich die Zuordnung des 10'000-jährlichen Erdbebens zur Störfallkategorie 3 auch aufgrund des Sinn und Zwecks der Bestimmung.
7.8 Schliesslich ist die systematische Auslegungsmethode heranzuziehen.
7.8.1 Zunächst ist auf Art. 5 Abs. 4 i.V.m. Art. 1 Bst. e der Gefährdungsannahmenverordnung einzugehen. Es stellt sich die Frage, ob Art. 94 StSV (2005) im Lichte dieser Bestimmungen derart auszulegen ist, dass ein abdeckendes Spektrum an Häufigkeiten analysiert werden muss.
7.8.1.1 Die Beschwerdeführenden machen mit Verweis auf die genannten Bestimmungen der Gefährdungsannahmenverordnung geltend, dass ein abdeckendes bzw. umhüllendes Spektrum von Störfällen wirksam beherrscht werden müsse. Dabei sei jeweils jener Störfall mit den grössten Anforderungen heranzuziehen. Folglich stehe das 10'000-jährliche Erdbeben stellvertretend auch für die häufigeren (umhüllten) Ereignisse, weshalb es insbesondere aufgrund des Vorsorgeprinzips der Störfallkategorie 2 zuzuordnen sei, wenn es als einziges Ereignis untersucht werde. Dass die Vorinstanz gemäss ihrer Praxis vorliegend nur eine von zwei punktgenauen Ereignishäufigkeiten untersucht habe, sei widerrechtlich.
7.8.1.2 Gemäss Art. 1 Bst. e der Gefährdungsannahmenverordnung ist anhand der deterministischen Störfallanalyse nachzuweisen, dass ein abdeckendes Spektrum von Störfällen durch die getroffenen Schutzmassnahmen wirksam beherrscht wird und damit die grundlegenden Schutzziele eingehalten werden. Dieser Nachweis wird für die durch Naturereignisse ausgelösten Störfälle auf Gefährdungen mit einer Häufigkeit grösser gleich 10-4 pro Jahr beschränkt (Art. 5 Abs. 4 der Gefährdungsannahmenverordnung). Die massgebende Richtlinie ENSI-A01 präzisiert, dass für den Nachweis der Einhaltung der grundlegenden Schutzziele mindestens ein umhüllendes Spektrum auslösender Ereignisse und Störfallabläufe zu untersuchen ist. Dabei sind jene Störfälle zu untersuchen, die die strengsten Anforderungen an die Einhaltung der Schutzziele gemäss Art. 1 Bst. d der Gefährdungsannahmenverordnung stellen (Richtlinie ENSI-A01, Ziff. 4.2.1 Bst. a und d; vgl. auch die vorherige Richtlinie HSK-R-100 [2004], Ziff. 5, S. 3 f.). Als umhüllende Störfälle gelten mithin jene Ereignisabläufe, die die maximalen Beanspruchungen verursachen und die maximalen Anforderungen an die Anlage und die Sicherheitssysteme stellen (vgl. Schmocker/ Meyer, a.a.O., S. 22). Daraus folgt, dass die deterministische Störfallanalyse gerade nicht den Nachweis verschiedener Häufigkeiten fordert. Vielmehr genügt bereits der Nachweis eines einzigen Ereignisses, sofern es abdeckend im Sinn der genannten Bestimmungen ist (zur Frage des abdeckenden Spektrums: vgl. sogleich E. 7.8.2).
7.8.1.3 Dies stimmt mit der Praxis der Vorinstanz betreffend die Festlegung der im Rahmen der deterministischen Störfallanalyse zu beurteilenden Naturereignisse überein. Dabei ist die Besonderheit zu berücksichtigen, dass erdbebeninduzierte Störfälle im Gegensatz zu technisch bedingten Störfällen (vgl. Richtlinie ENSI-A01, Anhang 2) keine exakt definierte Häufigkeit aufweisen. Ihre Häufigkeit steht in Abhängigkeit zum Ausmass des Ereignisses und umgekehrt. In diesem Sinn war von Beginn an anerkannt, dass die korrekte Wahl der Häufigkeit entscheidend ist (vgl. oben E. 7.6.2.4). Praxisgemäss wurden jeweils zwei diskrete Ereignisse untersucht, wobei das ursprünglich anhand der Auslegungsgrenze definierte und als 10'000-jährliches Ereignis festgelegte Sicherheitserdbeben im Vordergrund stand.
7.8.1.4 Diese Praxis steht im Einklang mit den internationalen Regelwerken (zu deren Funktion und Verbindlichkeit: vgl. A-4153/2016 E. 4.5.4). So gibt die International Atomic Energy Agency (IAEA) vor, dass im Rahmen der Störfallvorsorge zwei verschiedene Erdbebenstärken, ein schwächeres Beben (sog. seismic level 1 [SL-1]) und ein stärkeres Beben (sog. seismic level 2 [SL-2]) zu untersuchen sind. Während Ersterem eine Häufigkeit von 10-2 pro Reaktorjahr zugeordnet wird, wird Letzterem - bezüglich der vorliegend untersuchten bzw. massgebenden Mittelwerte - ein Häufigkeitsbereich von 10-3 bis 10-4 pro Reaktorjahr zugewiesen und im Minimum ein Beschleunigungswert von 0.1 g vorgegeben. Das SL-2 findet in der Praxis der Vorinstanz seine Entsprechung im Sicherheitserdbeben (SSE; vgl. IAEA Safety Guide NS-G-1.6, Seismic Design and Qualification for Nuclear Power Plants [nachfolgend: IAEA Safety Guide NS-G-1.6], Ziff. 2.3 f. und 2.5). Die IAEA hält in ihrem Schlussbericht zur Überprüfungsmission in der Schweiz im November und Dezember 2011 fest, dass der gesamte vom ENSI durchgeführte Prozess der deterministischen Störfallanalyse in Übereinstimmung mit der internationalen Praxis und der IAEA-Regelwerke erfolge (IAEA, Integrated Regulatory Review Service [IRRS], 2011 [nachfolgend: IAEA Schlussbericht, Ziff. 6.2.3, S. 46, gefunden unter: > Themen > IRRS-Mission 2011/2015 > IAEA veröffentlicht Bericht der Überprüfungsmission beim ENSI > Weitere Informationen, abgerufen am 12. Dezember 2018). Sodann sieht die Western European Nuclear Regulators Association (WENRA) in ihrem Regelwerk für den Auslegungsstörfall Erdbeben vor, dass dieser keine Häufigkeit über 10-4 pro Jahr aufweisen und im Minimum eine Beschleunigung von 0.1 g zugrunde gelegt werden soll (vgl. WENRA, Safety Reference Levels for Existing Reactors, 2014 [nachfolgend: WENRA, Safety Reference Levels], T 4.1 gefunden unter: > Publications, 12. Dezember 2018). Vorliegend werden auch diese Vorgaben eingehalten.
7.8.1.5 Nach dem Gesagten lässt allein die Tatsache, dass im Rahmen der vorliegenden deterministischen Störfallanalyse ein diskretes Erdbeben untersucht worden ist, die Praxis der Vorinstanz nicht als widerrechtlich erscheinen, sofern es abdeckend ist (zur Frage des abdeckenden Spektrums: vgl. sogleich E. 7.8.2).
7.8.2 Es stellt sich die Frage, was unter dem Erfordernis des abdeckenden Spektrums im Sinn von Art. 1 Bst. e der Gefährdungsannahmenverordnung zu verstehen ist.
7.8.2.1 Die Beschwerdegegnerin macht hierzu geltend, dass das Prinzip des abdeckenden Spektrums nur im Zusammenhang mit dem Versagen bestimmter Komponenten im Rahmen eines Störfalls zur Anwendung gelange. Daraus lasse sich jedoch nichts für die Definition des auslösenden Ereignisses herleiten.
7.8.2.2 Das Erfordernis eines abdeckenden Spektrums im Sinn von Art. 1 Bst. e der Gefährdungsannahmenverordnung bezieht sich nach der Richtlinie ENSI-A01 auf die technische Störfallanalyse (vgl. Erläuterungsbericht zur Richtlinie ENSI-A01, Ziff. 2.4 und 2.4.2). Diese ist von der radiologischen Störfallanalyse zu unterscheiden. Das Ziel der technischen Störfallanalyse bei Kernkraftwerken ist insbesondere der Nachweis, dass die technischen Kriterien gemäss Art. 8-11 der Gefährdungsannahmenverordnung eingehalten werden. Zudem soll sie die Störfallabläufe für die radiologische Störfallanalyse liefern. Demgegenüber umfasst die radiologische Störfallanalyse die sog. Quelltermberechnungen sowie die Berechnung der Strahlenexposition, welche letztlich auf die Überprüfung der Einhaltung der Dosisgrenzwerte gemäss Art. 94 Abs. 3-5 StSV (2005) ausgerichtet ist (Art. 7 der Gefährdungsannahmenverordnung; vgl. Erläuterungsbericht zur Richtlinie ENSI-A01, Ziff. 1.3). Dies legt den Schluss nahe, dass das Erfordernis des umhüllenden Spektrums mit Blick auf die Anforderungen an die Anlage und die Sicherheitssysteme definiert wird und nicht bezüglich des auslösenden Naturereignisses. Wie es sich damit verhält, kann aber aufgrund der folgenden Ausführungen offen bleiben.
7.8.2.3 Selbst wenn das Prinzip des abdeckenden Spektrums auch bezüglich der Festlegung des störfallauslösenden Ereignisses Anwendung fände, liesse sich daraus nichts für die Zuordnung eines Störfalls zu einer Störfallkategorie ableiten. Vielmehr würde das Prinzip nach diesem Verständnis einzig bestimmen, welcher Störfall innerhalb eines Spektrums bzw. innerhalb einer Störfallkategorie analysiert werden müsste.
7.8.3 Bezogen auf den konkreten Fall bedeutet dies, dass allein gestützt auf das Prinzip des abdeckenden Spektrums kein Grund besteht, das 10'000-jährliche Erdbeben bzw. das heutige NESK 3 als "umhüllenden Störfall" der Störfallkategorie 2 zuzuweisen.
Davon zu unterscheiden sind die Fragen, ob - bei Zuteilung des 10'000-jährlichen Erdbebens zur Störfallkategorie 3 - das 10'000-jährliche Erdbeben innerhalb der Störfallkategorie 3 abdeckend ist (vgl. hierzu sogleich: E. 8) und ob nicht zusätzlich ein Störfall der Störfallkategorie 2 hätte untersucht werden müssen (vgl. hierzu sogleich: E. 7.12). Soweit die Beschwerdeführenden im Übrigen geltend machen, die Vorinstanz habe das neue Nachweiserdbeben der Störfallkategorie 2 (NESK 2) mit einer Häufigkeit von 10-3 pro Jahr nicht korrekt bzw. abdeckend festgesetzt, da damit eine Herabsetzung des Schutzversprechens um den Faktor 10 verbunden sei, ist nicht weiter darauf einzugehen. Diese Rüge gehört nicht zum Streitgegenstand.
7.8.4 Schliesslich kann den Beschwerdeführenden nicht gefolgt werden, wenn sie geltend machen, es könne bereits aus der Systematik von Art. 94 StSV (2005) gefolgert werden, dass das 10'000-jährliche Erdbeben Art. 94 Abs. 4 StSV (2005) bzw. der Störfallkategorie 2 zuzuweisen sei. Nur weil Art. 94 Abs. 7 StSV (2005) unter anderem Störfälle regelt, deren Eintretenshäufigkeit kleiner ist als 10-6 pro Jahr und die Bestimmung folglich den Häufigkeitsbereich gegenüber der Störfallkategorie 3 exakt abgrenzt, indem sie das Ereignis mit einer Häufigkeit auf der Grenze (10-6 pro Jahr) der "tieferen" Kategorie zuordnet, kann nicht automatisch auf eine identische Abgrenzung der anderen Häufigkeitsbereiche geschlossen werden. Art. 94 Abs. 7 StSV (2005) zieht die Grenze vielmehr gleich wie der damalige Art. 94 Abs. 5 StSV (1994), ohne dass mit Letzterem ein bewusster Entscheid des Verordnungsgebers verbunden gewesen wäre.
7.8.5 Damit ergibt sich aus systematischer Warte, dass das 10'000-jährliche Erdbeben der Störfallkategorie 3 zuzuordnen ist. Daran vermag auch das Prinzip des "abdeckenden Störfalls" nichts zu ändern.
7.9 Zusammengefasst folgt aus den obigen Ergebnissen der verschiedenen Auslegungsmethoden, dass das 10'000-jährliche Erdbeben den Störfällen mit einer Häufigkeit zwischen 10-4 und 10-6 pro Jahr zuzuordnen ist und in den Häufigkeitsbereich von Art. 94 Abs. 5 StSV (2005) fällt. Es gehört somit zur Störfallkategorie 3 gemäss Art. 1 Bst. a Ziff. 3 der Gefährdungsannahmenverordnung. Insoweit besteht kein Widerspruch zwischen den beiden Verordnungsbestimmungen. Damit braucht die strittige Frage betreffend das Verhältnis zwischen dem nuklearen Regelwerk und der Strahlenschutzgesetzgebung (Vorrang der lex specialis vor der lex generalis) von vornherein nicht geklärt zu werden.
7.10 Dieses Ergebnis ist in den internationalen Kontext zu stellen.
7.10.1 Die Beschwerdeführenden bringen vor, dass die Schweiz im Gegensatz zu den meisten anderen Industrienationen bewusst auf die Standortkriterien für Kernkraftwerke (sog. Siting Criteria) verzichtet habe. Aufgrund dieses Verzichts habe die Schweiz ein Schutzniveau zu gewährleisten, das eine oder zwei Grössenordnungen höher sei als in Nationen, die auf das Prinzip "Schutz durch Abstand" setzen. Dies erkläre die teilweise strengeren Dosisgrenzwerte der Schweiz. Entsprechend seien auch die IAEA-Mindeststandards, welche den kleinsten gemeinsamen Nenner darstellen, nicht adäquat für die Schweiz, weshalb sie nicht schutzmindernd zur Anwendung gelangen dürfen. Ferner zeige gerade das Beispiel Deutschland, welches bei einem Bemessungserdbeben mit einer Häufigkeit von 10-5 pro Jahr einen Dosiswert von 50 mSv vorschreibe, dass deutlich strengere Regeln bestünden.
7.10.2
7.10.2.1 Mit den Beschwerdeführenden ist davon auszugehen, dass die Sicherheit der Schweizer Kernkraftwerke aufgrund der vergleichsweise hohen Bevölkerungsdichte und dem grossem Landwert in deren Umgebung deutlich über dem internationalen Durchschnitt liegen muss (vgl. Naegelin, a.a.O., S. 142). Jedoch geben weder die internationalen Normen der IAEA noch jene der WENRA einen Dosisgrenzwert vor, weshalb sich daraus insoweit keine Schlüsse für das Schutzniveau ziehen lassen. Immerhin hat die IAEA in ihrem Schlussbericht ihrer Überprüfungsmission im November und Dezember 2011 hervorgehoben, dass der Dosisgrenzwert von 1 mSv für die Störfallkategorie 2 verglichen mit internationalen Standards als niedrig gelte (vgl. IAEA Schlussbericht, S. 46). Zudem weist die Vorinstanz darauf hin, die Verknüpfung zwischen der Sicherheitsbewertung für ein 10'000-jährliches Erdbeben und dem Dosisgrenzwert von 100 mSv mit einem Ausserbetriebnahmekriterium sei weltweit gesehen eine sehr strenge Anforderung. Auch nach Ansicht der KNS sind die Ermittlung der Gefährdungsannahmen sowie die Vorgaben für den deterministischen Sicherheitsnachweis (inkl. Dosislimite) im internationalen Vergleich anspruchsvoll und sie gewährleisten ein gutes Sicherheitsniveau.
7.10.2.2 Insbesondere orientiert sich das der strittigen Aktennotiz zugrunde liegende 10'000-jährliche Erdbeben am unteren Rand des von der IAEA vorgegebenen Häufigkeitsbereichs zwischen 10-3 und 10-4 pro Reaktorjahr und der für die Erdbebengefährdung angenommene Bodenbeschleunigungswert von 0.17 g (Referenzfelsniveau; PRP-IH) liegt höher als der von der IAEA vorgegebene Minimalwert von 0.1 g, der in jedem Fall unbesehen des Erdbebenrisikos zu verwenden ist (vgl. IAEA Safety Guide NS-G-1.6, Ziff. 2.7; vgl. WENRA, Safety Reference Levels, T. 4.2, wonach ebenfalls im Minimum eine Beschleunigung von 0.1 g anzunehmen ist).
7.10.2.3 Schliesslich können die Beschwerdeführenden mit ihrem Verweis auf die angeblich strengeren Vorgaben in Deutschland nichts zu ihren Gunsten ableiten. So weist die Vorinstanz darauf hin, dass die Erdbebengefährdung in Deutschland mit einem einfacheren Verfahren bestimmt werde und der dort für die Gefährdungen massgebliche Medianwert bei gleicher Jährlichkeit zu tieferen Werten führe, als der in der Schweiz verwendete Mittelwert. Entsprechend gibt denn auch die IAEA je nach verwendetem Wert bei den Gefährdungsannahmen vor, dass Häufigkeiten von 10-3 bis 10-4 (Mittelwert) oder 10-4 bis 10-5 (Medianwert) pro Reaktorjahr zu analysieren sind (vgl. IAEA Safety Guide NS-G-1.6, Ziff. 2.7).
7.10.3 Nach dem Gesagten ist das Sicherheitsniveau mit Blick auf die internationalen Regelwerke als gut einzustufen. Entsprechend besteht in dieser Hinsicht keine Veranlassung, das 10'000-jährliche Erdbeben der Störfallkategorie 2 zuzuordnen.
7.11 Zusammengefasst hat die Vorinstanz im Rahmen des strittigen deterministischen Sicherheitsnachweises zu Recht verlangt, dass das KKB im Falle eines 10'000-jährlichen Erdbebens einen Dosisgrenzwert von 100 mSv einhalten muss. Der Grenzwert von 1 mSv ist für dieses Ereignis nicht massgeblich. Folglich ist die Feststellung nicht zu beanstanden, dass im Falle eines 10'000-jährlichen Erdbebens der Dosisgrenzwert von 100 mSv nicht überschritten und demnach das Ausserbetriebnahmekriterium gemäss Art. 3 der Ausserbetriebnahmeverordnung nicht erfüllt wird.
7.12 Schliesslich ist darauf einzugehen, ob die Vorinstanz zugleich ein 9'999-jährliches Beben hätte prüfen müssen oder ob sie den Nachweis im konkreten Fall zu Recht auf das 10'000-jährliche Erdbeben beschränkt hat.
7.12.1 Die Vorinstanz führt hierzu aus, dass im Rahmen der Sicherheitsbewertung die Ausserbetriebnahmekriterien geprüft werden. Seien Erdbebenereignisse zu untersuchen, stehe dabei das sog. Kernkühlbarkeitskriterium gemäss Art. 44 Abs. 1 Bst. a KEV im Vordergrund. Dieses Kriterium sei aber nur bei sehr starken Erdbeben gefährdet. Da die massgeblichen Rechtsgrundlagen (Art. 44 KEV i.V.m. Art. 2 und 3 der Ausserbetriebnahmeverordnung) Raum liessen, den Untersuchungsgegenstand gezielt auf einzelne Störfälle oder auf einzelne Häufigkeiten eines Störfalls zu beschränken, sei vorliegend einzig das stärkste zu betrachtende Erdbeben für die deterministische Störfallanalyse herangezogen worden. Nur mit einer sachgerechten Festlegung der Nachweisanforderungen liessen sich bei einem Ausserbetriebnahmenachweis in der gebotenen kurzen Zeitspanne adäquate neue Bewertungsgrundlagen erstellen.
7.12.2 Dagegen bringen die Beschwerdeführenden vor, dass der Untersuchungsgegenstand nicht korrekt bestimmt worden sei. Einerseits würden Art. 3 der Ausserbetriebnahmeverordnung sowie Art. 94 StSV verschiedene Dosisgrenzwerte vorgeben, weshalb diese auch zu prüfen seien. Andererseits sei das 9'999-jährliche Erdbeben zwingend zu prüfen gewesen, da die dabei massgebliche Dosislimite von 1 mSv massiv überschritten werde und es nur infinitesimal häufiger sei als das 10'000-jährliche Erdbeben. Sodann sei die Forderung nach einem rein technischen "Kernkühlbarkeits"-Nachweis nicht zulässig, da weitere Ausserbetriebnahmekriterien bestünden.
7.12.3 Die Vorinstanz ordnete im vorliegenden Fall vor dem Hintergrund der Reaktorkatastrophe in Fukushima gestützt auf Art. 2 Abs. 1 Bst. d der Ausserbetriebnahmeverordnung eine unverzügliche Überprüfung der Auslegung des KKB an. Diese Überprüfung hatte einzig den deterministischen Nachweis der Beherrschung eines 10'000-jährlichen Erdbebens zum Gegenstand. Dabei hat die Vorinstanz den Nachweis nicht auf das sog. Kernkühlbarkeitskriterium beschränkt, sondern auch die Integrität des Primärkreislaufs sowie des Containments miteingeschlossen (vgl. Aktennotiz, Ziff. 1.2). Wenn nun die Vorinstanz festhält, dass bei einem Erdbeben vor allem das Kriterium der Kernkühlbarkeit relevant sei und dieses nur bei äusserst starken Erdbeben gefährdet sein könne, nimmt sie eine Einschätzung im Rahmen ihres technischen Ermessens vor (vgl. oben E. 2). Dies ist nicht zu beanstanden. Vielmehr erscheint es als sachgerecht, dass sie angesichts der zeitlichen Dringlichkeit des Sicherheitsnachweises auf das stärkste anzunehmende Erdbeben (an der Auslegungsgrenze) und den insoweit massgeblichen Dosisgrenzwert von 100 mSv abstellte, zumal über eine allfällige unverzügliche Ausserbetriebnahme des KKB entschieden werden sollte.
7.12.4 Demnach bestand im konkreten Fall keine Pflicht, weitere Erdbeben anderer Störfallkategorien wie das 9'999-jährliche Ereignis zu analysieren.
Es sei angemerkt, dass die Vorinstanz im Rahmen des deterministischen Sicherheitsnachweises nunmehr je ein diskretes Erdbeben (NESK 2 und NESK 3) pro Störfallkategorie prüft (vgl. ENSI, Methodik deterministischer Nachweise der Schweizer Kernkraftwerke für Erdbeben der Störfallkategorien 2 und 3, Aktennotiz ENSI-AN-8567, 2014, S. 3).
7.13 Zusammengefasst ist der erste Begehrenkomplex (Begehren Nr. 2) somit abzuweisen, soweit darauf einzutreten ist.
8.1
8.1.1 Die Beschwerdeführenden bringen vor, Art. 5 Abs. 4 der Gefährdungsannahmenverordnung widerspreche dem übergeordneten Recht, da er den Nachweis des ausreichenden Schutzes gegen die durch Naturereignisse ausgelösten Störfälle auf eine Häufigkeit von grösser gleich 10-4 pro Jahr beschränke. Aus Art. 8 Abs. 4 KEV folge, dass unter anderem die externen Störfälle nach den Häufigkeiten von Art. 94 StSV (2005) einzuteilen und die Dosen gemäss Art. 94 Abs. 2-5 StSV (2005) einzuhalten seien. Art. 94 Abs. 5 StSV (2005) verlange unmissverständlich, dass Ereignisse zwischen 10-4 und 10-6 pro Jahr zu berücksichtigen seien. Der Erdbebennachweis könne deshalb nicht kurzerhand auf Häufigkeiten grösser gleich 10-4 pro Jahr beschränkt werden. Andernfalls wirke sich Art. 5 Abs. 4 der Gefährdungsannahmenverordnung in unzulässiger Weise schutzmindernd aus. Die von der Vorinstanz angeführte Auslegung von Art. 8 Abs. 4 KEV i.V.m. Art. 94 Abs. 5 StSV (2005) treffe nicht zu. Eine rein historische Betrachtung widerspreche dem klaren Wortlaut der beiden Bestimmungen. Zudem blende die Vorinstanz die seitherigen Erkenntnisse (Ereignisse in Fukushima, PEGASOS-Projekt) aus und ignoriere den aktuellen Stand von Wissenschaft und Technik. Es gehe nicht an, dass sich die Vorinstanz auf das 10'000-jährliche Ereignis beschränke. Ihr Vorgehen beruhe auf unzulässigen Annahmen, sei überholt und daran festzuhalten verstosse gegen das Vorsorgeprinzip. Schliesslich sei nicht einzusehen, weshalb gerade bei 10-4 pro Jahr eine Seltenheitsschwelle für noch zu betrachtende Erdbeben liege. Es sei kein wissenschaftliches Konzept bekannt, wonach Gefährdungsabschätzungen ab einer bestimmten Unsicherheit nicht mehr berücksichtigt werden könnten.
8.1.2 Die Beschwerdegegnerin hält dagegen, dass die Begrenzung auf Gefährdungen mit einer Häufigkeit von grösser gleich 10-4 pro Jahr im Einklang mit der langjährigen Praxis und den internationalen Standards stehe. Der Grund für diese Regelung liege darin, dass bereits für Häufigkeiten kleiner als 10-3 pro Jahr keine gesicherten empirischen Erkenntnisse zur Gefährdung bestünden, geschweige denn für Naturereignisse mit einer Häufigkeit kleiner als 10-4 pro Jahr. Die Streubreite der mit modernen probabilistischen Methoden ermittelten Erdbebengefährdungen nehme bei sehr seltenen Ereignissen markant zu. Folglich könnten die Gefährdungsannahmen jenseits der Grenze von 10-4 pro Jahr nicht mehr zuverlässig bestimmt werden. Sodann gebe es kein einziges Land, welches für bestehende Kernkraftwerke einen deterministischen Nachweis für Erdbeben unterhalb der Schwelle von 10-4 pro Jahr (Mittelwert) fordere; dies spiegle sich in den IAEA-Guidelines wieder. Art. 5 Abs. 4 der Gefährdungsannahmenverordnung stehe mit dem übergeordneten Recht im Einklang. Art. 8 KEV verlange nicht, dass Naturereignisse mit einer Häufigkeit von 10-6 pro Jahr zu berücksichtigen seien. Vielmehr würden es sowohl Art. 8 Abs. 6 KEV als auch Art. 94 Abs. 8 StSV (2005) dem UVEK bzw. der Aufsichtsbehörde überlassen, die Einzelheiten der anzunehmenden Störfälle festzulegen. Schliesslich würden mit der Annahme eines Einzelfehlers Störfälle mit einer Häufigkeit bis gegen 10-6 pro Jahr untersucht.
8.1.3 Die Vorinstanz hält fest, dass aus technischer Sicht ein gutes Sicherheitsniveau bestehe, wenn im Rahmen des deterministischen Sicherheitsnachweises die Einhaltung der technischen Schutzziele sowie eine maximale Dosis von 100 mSv für ein 10'000-jährliches Erdbeben nachgewiesen werde. Sodann gebe es keine Rechtsgrundlage, welche gestützt auf die Ergebnisse des PRP oder die Ereignisse in Fukushima einen Nachweis bis zu einer Häufigkeit von 10-6 pro Jahr verlange. Art. 5 Abs. 4 der Gefährdungsannahmenverordnung sei mit dem übergeordneten Recht vereinbar und entspreche auch den internationalen Anforderungen. Schliesslich werde der Rahmen der Auslegungsstörfälle, welche deterministisch beherrscht werden müssten, mit Art. 5 Abs. 4 der Gefährdungsannahmenverordnung auf das Erdbebenspektrum bis 10-4 pro Jahr beschränkt. Demgegenüber würden die Erdbeben mit einer geringeren Häufigkeit als 10-4 pro Jahr mit der probabilistischen Sicherheitsanalyse abdeckend erfasst. Entsprechend bestehe keine Veranlassung, über Art. 5 Abs. 4 der Gefährdungsannahmenverordnung hinauszugehen und einen Nachweis bis zu einer Häufigkeit von 10-6 pro Jahr zu fordern.
8.2 Gemäss Art. 5 Abs. 4 der Gefährdungsannahmenverordnung hat der Betreiber eines Kernkraftwerks für den Nachweis des ausreichenden Schutzes gegen die durch Naturereignisse ausgelösten Störfälle einzig Gefährdungen mit einer Häufigkeit grösser gleich 10-4 pro Jahr zu berücksichtigen und zu bewerten. Damit wird die Grenze der Auslegungsstörfälle im Zusammenhang mit Naturereignissen auf 10-4 pro Jahr festgelegt (vgl. BGE 139 II 185 E. 11.5.2, wonach die durch seltenere Naturereignisse ausgelösten Störfälle auslegungsüberschreitend seien). Art. 5 Abs. 4 der Gefährdungsannahmenverordnung schränkt demnach für den besonderen Fall der Naturgefahren den allgemeinen Bereich der Auslegungsstörfälle ein, welcher ansonsten von 10-1 bis 10-6 pro Jahr reicht (vgl. Art. 1 Bst. a der Gefährdungsannahmenverordnung).
8.3 Es stellt sich nun die Frage, ob Art. 5 Abs. 4 der Gefährdungsannahmenverordnung mit dem übergeordneten Recht vereinbar ist. Der massgebliche Gehalt von Art. 8 Abs. 4 KEV i.V.m. Art. 94 Abs. 5 StSV (2005) ist bis zuletzt zwischen den Parteien strittig geblieben und deshalb im Folgenden auf dem Wege der Auslegung zu ermitteln. Dabei ist einzig auf den streitgegenständlichen Störfall des Erdbebens einzugehen.
8.3.1 Gemäss Art. 8 Abs. 4 KEV sind unter anderem die durch Erdbeben ausgelösten Störfälle nach den Häufigkeiten des Art. 94 StSV (2005) einzuteilen und es ist nachzuweisen, dass die Dosen nach den Art. 94 Abs. 2-5 StSV (2005) eingehalten werden können. Vorliegend relevant ist Art. 94 Abs. 5 StSV (2005), welcher für Störfälle mit einer Häufigkeit zwischen 10-4 und 10-6 pro Jahr eine maximale Dosis von 100 mSv festlegt. Entgegen den Beschwerdeführenden lässt sich aus dem Wortlaut der beiden genannten Bestimmungen nicht ableiten, dass Erdbeben bis zu einer Häufigkeit von 10-6 pro Jahr zu untersuchen wären. Die Bestimmungen äussern sich einzig zur Zuteilung der Störfälle zu den jeweiligen Störfallkategorien und die damit verbundenen Dosisgrenzwerte. Im Übrigen lassen weder die italienische noch die französischen Fassung anderweitige Schlüsse zu.
8.3.2 Im Rahmen der historischen Betrachtung sind wiederum die ehemaligen Richtlinien und die Praxis der Aufsichtsbehörden zentral, die sukzessiv ihren Niederschlag im nuklearen Regelwerk (Art. 8 KEV) und im Strahlenschutzrecht (Art. 94 StSV [2005]) gefunden haben.
8.3.2.1 Seit Beginn der Aufsicht über die Kernkraftwerke wurden die Erdbebenstörfälle abweichend von den anderen Auslegungsstörfällen beurteilt. Während anlageintern ausgelöste, technische Auslegungsstörfälle mit Häufigkeiten bis zu 10-6 pro Jahr untersucht werden, sind die durch Erdbeben ausgelösten Störfälle höchstens mit einer Häufigkeit bis 10-4 pro Jahr zu berücksichtigen. Dies war ein bewusster Entscheid der damaligen Nuklearaufsicht. Er legte die sog. Auslegungsgrenze der Kernkraftwerke für Erdbebenstörfälle fest, womit im Umkehrschluss sämtliche selteneren Erdbebenereignisse als auslegungsüberschreitend zu qualifizieren sind (vgl. oben E. 7.6.2.4).
8.3.2.2 Die zwischenzeitlich erfolgte Kodifikation der Richtlinien in der Kernenergie- und Strahlenschutzverordnung führte nicht zu einer Abkehr oder gar zu einer Verschärfung der bisherigen Praxis (vgl. oben E. 7.6.2.7 f. und E. 7.6.3). Daran vermag auch der Umstand nichts zu ändern, dass die Störfallkategorien bzw. die Häufigkeitsbereiche in Art. 94 Abs. 4 und 5 StSV (2005) in genereller Weise normiert wurden und keine spezifische Regelung der Erdbebenstörfälle Eingang in die Kernenergie- oder Strahlenschutzverordnung gefunden hat. Die Aufsichtsbehörden hielten sowohl vor als auch nach der erfolgten Kodifikation der Richtlinien am Sicherheitserdbeben (bzw. heute NESK 3) fest und grenzten davon die deutlich stärkeren Erdbeben als auslegungsüberschreitend ab (siehe zuletzt explizit: HSK-R-100 [2004], Ziff. 6). Dies zeigt sich insbesondere an den oben aufgeführten Beispielen zur Aufsichtspraxis der HSK (vgl. E. 7.6.4).
8.3.2.3 Vor diesem Hintergrund lässt sich nun aber aus historischer Warte nicht ableiten, dass Erdbeben im Rahmen der deterministischen Störfallanalyse mit einer Häufigkeit bis 10-6 pro Jahr zu betrachten wären. Im Gegenteil. Art. 94 Abs. 5 StSV (2005) erscheint als zu weit gefasst, da er für die Störfallkategorie 3 nicht zwischen erdbebenbedingten und anlageintern verursachten Störfällen unterscheidet und den Häufigkeitsbereich für den Erdbebennachweis auf Ereignisse mit einer Häufigkeit bis 10-4 pro Jahr beschränkt.
8.3.3 Es stellt sich die Frage, ob die Beschränkung der deterministischen Störfallanalyse auf Erdbeben mit bis zu einer Häufigkeit von 10-4 pro Jahr aufgrund einer objektiv-zeitgemässen bzw. teleologischen Betrachtung nicht aufzugeben ist, wie dies die Beschwerdeführenden geltend machen.
8.3.3.1 Der Vorwurf, die Orientierung an der historischen Auslegungsgrenze ignoriere den Stand von Wissenschaft und Technik, trifft nicht zu. Die Erdbebengefährdungsannahmen blieben nicht auf dem Erkenntnisstand stehen, welcher ursprünglich der Auslegung der Kernkraftwerke zugrunde gelegt wurde (für das KKB: 0.15 g). Vielmehr verlangte die damalige HSK eine Neuüberprüfung der Erdbebengefährdung der Kernkraftwerke, nachdem in den späten Neunzigerjahren des letzten Jahrhunderts deutliche methodische Fortschritte auf dem Gebiet der Erdbebengefährdungsanalysen erzielt wurden. Hierzu wurde im Jahr 2000 das PEGASOS-Projekt gestartet. Die damit ermittelten Resultate wiesen jedoch für sehr seltene Ereignisse grosse Unschärfen auf. Die Gründe dafür wurden darin erblickt, dass für starke Erdbeben in der Schweiz kaum direkt verwendbare Messungen vorlagen, die Erdbeben erst seit rund 100 Jahren messtechnisch erfasst werden und anhand von Überlieferungen nur etwa 1'000 Jahre zurückverfolgt werden können. Aus den genannten Gründen wurde zur Verfeinerung der Resultate ab 2004 das Folgeprojekt PRP lanciert (vgl. zum Ganzen: Naegelin, a.a.O., S. 139; HSK, Neubestimmung der Erdbebengefährdung an den Kernkraftwerkstandorten in der Schweiz, 2007, HSK-AN-6252, S. 11, gefunden unter: > Themen > PEGASOS > Dokumente, abgerufen am 20. Dezember 2018).
Den Betreiber eines Kernkraftwerks trifft nun ausdrücklich die Pflicht, einer deterministischen Störfallanalyse die neusten Gefährdungsannahmen zugrunde zu legen (Art. 13 der Gefährdungsannahmenverordnung). Da die Untersuchungen des PRP im Zeitpunkt, als die Vorinstanz den strittigen deterministischen Nachweis verlangte, noch nicht abgeschlossen waren, wurde der aus den PEGASOS-Zahlen abgeleitete, konservative Erdbebengefährdungswert PRP-IH verwendet (vgl. Aktennotiz, S. 9). Dieser betrug für das KKB 0.17 g auf Referenzfelsniveau bzw. 0.348 g auf Oberflächenniveau. Folglich wurde im konkreten Fall für den deterministischen Sicherheitsnachweis nicht nur der aktuellste verfügbare, sondern auch ein höherer Wert verwendet, als er ursprünglich bei der Auslegung des KKB (0.15 g) festgelegt worden war. Mithin waren die Anforderungen an die Anlage grösser.
Es sei darauf hingewiesen, dass die Vorinstanz zwischenzeitlich die PRP-Resultate überprüft und teilweise durch Daten und Modelle des Schweizerischen Erdbebendienstes SED 2015 ersetzt hat (sog. SED-PRP-Modell). Im Mai 2016 verfügte die Vorinstanz für das KKB, dass ein Beschleunigungswert von ca. 0.30 g massgebend sei (sog. Erdbebengefährdungsannahmen ENSI-2015) und ordnete abermals die Durchführung einer deterministischen Störfallanalyse an. Im Rahmen dieses deterministischen Sicherheitsnachweises wird demnach nach Angaben des ENSI ein doppelt so hoher Wert, wie er der ursprünglichen Auslegung zugrunde lag, zu prüfen sein (ENSI, Verfügung: Erdbebengefährdungsannahmen ENSI-2015 für die Standorte der Schweizer Kernkraftwerke, 26. Mai 2016, gefunden unter: > Themen > PEGASOS > Dokumente > PEGASOS-Verfügung KKB, abgerufen am 20. Dezember 2018; ENSI, Stellungnahme zum Gutachten des Ökoinstituts zum Sicherheitsstatus des Kernkraftwerks Beznau, Aktennotiz ENSI-AN-10327, S. 13, gefunden unter: > Dokumente > Stellungnahmen, abgerufen am 20. Dezember 2018).
Im Übrigen dürften gerade die im Rahmen der Erdbebengefährdungsanalyse auftretenden Ungenauigkeiten bei den ermittelten Resultaten von sehr seltenen Ereignissen einen weiteren Grund für die Beschränkung des deterministischen Sicherheitsnachweises auf Erdbeben mit einer Häufigkeit bis zu 10-4 pro Jahr darstellen.
8.3.3.2 Ferner wird der deterministische Sicherheitsnachweis im Rahmen einer periodischen Sicherheitsüberprüfung (PSÜ) zusätzlich von einem probabilistischen Nachweis flankiert (vgl. Art. 34 Abs. 2 Bst. c und d KEV). Der Betreiber eines Kernkraftwerks hat zur Ermittlung der Beschleunigungswerte eines Erdbebens eine sog. standortspezifische probabilistische Erdbebengefährdungsanalyse ("Probabilistic Seismic Hazard Analysis"; nachfolgend: PSHA) durchzuführen. Dadurch lassen sich die jährlichen Überschreitungshäufigkeiten von Bodenerschütterungen am Anlagestandort inklusive Unsicherheiten ermitteln (vgl. Richtlinie ENSI-A05, Probabilistische Sicherheitsanalyse [PSA]: Qualität und Umfang, Ziff. 4.6.2.1). Eine solche PSHA stellte beispielsweise PEGASOS dar. Die damit gewonnenen Daten dienen neben der deterministischen Störfallanalyse auch der probabilistischen Sicherheitsanalyse. Letztere erlaubt es, auslegungsüberschreitende Störfälle zu betrachten, welche nicht mehr deterministisch beherrscht, sondern probabilistisch bewertet werden (vgl. BGE 139 II 185 E. 11.5.2). Konkret können mit der probabilistischen Sicherheitsanalyse in der Schweiz auch seismische Bodenbeschleunigungen, die seltener als einmal in 10'000 Jahren (10-4 pro Jahr) bis hin zu einmal in 10'000'000 Jahren (10-7 pro Jahr) vorkommen, berücksichtigt werden (Richtlinie ENSI-A05, Ziff. 4.6.2.1; ENSI, Stellungnahme zum Gutachten des Ökoinstituts zum Sicherheitsstatus des Kernkraftwerks Beznau, Aktennotiz ENSI-AN-10327, S. 13).
Diesbezüglich hat die Vorinstanz darauf hingewiesen, dass es vor allem das Zusammenspiel von deterministischer und probabilistischer Sicherheitsbewertung sei, welches es erlaube, den gesamten Bereich der Erdbebengefährdung abdeckend zu erfassen (vgl. auch Naegelin, a.a.O., S. 145, wonach das Problem der richtigen Wahl der Häufigkeit des Sicherheitserdbebens mit der Einführung der Risikoanalyse etwas entschärft wurde). Mit anderen Worten lässt sich mit der probabilistischen Sicherheitsanalyse ein deutlich über das Sicherheitserdbeben hinausreichendes Spektrum an Erdbebenereignissen explorieren und abdeckend erfassen. Insoweit besteht keine Notwendigkeit, die Grenze der im Rahmen der deterministischen Sicherheitsbewertung zu betrachtenden Erdbebenereignisse bis hin zu einer Häufigkeit von 10-6 pro Jahr zu verschieben.
8.3.3.3 Ausserdem bestätigen sowohl die KNS als auch die Vorinstanz als Fachbehörden, dass die Vorgaben für den deterministischen Sicherheitsnachweis samt den massgeblichen Dosislimiten im internationalen Vergleich anspruchsvoll seien und ein gutes Sicherheitsniveau gewährleisten (vgl. oben E. 7.7.7). Auch diese fachkundige Einschätzung spricht gegen eine Abkehr vom bisherigen Nachweis für Erdbebenereignisse mit einer Häufigkeit bis 10-4 pro Jahr.
8.3.3.4 Folglich ändert die von den Beschwerdeführenden geforderte objektiv-zeitgemässe bzw. objektiv-teleologische Betrachtung nichts am Ergebnis der historischen Auslegung.
8.3.4 Schliesslich steht Art. 5 Abs. 4 der Gefährdungsannahmenverordnung mit den internationalen Regelwerken in Einklang. Sowohl die IAEA als auch die WENRA verlangen die Berücksichtigung von Erdbeben mit einer Häufigkeit von bis zu 10-4 pro Jahr (Mittelwert). Zudem werden im konkreten Fall auch die internationalen Mindestanforderungen an die zu berücksichtigende Bodenbeschleunigung von 0.1 g bei Weitem eingehalten (vgl. oben E. 6.2 und 7.10.2.2). Entgegen den Beschwerdeführenden können die internationalen Vorgaben vorliegend uneingeschränkt berücksichtigt werden, da sich diese nicht schutzmindernd auswirken und ein im internationalen Vergleich gutes Schutzniveau gewährleistet ist (vgl. E. 7.10).
8.4
8.4.1 Zusammengefasst stimmt Art. 5 Abs. 4 der Gefährdungsannahmenverordnung mit dem übergeordneten Recht überein, soweit die Bestimmung bei Erdbeben ausschliesslich einen deterministischen Nachweis bis zu einer Häufigkeit von 10-4 pro Jahr fordert. Der Wortlaut von Art. 94 Abs. 5 StSV (2005) erscheint als unklar und ist auf dem Wege der teleologischen Reduktion für Erdbebenstörfälle insoweit klarzustellen.
8.4.2 Ausserdem steht Art. 5 Abs. 4 der Gefährdungsannahmenverordnung nicht mit Art. 1 Bst. e der Gefährdungsannahmenverordnung in Widerspruch, wonach im Rahmen der deterministischen Störfallanalyse nachzuweisen ist, dass ein abdeckendes Spektrum beherrscht wird. Art. 5 Abs. 4 der Gefährdungsannahmenverordnung beschränkt vielmehr für die Störfallkategorie 3 das Spektrum innerhalb dessen ein abdeckender Nachweis erbracht werden muss (vgl. Erläuterungsbericht zur Richtlinie ENSI-A01, Ziff. 242). Die Bestimmung gibt somit den Rahmen für die deterministische Störfallanalyse vor. Deshalb kann aus dem Prinzip des abdeckenden Spektrums gemäss Art. 1 Bst. e der Gefährdungsannahmenverordnung vorliegend nicht gefordert werden, dass ein Nachweis auch für Erdbeben mit einer Häufigkeit bis 10-6 pro Jahr erbracht werden müsste.
8.4.3 Nach dem Gesagten hat die Vorinstanz zu Recht den deterministischen Sicherheitsnachweis auf Erdbeben mit einer Häufigkeit von bis zu 10-4 pro Jahr beschränkt. Ein deterministischer Nachweis noch seltenerer Ereignisse, wie ein 1'000'000-jährliches oder 999'999-jährliches Erdbeben, ist nicht erforderlich. Somit sind die Begehren des zweiten Begehrenkomplexes abzuweisen, soweit darauf einzutreten ist.
9.1
9.1.1 Die Beschwerdeführenden machen geltend, dass die aus einem Störfall resultierende zusätzliche Dosis nicht korrekt berechnet worden sei. Die vom ENSI angewendete Richtlinie treffe fragwürdige Annahmen. Sie gehe bei der Berechnung der Dosen nur von einer Expositionszeit von einem Jahr unmittelbar nach dem Ereignis aus und unterstelle unter anderem gravierende, kaum umsetzbare Einschränkungen der Lebensgewohnheiten. Dagegen sei nach der Strahlenschutzverordnung eine Integrationszeit von 50 Jahren bei Erwachsenen bzw. 70 Jahren bei Kindern massgebend. Mithin fordere sie eine "Betrachtung über die gesamte Zeit". Folglich widerspreche die Beschränkung auf ein Jahr in der Richtlinie ENSI-G14 der Verordnung. Sodann dürfe die Vorinstanz keine Massnahmen (Ernte- oder Weideverbot) nach Art. 20 Strahlenschutzgesetz berücksichtigen, da diese nur für auslegungsüberschreitende Störfälle gelten würden und damit im Bereich der Vorsorge gegen Auslegungsstörfälle nichts zu suchen hätten. Da es unzulässig sei, bei Auslegungsstörfällen eine Evakuation anzunehmen, werde die Dosis über eine längere Zeit als ein Jahr akkumuliert. Ausserdem ergebe sich aus Art. 94 Abs. 5 StSV (2005) unmissverständlich, dass die gesamte Dosis relevant sei und diese nicht über die Festlegung des Betrachtungszeitraums eingeschränkt werden dürfe. Folglich bestehe kein Raum für eine Konkretisierung über die ENSI-Richtlinie oder die Normen der Internationalen Strahlenschutzkommission (sog. International Commission on Radiological Protection [ICRP]). Selbst wenn das ICRP-Regelwerk anwendbar wäre, könne nicht auf dessen Referenzwert von 100 mSv und die darin vorgesehene Beschränkung der Exposition auf ein Jahr abgestellt werden, da diese nur für Notfallsituationen und nicht für den vorliegend massgeblichen Bereich von Auslegungsstörfällen bzw. der Störfallvorsorge gelten würden. Werde nun der Betrachtungszeitraum für die aus einem Störfall resultierende Dosis auf ein Jahr beschränkt, sei die in der Realität auftretende Dosis höher, da die Strahlung der Radionuklide nicht einfach nach einem Jahr aufhöre. Folglich liege die akkumulierte Dosis bei einer realistischen Betrachtung über 100 mSv, was im Bereich der Auslegungsstörfälle nicht mehr gerechtfertigt werden könne. Umgekehrt seien die für Notfallsituation gedachten Referenzwerte der ICRP viel zu hoch, damit sie zugleich bei Auslegungsstörfällen als das erste Jahr abdeckende Dosisgrenzwerte dienen dürften. Das Regelwerk der ICRP sehe an keiner Stelle vor, dass der Dosisgrenzwert für die Vorsorge nur für das erste Jahr betrachtet werden soll. Im Gegenteil sei vielmehr jeweils die für die betrachtete Situation angemessene Zeitspanne heranzuziehen. Es könne folglich nicht argumentiert werden, dass zwecks einer konsistenten und vergleichbaren Betrachtung immer eine einjährige Betrachtungszeit massgeblich sei. Ferner gehe die Dosisberechnung nicht von konservativen Annahmen aus. Einerseits gehe man bei den betroffenen Personen nur für die erste Zeit des "Fahnendurchzugs" von einem permanenten Aufenthalt im Freien aus; anschliessend seien es nur noch 8 Stunden pro Tag. Andererseits werde ein totales Ernte- und Weideverbot nach zwei Tagen unterstellt und der Trinkwasserkonsum werde nicht berücksichtigt.
9.1.2 Die Beschwerdegegnerin hält dagegen, dass die Annahme einer einjährigen Expositions- und Inhalationszeit sachlich begründet sei, dem Stand von Wissenschaft und Technik entspreche und im Einklang mit dem internationalen Regelwerk stehe. Die resultierende Wirkung werde umfassend und mit sehr konservativen Methoden ermittelt. Einerseits werde unterstellt, dass die betroffenen Personen am Ort mit der grössten Gesamtdosis wohnen und arbeiten. Zudem werde ein permanenter Aufenthalt im Freien in unmittelbarer Nähe zum Kernkraftwerk unterstellt. Andererseits werde angenommen, in den ersten zwei Tagen nach dem Störfall werde der gesamte Nahrungsmittelbedarf (Obst, Früchte, Gemüse, Milch und Fleisch) vom sog. Hauptaufschlagpunkt sowie der Trinkwasser- und Fischbedarf aus dem Fluss unterhalb der Anlage gedeckt. Da sich die radioaktive Wolke mit zunehmender Zeit und Distanz vom Kraftwerk überproportional verdünne, liege die effektive Dosis für den grössten Teil der betroffenen Bevölkerungsgruppe deutlich tiefer. Ferner werde angenommen, dass die Aufnahme der abgegebenen radioaktiven Stoffe (Exposition und Inhalation) ununterbrochen während eines Jahres erfolge. Daraus werde anschliessend die für die nächsten 50 Jahre (sog. Integrationszeit) resultierende Folgedosis berechnet. Folglich treffe der Vorwurf nicht zu, die Vorinstanz beschränke die Betrachtung auf lediglich ein Jahr. Selbst wenn man von einer längeren Expositionszeit von insgesamt 80 Jahren ausgehe, führe dies nicht zu massgeblich höheren Dosen. Schliesslich ergebe sich aus dem Regelwerk der ICRP, dass jeweils für sämtliche Expositionssituationen üblicherweise von einer einjährigen Expositionszeit ausgegangen werde. Die von den Beschwerdeführenden geforderte längere Expositionszeit finde hingegen keine Stütze.
9.1.3 Die Vorinstanz führt aus, dass eine strenge rechtliche Trennung zwischen Störfallvorsorge und Notfallschutz weder vorgeschrieben noch sachgerecht sei. Insbesondere das strittige Ernte- und Weideverbot sei von der Lebensmittelgesetzgebung zwingend vorgeschrieben, weshalb es bei der Störfallvorsorge berücksichtigt werden dürfe. Da Art. 94 Abs. 5 StSV (2005) keine zeitliche Limite enthalte, werde die Expositionszeit gestützt auf Art. 94 Abs. 8 StSV (2005) konkretisiert. Eine zusätzliche gesetzliche Grundlage sei hierzu nicht erforderlich. Die internationalen Richtlinien der ICRP sähen für den konkreten Fall vor, dass spezielle Akzeptanzkriterien festzulegen seien. Damit sei der maximal zulässige Dosisgrenzwert von 100 mSv gemäss Art. 94 Abs. 5 StSV (2005) angesprochen. Dieser Wert sei gemäss dem Regelwerk der ICRP - unabhängig davon, ob eine Notfallexpositions- oder eine potenzielle Expositionssituation vorliege - nach denselben Randbedingungen zu berechnen. In beiden Situationen sei hierzu die Expositionszeit auf ein Jahr beschränkt worden. Dies gelte im Übrigen auch für den Normalbetrieb. Eine unzulässige Vermischung von Störfallvorsorge und Notfallschutz liege somit entgegen den Beschwerdeführenden nicht vor. Folglich entspreche die Beschränkung der Expositionszeit auf ein Jahr den Empfehlungen der ICRP und damit dem Stand der Technik. Die Dosisberechnung sei damit rechtskonform erfolgt.
9.2 Gemäss Art. 94 Abs. 5 StSV (2005) muss bei Störfällen, die mit einer Häufigkeit zwischen 10-4 und 10-6 pro Jahr zu erwarten sind, der Betrieb so ausgelegt sein, dass die aus einem einzelnen Störfall resultierende Dosis für nichtberuflich strahlenexponierte Personen höchstens 100 mSv beträgt. Die Bestimmung definiert somit für die zu erwartenden Störfälle einzig das massgebende Akzeptanzkriterium (Dosisgrenzwert). Die Bestimmung äussert sich jedoch nicht zur Methodik der Berechnung der Dosisgrenzwerte bzw. macht keine Vorgaben zum zeitlichen Umfang. Dies ist vielmehr Aufgabe der Aufsichtsbehörde. Deshalb bestimmt Art. 94 Abs. 8 StSV (2005), dass die Vorinstanz im Einzelfall die Methodik und die Randbedingungen für die Störfallanalyse festzulegen hat, wozu auch die Berechnung der Dosisgrenzwerte im Rahmen der radiologischen Störfallanalyse zu zählen ist (vgl. Erläuterungsbericht zur Richtlinie ENSI-A01, Ziff. 1.3). Diese Kompetenz stand der Vorinstanz schon zu, bevor die einzelnen Störfallkategorien in der Strahlenschutzverordnung 1994 bzw. 2005 kodifiziert wurden. Beispielsweise verlangte bereits die Richtlinie HSK-R-11, dass bei einem Unfall nach konservativer Berechnung für Einzelpersonen der Bevölkerung in der Umgebung keine höhere Dosis als 100 mSv erwartet wird und definierte, wie die Dosis für Einzelpersonen berechnet wird (HSK-R-11 [1980], Ziff. 3.3 und 5.2). Nach dem Gesagten hat die Vorinstanz damit zu Recht die Richtlinie ENSI-G14 erlassen, um den Begriff der aus "einem einzelnen Störfall resultierenden Dosis" zu konkretisieren. Dabei hat sie die effektive Dosis oder die Organdosen mit den Beurteilungsgrössen und Dosisfaktoren der massgebenden Anhänge der Strahlenschutzverordnung 2005 sowie nach dem Stand von Wissenschaft und Technik zu ermitteln (Art. 94 Abs. 8 StSV [2005]). Ausdruck des Letzteren ist insbesondere das Regelwerk der ICRP.
9.3 An erster Stelle sind die Methodik und die Randbedingungen bei der Berechnung der Strahlenexposition darzulegen.
9.3.1 Als Folge eines Störfalls können die aus einem Kernkraftwerk emittierten Radionuklide in der Umgebung der Anlage zu Strahlenexpositionen der Bevölkerung führen. Die Richtlinie ENSI-G14 unterscheidet dabei verschiedene Expositionspfade. Einerseits beschreibt sie die externe Bestrahlung. Diese umfasst die Bestrahlung aus der sog. Fahne ("radioaktive Wolke"; Exposition auf dem Wege der Immersion) und die Bodenstrahlung aufgrund der aus der radioaktiven Wolke im Boden abgelagerten Radionuklide. Andererseits kommt es zur sog. internen Bestrahlung. Diese resultiert aus der Aufnahme von radioaktiven Stoffen durch das Einatmen (sog. Inhalation) oder durch den Verzehr von kontaminierter Nahrung (sog. Ingestion). Die Aufnahme radioaktiver Stoffe in den menschlichen Organismus durch Ingestion, Inhalation oder über die Haut wird als Inkorporation bezeichnet (Richtlinie ENSI-G14, Ziff. 6.1, Figur 1; Begriffsbestimmungen im Anhang 1 StSV [2005]). Die Zeit während der der Organismus externer Bestrahlung ausgesetzt ist oder radioaktive Stoffe inkorporieren kann, wird als Expositions- oder Inkorporationszeit bezeichnet.
9.3.2 Davon zu unterscheiden ist eine zweite Phase. Wie die Vorinstanz darlegt, werden die radioaktiven Stoffe, sind sie erst einmal in den menschlichen Körper gelangt, eingelagert. Durch den weiteren Verfall der Radionuklide im Laufe des Lebens einer Person entsteht die sog. Folgedosis an ionisierender Strahlung. Diese ist definiert als die effektive Dosis, die als Folge einer Aufnahme eines Nuklids in den Köper innerhalb einer gewissen Zeitspanne (sog. Integrationszeit) akkumuliert wird (Begriffsbestimmungen im Anhang 1 StSV [2005]). Mit anderen Worten bestimmt die Integrationszeit, wie lange ein radioaktiver Stoff im Körper verbleibt und diesen bestrahlt. Für Erwachsene ist dabei ein Wert von 50 Jahren und für Kinder ein Wert von 70 Jahren festgelegt (Anhang 4 StSV [2005]).
9.3.3 Nach der Richtlinie erfolgen die Dosisberechnungen für eine "fiktive, konservativ festgelegte kritische Personengruppe". Hierzu werden verschiedene Annahmen getroffen. So wird beispielsweise unterstellt, dass die Personen am Ort mit der grössten Gesamtdosis, die aus der Immersion, Inhalation, Bodenstrahlung und Ingestion entsteht, wohnen und arbeiten (sog. Hauptaufschlagpunkt). Überdies decken sie den gesamten Bedarf an Obst, Früchten, Gemüse, Milch und Fleisch von diesem Ort (vgl. Richtlinie ENSI-G14, Ziff. 4).
9.3.4 Im Falle von Auslegungsstörfällen wird von einer Expositionszeit von einem Jahr unmittelbar nach dem Ereignis ausgegangen. Zudem wird bei Auslegungsstörfällen mit einer Häufigkeit von kleiner als 10-2 pro Jahr für den Ingestionspfad einschränkend angenommen, dass spätestens nach zwei Tagen ein Ernte- und Weideverbot erlassen würde. Folglich wird bei den Dosisberechnungen unterstellt, dass nur innerhalb der ersten 48 Stunden nach einem Störfalleintritt im betroffenen Gebiet eine nicht überwachte Ernte und ein Konsum von kontaminierten Nahrungsmitteln stattfindet (vgl. Richtlinie ENSI-G14, Ziff. 4.2 Bst. a).
9.4
9.4.1 Die Beschwerdeführenden kritisieren zunächst, dass mit dem vorsorglichen Ernte- und Weideverbot Massnahmen des Notfallschutzes berücksichtigt würden. Damit werde der vorliegend massgebliche Bereich der Störfallvorsorge mit jenem des Notfallschutzes im Ernstfall vermischt.
Die Vorinstanz macht hierzu geltend, dass das Ernte- und Weideverbot sich auf das sog. Dosismassnahmenkonzept (DMK) gemäss der damals gültigen ABCN-Einsatzverordnung vom 20. Oktober 2010 (ABCN-Einsatzverordnung; AS 2010 5395) stütze. Obwohl es sich dabei um eine Notfallschutzmassnahme handle, werde diese letztlich aus Gründen der Lebensmittelgesetzgebung angeordnet.
9.4.2 Dass die Anordnung eines Ernte- und Weideverbots vor allem aus Gründen der Nahrungsmittelsicherheit angeordnet wird und nicht primär dem Notfallschutz dient, liegt auf der Hand. So sieht das DMK einerseits vor, dass das Ernte- und Weideverbot unbesehen der Gebiete, in denen Schutzmassnahmen nach Ziff. 5 des DMK ergriffen wurden (Schutzmassnahmen für Kinder, Jugendliche und schwangere Frauen gelten bereits ab einer Dosisschwelle von 1 mSv), in Gebieten, die in Windrichtung liegen, vorsorglich erlassen wird. Mit anderen Worten wird das Verbot insoweit unabhängig der Überschreitung allfälliger Dosisschwellen ausgesprochen. Andererseits hält das DMK fest, dass sich sämtliche weiteren Massnahmen neben dem Ernte- und Weideverbot nach der Lebensmittelgesetzgebung richten (vgl. Anhang 1 Ziff. 7 ABCN-Einsatzverordnung). Ferner enthielt die im Zeitpunkt der strittigen Aktennotiz gültige Fremd- und Inhaltsstoffverordnung vom 26. Juni 1995 (FIV, AS 1994 2893) eine Liste mit Höchstkonzentrationen (Toleranz- und Grenzwerte) für Radionuklide in Lebensmitteln. Diese Grenzwerte galten unabhängig von der auslösenden Ursache und umfassten insbesondere Radionuklide nicht natürlichen Ursprungs (vgl. Anhang Ziff. 6 und 6.1 e contrario FIV). Die Liste wurde später in die Kontaminatenverordnung vom 16. Dezember 2016 (VHK; SR 817.022.15) überführt, welche neu sog. Höchstgehalte für Radionuklide vorsieht. Beide Verordnungen konkretisieren letztlich die Anforderungen an die Lebensmittelsicherheit (vgl. Art. 6 und 7 des alten Lebensmittelgesetzes vom 9. Oktober 1992 [aLMG; AS 1995 1469] und Art. 7 und 8 des Lebensmittelgesetzes vom 20. Juni 2014 [LMG, SR 817.0]). Wird aufgrund eines Störfalls ein vorsorgliches Weide- und Ernteverbot erlassen, verhindert dies von vornherein, dass kontaminierte Lebensmittel in Verkehr gebracht werden, welche die Gesundheit der Konsumenten beeinträchtigen können. Dies gilt auch für die Ausgangsprodukte (Tiere, Pflanzen, Mineralstoffe und Trinkwasser; vgl. Art. 7 Abs. 1 und 2 aLMG). Insoweit erscheint die Anordnung dieser Massnahme insbesondere den gesetzlichen Vorgaben zur Lebensmittelsicherheit geschuldet. Folglich kann und muss sie unbesehen allfälliger strahlenschutzrechtlicher Gründe getroffen werden. Vor diesem Hintergrund ist nicht zu beanstanden, dass eine derartige Massnahme im Bereich der Störfallvorsorge und nicht erst für den Ernstfall bzw. im Bereich des Notfallschutzes berücksichtigt wird. Daran vermag der Einwand der Beschwerdeführenden nichts zu ändern, wonach die VHK nicht für Auslegungsstörfalle gelte. Letzten Endes sind hierbei einzig die in der Liste vorgesehenen Höchstkonzentrationen massgeblich und nicht das auslösende Ereignis (Auslegungsstörfall oder auslegungsüberschreitender Störfall).
9.4.3 Nach dem Gesagten durfte bei der konkreten Dosisberechnung die Anordnung eines vorsorglichen Ernte- und Weideverbotes berücksichtigt werden. Eine unzulässige Vermischung von Störfallvorsorge und Notfallschutz liegt nicht vor.
9.5 Im Weiteren ist auf die von den Beschwerdeführenden kritisierte Beschränkung der Expositionszeit von einem Jahr einzugehen. Hierzu ist vorauszuschicken, dass diese Beschränkung einzig die Zeitdauer der externen Bestrahlung und der Inkorporation betrifft. Nicht davon betroffen ist die Integrationszeit. Die Folgedosis wurde somit aufgrund der gesetzlichen Vorgaben für Erwachsene und Kinder mit einer Dauer von 50 bzw. 70 Jahren ermittelt (Anhang 4 StSV [2005]).
9.5.1 Allein aufgrund der zu berücksichtigenden, deutlich längeren Integrationszeit kann nicht abgleitet werden, dass auch bei der Exposition eine Betrachtung über die ganze Zeit zu erfolgen hat. Wie oben dargelegt, sind die Zeitspannen voneinander zu unterscheiden. Sodann ist auch der Verweis auf den Wortlaut von Art. 94 Abs. 5 StSV (2005) unbehelflich. Denn diese Bestimmung legt ausschliesslich die Höhe des Akzeptanzkriteriums (Dosisgrenzwert) fest, nicht jedoch wie dieses zu berechnen ist (vgl. oben E. 9.2). Art. 94 Abs. 5 StSV (2005) macht demzufolge keine Vorgaben zur Expositionszeit. Folglich widerspricht die Richtlinie ENSI-G14 bzw. die darin vorgesehene Beschränkung der Expositionszeit nicht der Strahlenschutzverordnung (2005). Somit kann die Vorinstanz Vorgaben betreffend der Expositionszeit gestützt auf Art. 94 Abs. 8 StSV (2005) erlassen; eine weitergehende gesetzliche Grundlage ist hierzu nicht erforderlich.
9.5.2 Art. 94 Abs. 8 StSV (2005) stellt die Festlegung der Methodik und der Randbedingungen der Störfallanalyse ins pflichtgemässe Ermessen der Aufsichtsbehörde, welche sich dabei insbesondere am Stand von Wissenschaft und Technik zu orientieren hat. Ausdruck dieses Ermessens ist die von der Vorinstanz erlassene Richtlinie ENSI-G14, welche sich detailliert zur Dosisberechnung äussert und die Jahresfrist für die Expositionszeit vorsieht.
9.5.2.1 Die Vorinstanz führt aus, die in der Richtlinie ENSI-G14 vorgesehene Beschränkung der Expositionszeit auf ein Jahr stehe im Einklang mit den internationalen Empfehlungen der ICRP und widerspiegle damit den Stand von Wissenschaft und Technik. Diese Empfehlungen würden zwischen drei verschiedenen Expositionssituationen unterscheiden: geplante Expositionssituationen, Notfall-Expositionssituationen und bestehende Expositionssituationen (vgl. The 2007 Recommendations of the International Commission on Radiological Protection, ICRP Publication 103, Deutsche Ausgabe [bg-act. 14; nachfolgend: ICRP 103], Ziff. 252). Zu den geplanten Expositionen würden formell zudem die sog. potentiellen Expositionen gezählt, bei welchen es infolge von Unfällen (inkl. eines Kontrollverlustes über die Strahlenquelle oder eines grösseren Unfalls in einem Kernreaktor) zu höheren Expositionen komme. Da die potentiellen Expositionen aber ein abweichendes Vorgehen verlangen würden, könnten sie nicht mit den geplanten Expositionen gleichgestellt werden (vgl. Ziff. 254, 262 und 265 ICRP 103).
9.5.2.2 Weiter unterscheiden die Empfehlungen der ICRP zwischen Dosisgrenzwerten, Dosisrichtwerten und Referenzwerten (vgl. Ziff. 229 ICRP 103). Für geplante Expositionssituationen gilt ein Dosisgrenzwert von 1 mSv sowie ein Dosisrichtwert unterhalb 1 mSv und für Notfall-Expositionssituationen ein Referenzwert von höchstens 100 mSv (vgl. Ziff. 238 und 245 ICRP 103). Die Empfehlungen enthalten hingegen keine numerischen Vorgaben für die Dosen bei potentiellen Expositionen. Immerhin verweisen sie darauf, dass bei potentiellen Expositionen die resultierende Dosis abzuschätzen und ein Vergleich mit einem Akzeptanzkriterium anzustellen sei (vgl. Ziff. 266 ICRP 103).
9.5.2.3 Wie die Vorinstanz zu Recht festhält, hat der Verordnungsgeber dieses Akzeptanzkriterium in Art. 94 Abs. 5 StSV (2005) für die Störfallkategorie 3 mit dem maximal zulässigen Dosiswert von 100 mSv definiert. Damit ist aber noch nichts zur Dosisberechnung gesagt. Hierfür sind die zeitlichen Vorgaben gemäss Ziff. 238 ICRP 103 massgebend. Nach dieser Bestimmung gelten die dort angegebenen Bandbreiten für Richtwerte und Referenzwerte für alle drei Expositionsarten. Die Werte beziehen sich auf die zu erwartende Dosis über eine für die betrachtete Situation angemessene Zeitspanne. Als angemessener Zeitraum gilt einerseits für geplante Expositionen üblicherweise die jährliche effektive Dosis (gemessen in mSv pro Jahr). Andererseits wird bei Notfallsituationen die durch den Notfall bedingte Dosis entweder auf eine akute Exposition oder, bei zeitlich lang anhaltenden Expositionen, auf ein Jahr bezogen angegeben. Im einen wie im anderen Fall steht damit eine jährliche Betrachtung der Exposition im Vordergrund. Sodann bestätigt die Vorinstanz, dass die effektiven Dosen für den Vergleich mit Dosisgrenzwerten, Dosisrichtwerten und Referenzwerten der ICRP 103 immer akut oder über ein Jahr nach dem Ereignis berechnet werden (vgl. Ziff. 238, Tabelle 5, Fn. a ICRP 103). Darauf ist im Folgenden abzustellen. Die von den Beschwerdeführenden geforderte Betrachtung über die gesamte Lebensdauer eines Menschen findet hingegen keine Stütze in den Empfehlungen der ICRP.
9.5.2.4 Obwohl Ziff. 238 ICRP 103 keine expliziten Vorgaben für die potentiellen Expositionen enthält, ist vor dem Hintergrund der obigen Ausführungen nicht einzusehen, weshalb für diese Expositionen nicht ebenfalls eine jährliche Betrachtung Platz greifen soll. So weist die Vorinstanz darauf hin, dass es zum Zwecke einer konsistenten und vergleichbaren Betrachtungsweise unabdingbar sei, dass die Dosisberechnungen sowohl für die Abschätzung potentieller Expositionen als auch für den Notfallschutz bezüglich der Expositionszeit denselben Randbedingungen unterliegen.
9.5.2.5 Die Ausführungen der Vorinstanz sind nachvollziehbar und die Beschränkung der Expositionszeit auf ein Jahr bei potentiellen Expositionen erscheint sachgerecht. Allein der Umstand, dass für die potentiellen Expositionen und die Notfallexpositionssituationen je eine Jahresfrist für die Expositionszeit gilt, stellt noch keine unzulässige Vermischung von Störfallvorsorge und Notfallschutz dar. Im Übrigen unterliegt einzig die Expositionszeit denselben Randbedingungen, die Festlegung des massgeblichen Akzeptanzkriteriums (Dosisgrenzwert) hingegen überlässt Ziff. 266 ICRP 103 dem nationalen Gesetzgeber.
9.5.3 Soweit die Richtlinie ENSI-G14 vorsieht, dass die Expositionszeit bei den Störfällen nach Art. 94 Abs. 5 StSV (2005) analog zu den potentiellen Expositionen auf ein Jahr nach dem Ereignis beschränkt wird, ist sie mit den internationalen Empfehlungen der ICRP vereinbar. Die Beschränkung der Expositionszeit entspricht damit dem Stand von Wissenschaft und Technik gemäss Art. 94 Abs. 8 StSV (2005). Sie wahrt damit zugleich die Vorgaben des kernenergierechtlichen Vorsorgeprinzips (Art. 5 Abs. 3 Bst. a KEG).
9.6 Zusammengefasst stützte sich die Dosisberechnung zu Recht auf die Richtlinie ENSI-G14. Insoweit lag der strittigen Aktennotiz keine unzulässige Berechnung zu Grunde. Der dritte Begehrenkomplex (Begehren Nr. 4) ist somit abzuweisen, soweit darauf einzutreten ist.
Ferner sind sämtliche weiteren, den obigen Erwägungen (E. 7-9) widersprechenden Begehren abzuweisen.
Die Beschwerdeführenden verlangen, dass ihnen die Verfahrenskosten des vorinstanzlichen Verfahrens - unbesehen des Ausgangs des vorliegenden Beschwerdeverfahrens - ganz oder teilweise zu erlassen seien (Begehren Nr. 8). Sie machen insbesondere geltend, es bestehe ein überwiegendes öffentliches Interesse am Entscheid und sie würden keine finanziellen Interessen verfolgen. Zudem habe ihr Gesuch aufgrund der bewussten Beschränkung auf drei Streitthemen keinen grossen Aufwand verursacht bzw. der von der Vorinstanz angeführte Aufwand habe die Beschwerdegegnerin zu vertreten. Entsprechend sei die Kostenauflage von Fr. 7'000.- willkürlich und es sei ganz darauf zu verzichten. Eventuell sei der ordentliche Gebührenrahmen (Fr. 100.- bis Fr. 3'000.-) massgebend und die Kosten seien auf maximal Fr. 2'000.- festzusetzen.
11.1 Massgebend für die Beurteilung der strittigen Gebührenfrage ist die Allgemeine Gebührenverordnung vom 8. September 2004 (AllgGebV; SR 172.041.1; Art. 83 KEG i.V.m. Art. 6 Abs. 6 Bst. e ENSIG i.V.m. Art. 1 Abs. 2 der Gebührenverordnung ENSI vom 9. September 2008 [SR 732.222]). Die Allgemeine Gebührenverordnung regelt die Grundsätze, nach denen die Bundesverwaltung Gebühren für ihre Verfügungen erhebt. Sie auferlegt die Gebühr demjenigen, der eine Verfügung veranlasst hat und sieht bei mehreren Verursachern eine solidarische Haftung vor (Art. 2 AllgGebV). Nach Art. 3 Abs. 2 Bst. a AllgGebV kann die Vorinstanz auf die Gebührenerhebung verzichten, wenn ein überwiegendes öffentliches Interesse an der Verfügung besteht.
11.2 An der Überprüfung des strittigen deterministischen Sicherheitsnachweises sowie der damit verbundenen Aufsichtspraxis der Vorinstanz besteht nicht nur ein privates Interesse der Beschwerdeführenden, sondern zugleich ein öffentliches Interesse. Die Bestimmung von Art. 3 Abs. 2 Bst. a AllgGebV räumt der Vorinstanz aber bezüglich der Frage des Gebührenverzichts einen Beurteilungs- und Ermessensspielraum ein. Ein Anspruch auf einen Verzicht der Verfahrenskosten wird selbst bei festgestelltem überwiegendem öffentlichen Interesse verneint (Thomas Sägesser, Regierungs- und Verwaltungsorganisationsgesetz, Stämpflis Handkommentar, 2007, Art. 46a Rz. 52 f.; Thomas Braunschweig, Gebührenerhebung durch die Bundesverwaltung, in: LeGes 2005/2, S. 9 ff, S. 20 f.). Deshalb auferlegt sich das Bundesverwaltungsgericht bei der Überprüfung dieser Frage eine gewisse Zurückhaltung (vgl. auch Moser/ Beusch/Kneubühler, a.a.O., Rz. 2.155a).
11.3 Soweit die Vorinstanz vorliegend nicht auf ein überwiegendes öffentliches Interesse erkannte und keinen vollständigen Gebührenverzicht anordnete, erscheint ihr Vorgehen nicht als bundesrechtswidrig, zumal sie die Gebühr deutlich herabsetzte und damit auch dem öffentlichen Interesse Rechnung trug (vgl. hierzu sogleich: E. 11.4.2).
11.4 Weiter ist auf die Höhe der verlangten Verfahrenskosten einzugehen.
11.4.1 Die Allgemeine Gebührenverordnung hält fest, dass die Gebührenansätze nach Zeitaufwand oder pauschal festgelegt werden, wobei insbesondere das öffentliche Interesse sowie das Interesse der gebührenpflichtigen Person zu berücksichtigen sei. Zudem kann bei Verfügungen von aussergewöhnlichem Umfang ein spezialrechtlicher Zuschlag zum Gebührenansatz vorgesehen werden (Art. 5 AllgGebV). In jedem Fall hat die Verwaltungseinheit die Gebühr im Einzelfall und unter Berücksichtigung der konkreten Umstände innerhalb des massgebenden Gebührenansatzes festzulegen (Art. 7 AllgGebV).
11.4.2 Die Vorinstanz macht geltend, ihr sei aufgrund des vorinstanzlichen Verfahrens ein Aufwand von rund Fr. 50'000.- entstanden. Sodann zog sie zur Bestimmung einer angemessenen Gebühr hilfsweise Art. 13 Abs. 2 Bst. a Ziff. 2 der Verordnung über Kosten und Entschädigungen im Verwaltungsverfahren vom 10. September 1969 (VwKV, SR 172.041.0) heran. Diese Bestimmung sieht anstelle des ordentlichen Gebührenrahmens der VwKV (Fr. 100.- bis Fr. 3'000.-; Art. 13 Abs. 2 Bst. a Ziff. 1 VwKV) für Verfahren mit einem aussergewöhnlichen Umfang einen Gebührenrahmen zwischen Fr. 200.- und Fr. 7'000.- vor. Aufgrund des ausserordentlich aufwändigen Verfahrens legte die Vorinstanz die Gebühr mit Fr. 7'000.- am oberen Rand des Gebührenrahmens fest. Den Rest der Verfahrenskosten nahm sie auf die Staatskasse.
11.4.3 Die Vorinstanz hat die Gebührenhöhe gestützt auf die massgeblichen Bestimmungen nach pflichtgemässem Ermessen festzusetzen. Angesichts des vorliegend analog zur Anwendung gebrachten Gebührenrahmens von Art. 13 Abs. 2 Bst. a Ziff. 2 VwKV steht ihr dabei ein grosser Ermessenspielraum zu (zur Anwendbarkeit der VwKV neben der AllgGebV: Urteil des BVGer B-3318/2007 und B-3223/2007 vom 6. März 2008 E. 8.1.2). Diesen hat das Bundesverwaltungsgericht zu respektieren, weshalb es sich bei der Überprüfung der Gebührenhöhe ebenfalls eine gewisse Zurückhaltung auferlegt (vgl. für das Bundesverwaltungsgericht: BGE 135 II 172 E. 3.2; für die kantonalen Gerichte: Urteil des BGer 1C_156/2012 vom 12. Oktober 2012 E. 8.2.2; Urteil des BVGer A-1546/2017 vom 17. Januar 2018 E. 7.2; Kaspar Plüss, in: Kommentar VRG, § 13 Rz. 25; vgl. betreffend der Höhe der Parteientschädigung: Urteil des BGer 8C_329/2011 vom 29. Juli 2011 E. 6.1).
11.4.4 Die Beschwerdeführenden stiessen das vorinstanzliche Verfahren mit Gesuch vom 19. August 2015 an. Das Gesuch umfasste rund 40 Seiten und enthielt analoge Begehren, wie sie vorliegend in der Beschwerde vorgebracht werden. Nachdem die Beschwerdegegnerin am 13. November 2015 eine Gesuchsantwort von 70 Seiten abgegeben hatte, replizierten die Beschwerdeführenden am 24. Februar 2016 mit einer Eingabe von über 80 Seiten. Schliesslich reichte die Beschwerdegegnerin am 2. Juni 2016 eine Duplik mit rund 60 Seiten ein. Dass die Vorinstanz vor diesem Hintergrund feststellte, das Verfahren sei angesichts der Breite der Rügen und dem Umfang der Eingaben ausserordentlich aufwändig gewesen, ist nicht zu beanstanden. Die Vorinstanz hatte für die Ausarbeitung der Verfügung einen erheblichen Aufwand zu leisten. Dabei spielt es keine Rolle, ob das Verfahren ursprünglich allein aufgrund des Gesuchs vom 19. August 2015 und dessen Seitenumfangs noch keinen ausserordentlichen Umfang hatte. Die Beschwerdeführenden steckten damit die zu beurteilenden Begehren ab und tragen deshalb letztlich die Verantwortung für die dadurch verursachten Weiterungen im vorinstanzlichen Verfahren. In Anbetracht des Aufwandes der Vorinstanz erscheint die Gebühr von Fr. 7'000.- für den Erlass der angefochtenen Verfügung als angemessen.
11.5 Damit ist die Verfahrensgebühr von Fr. 7'000.- nicht zu bestanden. Die Beschwerde ist auch in diesem Punkt abzuweisen.
Aufgrund des Verfahrensausgangs werden sämtliche Beweisanträge der Beschwerdegegnerin abgewiesen.
13.1 Die Verfahrenskosten sind den unterliegenden Beschwerdeführenden aufzuerlegen (Art. 63 Abs. 1 VwVG). Die Verfahrenskosten werden auf Fr. 10'000.- festgesetzt (Art. 1, Art. 2 Abs. 1 und 2 und Art. 3 Bst. b des Reglements vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht [VGKE, SR 173.320.2]). Sodann rechtfertigt sich angesichts des öffentlichen Interesses an der Klärung der vorliegenden Streitsache eine Ermässigung der Verfahrenskosten auf Fr. 4'000.- (Art. 6 Bst. b VGKE). Der von den Beschwerdeführenden einbezahlte Kostenvorschuss in der Höhe von Fr. 2'000.- wird diesem Betrag angerechnet. Der Restbetrag in der Höhe von Fr. 2'000.- haben sie nach Eintritt der Rechtskraft dieses Urteils zu Gunsten der Gerichtskasse zu überweisen.
13.2
13.2.1 Der obsiegenden, anwaltlich vertretenen Beschwerdegegnerin ist eine angemessene Parteientschädigung zuzusprechen. Sie ist der Beschwerdegegnerin von den Beschwerdeführenden zu entrichten (Art. 64 Abs. 1 und 2 VwVG). Die Entschädigung umfasst die Kosten der Vertretung sowie allfällige weitere Auslagen der Partei (Art. 8 ff. VGKE; Moser/Beusch/Kneubühler, a.a.O., Rz. 4.62 ff.). Die Parteien, die Anspruch auf Parteientschädigung erheben, haben dem Gericht vor dem Entscheid eine detaillierte Kostennote einzureichen (Art. 14 Abs. 1 VGKE). Bei der Festsetzung der Parteientschädigung auf Basis einer Kostennote werden die ausgewiesenen Kosten nicht unbesehen ersetzt. Es ist vielmehr zu überprüfen, in welchem Umfang diese als notwendig für die Vertretung anerkannt werden können (Urteil des BGer 2C_445/2009 vom 23. Februar 2010 E. 5.3; Moser/Beusch/Kneubühler, a.a.O., Rz. 4.84; Lukas Müller/Sandro E. Obrist/Patrick Odermatt, Streitpunkt Parteientschädigung, AJP 2018, S. 979 ff., S. 983). Für die Beurteilung, ob es sich beim geltend gemachten Aufwand um notwendige Kosten handelt, steht dem Bundesverwaltungsgericht ein erheblicher Ermessensspielraum zu (Urteil 8C_329/2011 E. 6.1). Neben der Komplexität der Streitsache ist etwa in Betracht zu ziehen, ob der Rechtsvertretung die Sach- und Rechtslage bereits bekannt war (vgl. BGE 137 II 199 E. 8.3.4). Zu einer Reduktion der Parteientschädigung führen sodann Wiederholungen in Rechtsschriften und Eingaben. Ferner kann vermeidbarer Koordinationsaufwand beim Beizug mehrerer Rechtsanwälte zu einer Herabsetzung führen; ebenso eine Doppelvertretung, sofern deren Unerlässlichkeit nicht begründet wird. Gelangt das Bundesverwaltungsgericht zum Ergebnis, dass die Kostennote zu reduzieren ist, kürzt es sie in pauschaler Weise und ohne einlässliche Berechnung (vgl. Urteil des BVGer A-359/2018 vom 20. November 2018 E. 21.2.1).
13.2.2 Die beiden Rechtsvertreter der Beschwerdegegnerin haben dem Bundesverwaltungsgericht eine Kostennote in der Höhe von Fr. 209'733.25 eingereicht. Diese setzt sich zusammen aus einem Honorar in der Höhe von Fr. 190'920.-, einer Spesenpauschale (2%) von Fr. 3'818.40 sowie der Mehrwertsteuer (7.7%) von Fr. 14'994.85.
13.2.3 Die Kostennote und der darin ausgewiesene Aufwand geben zu verschiedenen Bemerkungen Anlass.
13.2.3.1 Einerseits waren die beiden Rechtsvertreter der Beschwerdegegnerin von Beginn an für das vorliegende Verfahren mandatiert und zeichneten bereits für die Ausarbeitung der Gesuchsantwort vom 13. November 2015 der Beschwerdegegnerin verantwortlich (vgl. Vollmacht vom 8. September 2015). Damit hatten sie bereits aufgrund des vorinstanzlichen Verfahrens umfassende Kenntnis der sich stellenden Tat- und Rechtsfragen. Sodann veränderte sich der Streitgegenstand im Laufe des Verfahrens nicht. Deshalb finden sich auch im Beschwerdeverfahren über weite Strecken dieselben Vorbringen wie im vorinstanzlichen Verfahren wieder. Der ausgewiesene Aufwand kann deshalb nur teilweise als notwendig anerkannt werden. Es steht der Beschwerdegegnerin zwar frei im Beschwerdeverfahren abermals einen hohen Aufwand (rund 480 h) zu betreiben. Da aber nur notwendige Kosten zu entschädigen sind, müssen diese vorliegend nicht vollständig von der Gegenseite übernommen werden.
13.2.3.2 Andererseits sind die Eingaben teilweise redundant gehalten und damit zu umfangreich ausgefallen. Sodann wurde die Notwendigkeit einer Doppelvertretung weder speziell begründet noch ist eine solche ersichtlich.
13.2.3.3 Schliesslich bestehen vorliegend keine besonderen Verhältnisse, welche eine Spesenpauschale rechtfertigen würden (Art. 11 Abs. 3 VGKE). Ebenso ist kein Mehrwertsteuerzuschlag geschuldet, da die Beschwerdegegnerin selbst vorsteuerabzugsberechtigt ist (vgl. UID-Register []).
13.2.4 Aufgrund der vorstehenden Erwägungen (E. 13.2.3) ist die eingereichte Kostennote deutlich - auf rund einen Drittel - zu kürzen. Darüber hinaus ist dem Umstand Rechnung zu tragen, dass die privaten Beschwerdeführenden auch öffentliche Interessen vertreten, was eine weitere Reduktion rechtfertigt. Die Parteientschädigung wird auf Fr. 60'000.- festgesetzt. Letztlich kann damit offen bleiben, ob die von der Beschwerdegegnerin geltend gemachte Parteientschädigung mit der Aarhus-Konvention vom 25. Juni 1998 (SR 0.814.07) vereinbar wäre und sich die Beschwerdeführenden überhaupt darauf berufen können. Die Parteientschädigung ist der Beschwerdegegnerin von den Beschwerdeführenden zu entrichten.
Die Beschwerde wird abgewiesen, soweit darauf einzutreten ist.
Die Verfahrenskosten von Fr. 4'000.- werden den Beschwerdeführenden auferlegt.
Der von den Beschwerdeführenden einbezahlte Kostenvorschuss in der Höhe von Fr. 2'000.- wird diesem Betrag angerechnet. Den Restbetrag in der Höhe von Fr. 2'000.- haben sie nach Eintritt der Rechtskraft des vorliegenden Urteils zu Gunsten der Gerichtskasse zu überweisen. Die Zahlungsfrist beträgt 30 Tage ab Rechnungsdatum. Die Zustellung des Einzahlungsscheins erfolgt mit separater Post.
Die Beschwerdeführenden haben der Beschwerdegegnerin nach Eintritt der Rechtskraft des vorliegenden Urteils eine Parteientschädigung von Fr. 60'000.- zu bezahlen.
Dieses Urteil geht an:
die Beschwerdeführenden (Gerichtsurkunde)
die Beschwerdegegnerin (Gerichtsurkunde)
die Vorinstanz (Ref-Nr. [...]; Gerichtsurkunde)
Die vorsitzende Richterin: Der Gerichtsschreiber: Christine Ackermann Ivo Hartmann
Rechtsmittelbelehrung:
Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim Bundesgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtlichen Angelegenheiten geführt werden (Art. 82 ff., 90 ff. und 100 BGG). Die Rechtsschrift ist in einer Amtssprache abzufassen und hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten. Der angefochtene Entscheid und die Beweismittel sind, soweit sie die beschwerdeführende Partei in Händen hat, beizulegen (Art. 42 BGG).
Versand: