Art. 4, 5, 19, 20, 21, 22, 65, 67, 70, 71 und 72 KEG, Art. 2 und 21 ENSIG, Art. 49 VwVG, KEV, ENSIV, VKNS, Art. 94 StSV, Gefährdungsannahmen- und Ausserbetriebnahmeverordnung. Bewilligungspflicht für den Betrieb von Kernanlagen, Voraussetzungen für Erteilung, Inhalt und Entzug der Betriebsbewilligung, allgemeine Pflichten des Bewilligungsinhabers, Aufsichtsbehörden und deren Aufgaben und Befugnisse (E. 4). Zuständigkeiten von Bewilligungs-, Aufsichts- und Rechtsmittelbehörden (E. 9). Verhältnis von Bewilligungs-, Aufsichts- und Bewilligungsentzugsverfahren; Voraussetzungen für die Befristung einer Betriebsbewilligung (E. 10). Anforderungen (zweistufiger Ansatz) an die nukleare Sicherheit im Normal- und Auslegungs- und auslegungsüberschreitendem Störfall sowie an Nachrüstungen (E. 11). Überprüfung des Vorwurfs der ungenügenden Prüfung durch das UVEK (E. 12). Zulässigkeit der Forderung eines Instandhaltungskonzepts durch die Vorinstanz (E. 13). Überprüfung einzelner Sicherheitsfragen: Kernmantel (E. 14.2), Erdbebengefährdung (E. 14.3), Kühlung (E. 14.4).
139 II 185
2C_347/2012 / 2C_357/2012 vom 28. März 2013
ab Seite 187
A.A.a Das im Eigentum der BKW FMB Energie AG (im Folgenden: BKW) stehende Kernkraftwerk (KKW) Mühleberg wurde 1972 in Betrieb genommen und verfügte jeweils über befristete Betriebsbewilligungen. Letztmals verlängerte der Bundesrat am 28. Oktober 1998 die Betriebsbewilligung bis zum 31. Dezember 2012. Die BKW reichte am 25. Januar 2005 beim Bundesrat ein Gesuch um Aufhebung dieser Befristung ein, auf welches dieser am 10. Juni 2005 mangels Zuständigkeit nicht eintrat und es dem Eidgenössischen Departement für Umwelt, Verkehr, Energie und Kommunikation (UVEK) zur weiteren Behandlung überwies. Am 13. Juni 2006 wies das UVEK das Hauptbegehren der BKW um Feststellung, dass sie mit Inkrafttreten des Kernenergiegesetzes vom 21. März 2003 (KEG; SR 732.1) über eine unbefristete Betriebsbewilligung für das KKW Mühleberg verfüge, ab. Auf das Eventualbegehren um Aufhebung der Befristung ohne Durchführung eines Verfahrens nach KEG trat es nicht ein.
A.b Die BKW erhob gegen diese Verfügung am 13. Juli 2006 Beschwerde mit den inhaltlich gleichen Rechtsbegehren wie schon vor dem UVEK. Das Bundesverwaltungsgericht wies mit Urteil A-2089/2006 vom 8. März 2007 (BVGE_2008/8) den Hauptantrag der BKW ebenfalls ab. Hingegen wurde das Eventualbegehren insofern gutgeheissen, als die Sache an das UVEK zurückgewiesen wurde mit der Anweisung, das Gesuch um Aufhebung der Befristung nach den Regeln der Wiedererwägung bzw. des Widerrufs zu behandeln. (...)
A.c Gegen dieses Urteil erhob das UVEK am 26. April 2007 Beschwerde beim Bundesgericht; im Wesentlichen mit dem Begehren, es sei im betreffenden Fall ein Verfahren nach Art. 61 KEG bzw. ein förmliches Bewilligungsverfahren (nach Art. 65 KEG) durchzuführen. Das Bundesgericht wies die Beschwerde mit Urteil 2C_170/2007 vom 21. Januar 2008 ab und bestätigte den Standpunkt des Bundesverwaltungsgerichts, dass die BKW Anspruch auf Prüfung ihres Gesuchs nach den Regeln über die Wiedererwägung oder den Widerruf von Verfügungen habe. (...)
A.d In der Folge nahm das UVEK das entsprechende Gesuch der BKW an die Hand, publizierte es in den amtlichen Publikationsorganen der betroffenen Kantone und Gemeinden sowie im Bundesblatt und legte die Gesuchsunterlagen vom 13. Juni bis zum 14. Juli 2008 öffentlich auf. Während der Auflagefrist gingen rund 1'900 Einsprachen ein, darunter mit Datum vom 14. Juli 2008 diejenige von X. und zahlreichen Mitbeteiligten (...). Diese verlangten - wie die meisten Einsprechenden -, auf das Gesuch vom 25. Januar 2005 sei nicht einzutreten, eventualiter sei es abzuweisen, wobei zur Begründung in erster Linie sicherheitstechnische Aspekte vorgebracht wurden. Im Verfahren vor dem UVEK reichte das Eidgenössische Nuklearsicherheitsinspektorat (ENSI) am 10. Februar 2009 eine Stellungnahme ein (...). Diese sowie die Stellungnahme der BKW vom 13. Februar 2009 zu den Einsprachen konnten durch die Einsprecher eingesehen werden mit der Möglichkeit zur anschliessenden Stellungnahme. Davon machten rund 350 Einsprecher Gebrauch. Das ENSI reichte am 24. Oktober 2009 eine ergänzende Stellungnahme ein (...).
A.e Mit Verfügung vom 17. Dezember 2009 hob das UVEK in Gutheissung des Gesuchs der BKW vom 25. Januar 2005 die Befristung der Betriebsbewilligung für das KKW Mühleberg vom 14. Dezember 1992 bzw. vom 28. Oktober 1998 auf und wies alle dagegen gerichteten Einsprachen ab.
B.B.a X. und ca. hundert Mitbeteiligte (...) erhoben dagegen am 1. Februar 2010 Beschwerde an das Bundesverwaltungsgericht (Verfahren A-667/2010). Am 12. Februar 2010 erhoben Y. und 5 Mitbeteiligte (...) eine gleichlautende Beschwerde beim Bundesverwaltungsgericht (Verfahren A-863/2010). Dieses vereinigte die beiden Verfahren unter der Nummer A-667/2010. Die identischen Rechtsbegehren der Beschwerdeführenden lauteten primär auf Aufhebung der angefochtenen Verfügung und Rückweisung an die Vorinstanz zur Feststellung der Einspracheberechtigung der Beschwerdeführenden sowie zur Gewährung der Akteneinsicht und Einräumung des Rechts zur Stellungnahme mit Bezug auf aufgelistete - vom UVEK angeblich vorenthaltene - Aktenstücke. (...)
(...)
B.c Mit Urteil vom 1. März 2012 erkannte das Bundesverwaltungsgericht:
"1. Die Beschwerden werden im Sinne der Erwägungen teilweise gutgeheissen, soweit darauf eingetreten wird.
Die bisherige Befristung wird aufgehoben.
Die Betriebsbewilligung wird bis zum 28. Juni 2013 befristet.
Zusammen mit einem allfälligen neuen Verlängerungsgesuch für die Betriebsbewilligung hat die Beschwerdegegnerin dem UVEK ein umfassendes Instandhaltungskonzept einzureichen.
[5.-8. Kosten/Eröffnung]."
C.C.a Die BKW erhob dagegen am 20. April 2012 Beschwerde in öffentlich-rechtlichen Angelegenheiten an das Bundesgericht (Verfahren 2C_347/2012) mit dem Antrag, die Ziff. 1, 3, 4, 5, 6 und 7 des angefochtenen Urteils seien aufzuheben. Eventuell seien die Ziff. 1, 3, 4, 5, 6 und 7 des angefochtenen Urteils aufzuheben und die Betriebsbewilligung des KKW Mühleberg sei bis zum 31. Dezember 2022 zu befristen. Zudem beantragt sie Erteilung der aufschiebenden Wirkung.
C.b Am 23. April 2012 erhob sodann das UVEK Beschwerde in öffentlich-rechtlichen Angelegenheiten (Verfahren 2C_357/2012) mit dem Antrag, die Ziff. 1, 3 und 4 des Urteils des Bundesverwaltungsgerichts seien aufzuheben. (...)
D. Das Bundesgericht hat die Angelegenheit am 28. März 2013 öffentlich beraten; es heisst die Beschwerden gut.
(Auszug)
Aus den Erwägungen:
Rechtliche Ausgangslage
4.1 Für das KKW Mühleberg waren die früheren Betriebsbewilligungen gestützt auf das damals geltende Bundesgesetz vom 23. Dezember 1959 über die friedliche Verwendung der Atomenergie und den Strahlenschutz (AtG; AS 1960 541) erteilt worden. Nach dessen Art. 4 Abs. 1 lit. a bedurfte u.a. der Betrieb einer Atomanlage einer Betriebsbewilligung. Nach Art. 5 Abs. 1 AtG war die Bewilligung zu verweigern oder von der Erfüllung geeigneter Bedingungen oder Auflagen abhängig zu machen, wenn dies notwendig war zur Wahrung der äusseren Sicherheit der Schweiz, zur Einhaltung der von ihr übernommenen völkerrechtlichen Verpflichtungen oder zum Schutz von Menschen, fremden Sachen oder wichtigen Rechtsgütern. Die Möglichkeit einer Befristung war im Gesetz nicht ausdrücklich genannt. Die Betriebsbewilligung für das KKW Mühleberg war jedoch jeweils befristet worden, zuletzt am 28. Oktober 1998 bis zum 31. Dezember 2012. Die Frage, ob diese Befristung wiedererwägungs- bzw. widerrufsweise aufzuheben oder zu verlängern ist, beurteilt sich gemäss Urteil 2C_170/2007 vom 21. Januar 2008 (E. 3.2 und 3.3) nach dem am 1. Februar 2005 in Kraft getretenen Kernenergiegesetz.
4.2 Wer eine Kernanlage betreiben will, braucht eine Betriebsbewilligung des Departements (Art. 19 KEG). Die Betriebsbewilligung wird nach Art. 20 Abs. 1 KEG erteilt, wenn der Gesuchsteller Eigentümer der Kernanlage ist (lit. a), die Bestimmungen der Rahmen- und der Baubewilligung eingehalten sind (lit. b), der Schutz von Mensch und Umwelt gewährleistet wird (lit. c), die Anlage und der vorgesehene Betrieb den Anforderungen der nuklearen Sicherheit und Sicherung entsprechen (lit. d), die Anforderungen an Personal und Organisation erfüllt werden können (lit. e), qualitätssichernde Massnahmen für sämtliche im Betrieb ausgeübten Tätigkeiten (lit. f) und die Notfallschutzmassnahmen vorbereitet sind (lit. g) sowie der vorgeschriebene Versicherungsschutz nach dem Kernenergiehaftpflichtgesetz vom 18. März 1983 (SR 732.44) besteht (lit. h). Die Betriebsbewilligung legt gemäss Art. 21 Abs. 1 KEG fest: den Bewilligungsinhaber (lit. a), die zulässige Reaktorleistung oder Kapazität der Anlage (lit. b), die Limiten für die Abgabe von radioaktiven Stoffen an die Umwelt (lit. c), die Massnahmen zur Überwachung der Umgebung (lit. d), die Sicherheits-, Sicherungs- und Notfallschutzmassnahmen, die der Bewilligungsinhaber während des Betriebs zu treffen hat (lit. e), und die Stufen der Inbetriebnahme, deren Beginn einer vorgängigen Freigabe durch die Aufsichtsbehörden bedarf (lit. f). Die Betriebsbewilligung ist eine reine Polizeibewilligung; es besteht Anspruch auf Erteilung, wenn die Voraussetzungen erfüllt sind (Botschaft vom 28. Februar 2001 zu den Volksinitiativen "MoratoriumPlus" und "Strom ohne Atom" sowie zu einem Kernenergiegesetz [im Folgenden: Botschaft KEG], BBl 2001 2665, 2769; RICCARDO JAGMETTI, Energierecht, SBVR Bd. VII, 2005, S. 603 Rz. 5414, S. 635 Rz. 5467; WEBER/KRATZ, Elektrizitätswirtschaftsrecht, 2005, S. 182 f.; JOHANNES REICH, Energierecht, [Bemerkungen zum hier angefochtenen Urteil], ZBl 2012 S. 366 ff., 369; so bereits die Bewilligungen nach AtG, vgl. Urteil 2A.297/1990 vom 4. November 1994 E. 2a).
4.3 Die Betriebsbewilligung kann befristet werden (Art. 21 Abs. 2 KEG). Das Gesetz nennt keine ausdrücklichen Voraussetzungen, unter denen eine Befristung der Bewilligung zulässig ist. Aus der polizeilichen Natur der Betriebsbewilligung ergibt sich, dass diese Befristung keine generelle Begrenzung der Lebensdauer darstellt, sondern nur aus polizeilichen Gründen zulässig ist (Botschaft KEG, BBl 2001 2770; AB 2002 N 1111 [Sommaruga]). Der Gesetzgeber hat es bewusst abgelehnt, von Gesetzes wegen die Bewilligungen zu befristen (BBl 2001 2739 f., 2770; AB 2001 S 1019 f.). Wenn die Voraussetzungen erfüllt sind, wird die Betriebsbewilligung grundsätzlich unbefristet erteilt; eine Befristung kommt in Betracht für Situationen, in denen bestimmte Fragen offenbleiben, die für den Betrieb nicht von elementarer Bedeutung sind, aber abgeklärt werden müssen. In diesem Fall wäre die Nichterteilung der Betriebsbewilligung unverhältnismässig und eine Befristung, verbunden mit der Auflage, das Erforderliche zu tun, genügt für den Zweck, die vollumfängliche Einhaltung der Voraussetzungen für die Erteilung der Betriebsbewilligung zu erwirken (BBl 2001 2770 f.; AB 2001 S 1019 f. [Kommissionssprecherin Forster-Vanini, Bundesrat Leuenberger]).
4.4 Während des Betriebs ist der Bewilligungsinhaber für die Sicherheit der Anlage verantwortlich (Art. 22 Abs. 1 KEG). Er muss namentlich Massnahmen treffen, um die Anlage in einem guten Zustand zu erhalten, Nachprüfungen sowie systematische Sicherheits- und Sicherungsbewertungen während der ganzen Lebensdauer der Anlage durchführen, für ein Kernkraftwerk periodisch eine umfassende Sicherheitsüberprüfung vornehmen, den Aufsichtsbehörden periodisch über den Zustand und den Betrieb der Anlage berichten und ihnen Ereignisse unverzüglich melden und die Anlage so weit nachrüsten, als dies nach der Erfahrung und dem Stand der Nachrüstungstechnik notwendig ist, und darüber hinaus, soweit dies zu einer weiteren Verminderung der Gefährdung beiträgt und angemessen ist (Art. 22 Abs. 2 lit. c-g KEG). Die Aufsichtsbehörde - d.h. in erster Linie das Eidgenössische Nuklearsicherheitsinspektorat (ENSI; Art. 70 Abs. 1 lit. a KEG; Art. 2 des Bundesgesetzes vom 22. Juni 2007 über das Eidgenössische Nuklearsicherheitsinspektorat [ENSIG; SR 732.2]) - wacht darüber, dass die Bewilligungsinhaber ihre Pflichten einhalten (Art. 72 Abs. 1 KEG); sie ordnet alle zur Einhaltung der nuklearen Sicherheit und Sicherung notwendigen und verhältnismässigen Massnahmen an (Art. 72 Abs. 2 KEG). Droht eine unmittelbare Gefahr, so kann sie umgehend Massnahmen anordnen, die von der erteilten Bewilligung abweichen (Art. 72 Abs. 3 KEG). Die Bewilligungsbehörde entzieht nach Art. 67 Abs. 1 KEG die Bewilligung, wenn die Voraussetzungen für die Erteilung nicht oder nicht mehr erfüllt sind (lit. a) oder der Bewilligungsinhaber eine Auflage oder eine verfügte Massnahme trotz Mahnung nicht erfüllt (lit. b).
Beurteilung durch die Vorinstanz
5.1 Die Vorinstanz erkannte (angefochtenes Urteil Sachverhalt lit. G.c, E. 4 und Dispositiv Ziff. 2), das UVEK habe zu Recht die frühere, politisch motivierte Befristung aufgehoben, da das KEG eine Befristung nur aus polizeilichen Gründen zulasse. In der Tat ergibt sich aus dem Entscheid des Bundesrates vom 28. Oktober 1998, dass nach der Beurteilung durch die Fachbehörden die früher noch offenen Fragen beantwortet und die Sicherheit des KKW Mühleberg gewährleistet seien und kein Grund mehr für eine Befristung bestehe; der Bundesrat befristete die Bewilligung aber weiterhin, um der in einer kantonalen Konsultativabstimmung geäusserten negativen Stellungnahme Rechnung zu tragen, somit aus rein politischen und (jedenfalls heute) rechtlich nicht zulässigen Gründen. Insoweit ist der vorinstanzliche Entscheid nicht angefochten. Damit steht fest, dass die bisher geltende Befristung auf den 31. Dezember 2012 nicht mehr gilt; die Anlage kann unbefristet betrieben werden, wenn nicht mit anderer Begründung eine neue Befristung festgelegt wird.
5.2 Die Vorinstanz legte sodann mit polizeilicher Begründung eine neue Befristung auf den 28. Juni 2013 fest (E. 5 und Dispositiv Ziff. 3).
5.2.1 Zur Begründung erwog sie zunächst, der Wortlaut des Gesetzes kläre das Verhältnis zwischen Bewilligungserteilung und Aufsicht nicht; aus der Systematik des Gesetzes ergebe sich, dass das UVEK im Zeitpunkt der Bewilligungserteilung die Verantwortung für die Einhaltung der Anforderungen trage; erst in der folgenden Betriebsphase gewährleiste das ENSI durch seine laufende Aufsicht die Sicherheit; diese laufende Aufsicht dürfe aber nicht dazu führen, dass die Bewilligungsbehörde ihre Aufgabe weniger umfassend wahrnehme, als das KEG vorsehe; das gelte auch bei einer Anpassung der Bewilligung an das neue Recht; es seien die im Zeitpunkt der Anpassung bekannten offenen Aspekte zu berücksichtigen; es würde der Aufgabenteilung zwischen Bewilligungsbehörde und laufender Aufsicht widersprechen, wenn mit Hinweis auf die laufende Aufsicht auf eine Befristung der Bewilligung verzichtet würde, obwohl eine solche sich aus polizeilichen Gründen aufdränge. Dies ergebe sich auch aus der Rechtsweggarantie (Art. 29a BV), weil im Verfahren der Anpassung der Betriebsbewilligung die Mitwirkungsrechte Dritter in einem formalisierten Verfahren gewährleistet seien, während es bei der laufenden Aufsicht für Dritte umständlich sei, auf prozessrechtlichem Weg auf die Handhabung von Sicherheitsfragen einzuwirken (E. 5.2.2). Das UVEK habe zwar Sicherheitsaspekte aufgegriffen, aber nicht im Einzelnen geprüft, ob die Voraussetzungen für eine Befristung aus Sicherheitsgründen erfüllt seien, sondern bezüglich der offenen Sicherheitsfragen auf die laufende Kontrolle durch das ENSI verwiesen; das genüge nicht, sondern das UVEK hätte die erneute Befristung selbständig prüfen müssen. Zwar dürfe es sich auf die Aufbereitung von sich stellenden Fragen durch die Aufsichtsbehörde stützen; doch komme das UVEK, das mit dem Bundesamt für Energie (BFE) ebenfalls über eine Fachbehörde mit technischem Spezialwissen verfüge, nicht umhin, sich kritisch und eigenständig mit den aufgeworfenen Fragen auseinanderzusetzen. Es genüge nicht, lediglich auf die laufende Aufsicht zu verweisen, weshalb sich die Beschwerden als begründet erwiesen und gutzuheissen seien (E. 5.2.3).
5.2.2 Sodann prüfte die Vorinstanz selber, ob die Betriebsbewilligung zu befristen sei (E. 5.3): Sie erwog, das UVEK und das ENSI gingen davon aus, dass das KKW Mühleberg für den aktuellen Betrieb hinreichend sicher sei. Es sei aber unbestritten, dass es erhebliche offene sicherheitsrelevante Fragen gebe; im Wesentlichen seien drei Hauptprobleme auszumachen (E. 5.3.1):
5.2.2.1 Der Kernmantel weise Risse auf, die mit Zugankern gesichert worden seien. Gemäss dem im Auftrag der Hauptabteilung für die Sicherheit der Kernanlagen (HSK) erstellten Gutachten der TÜVNORD EnSys GmbH vom Dezember 2006 könne der Erhalt der Integrität der Zugankerkonstruktion im Betrieb und bei Störfällen nicht uneingeschränkt vorausgesetzt werden und das Versagen eines oder mehrerer der Zuganker sei nicht auszuschliessen. Es bestünden somit erhebliche Zweifel an der Sicherheit des heutigen Zustandes des Kernmantels bzw. dessen Sicherung und diese Mängel liessen sich nicht ohne grösseren Aufwand beheben (E. 5.3.1.1).
5.2.2.2 Bedeutsam sei sodann die Erdbebensicherheit, vor allem bezüglich des Risikos eines Bruchs der Wohlenseestaumauer und einer dadurch ausgelösten Flutwelle. Aus einem von den Beschwerdeführern eingereichten Bericht ergebe sich, dass die Staumauer einem anzunehmenden 10'000-jährlichen Erdbeben nur mit einer Wahrscheinlichkeit von 1:15 standhalte. Die HSK habe 2007 eine Überarbeitung der probabilistischen Sicherheitsanalyse unter Berücksichtigung neuester erdwissenschaftlicher Erkenntnisse gefordert. Seit den Ereignissen in Fukushima habe das Thema Erdbebensicherheit wieder an Bedeutung gewonnen. Das ENSI habe die BKW aufgefordert, verschiedene Nachweise zur Erdbebensicherheit einzureichen. Gemäss Homepage des ENSI vom 1. Februar 2012 habe die BKW die geforderten Nachweise eingereicht; das ENSI werde dazu bis Mitte 2012 Stellung nehmen. Aus diesen Darlegungen ergebe sich, dass auch bedeutsame sicherheitsrelevante Fragen bezüglich der Erdbebensicherheit noch offen seien; es sei offenbar nicht bekannt, in welchem Umfang allenfalls erforderliche Nachrüstungen nötig seien (E. 5.3.1.2).
5.2.2.3 Weiter bestehe gemäss Beurteilung durch das ENSI keine alternative Kühlmöglichkeit, falls die Kühlung durch die Aare versage; die Brennelementbeckenkühlung sei nicht genügend vor Erdbeben und Überflutung geschützt. Ausserdem seien die Notfallmassnahmen zur Wiederherstellung der Kühlung nach Erdbeben oder Überflutung unvollständig. Zurzeit sei somit die Kühlung des KKW Mühleberg ungenügend abgesichert (E. 5.3.1.3).
5.2.3 Die Vorinstanz folgerte, es seien bedeutsame Sicherheitsaspekte nicht geklärt, die einen Weiterbetrieb des KKW Mühleberg in Frage stellten. Diese offenen Sicherheitsaspekte seien entgegen der Auffassung des ENSI und des UVEK zu gewichtig, als dass ihre Behebung bloss durch die laufende Aufsicht gesichert werden könne. Sie stellten vielmehr polizeiliche Gründe für eine Befristung der Bewilligung dar (E. 5.3.2). Es könne offenbleiben, ob die Mängel überhaupt behoben werden könnten, ohne dass dies faktisch zum Neubau eines KKW am gleichen Ort führen würde. Es könne jedenfalls davon ausgegangen werden, dass für die Behebung der genannten Mängel grosse Investitionen erforderlich seien, die nur bei erheblicher Verlängerung der Laufzeit wirtschaftlich sein dürften. Im Interesse der Rechts- und Investitionssicherheit sowie um eine gesamthafte Beurteilung der Situation überhaupt erst zu ermöglichen, sei ein umfassendes Instandhaltungskonzept erforderlich, das eine gesamthafte Beurteilung zulasse. Es gehe nicht an, ein KKW, das bereits so lange in Betrieb sei, auf Zusehen weiter zu betreiben und hierbei allein auf die laufende Aufsicht zu vertrauen. Die bisherige schrittweise Nachrüstung der Anlage ohne Gesamtkonzept sei weder bezüglich der Rechtssicherheit noch der Wirtschaftlichkeit noch der Gewährleistung der Sicherheit befriedigend. Die heute bekannten offenen bedeutsamen sicherheitsrelevanten Aspekte rechtfertigten eine erneute Befristung der Betriebsbewilligung gestützt auf Art. 21 Abs. 2 KEG bis zum 28. Juni 2013. Wenn die Betreiberin das KKW Mühleberg über diesen Zeitpunkt hinaus betreiben möchte, so müsste sie dem UVEK frühzeitig ein Verlängerungsgesuch für die Betriebsbewilligung einreichen, welches ein umfassendes Instandhaltungskonzept enthalte. Darin hätte sie darzulegen, welche Massnahmen sie in welchem Zeitraum ergreifen möchte, damit die heute bekannten und allenfalls neu auftretenden Mängel behoben werden und der Betrieb auch längerfristig den Sicherheitsanforderungen genüge, welche Kosten damit verbunden wären und für welchen Zeitraum sie den Weiterbetrieb des KKW Mühleberg beantrage. Sollte sie kein Verlängerungsgesuch mit einem umfassenden Instandhaltungskonzept einreichen, erlösche die Betriebsbewilligung am 28. Juni 2013. Falls sie ein Instandhaltungskonzept einreiche, werde das UVEK als verantwortliche Behörde dieses zu prüfen und mittels anfechtbarer Verfügung über die Frage zu befinden haben, ob für das KKW Mühleberg eine unbefristete oder erneut eine befristete Betriebsbewilligung erteilt werden könne oder ob es stillzulegen sei (E. 5.3.3).
Rügen der Beschwerdeführer
Die BKW rügt, die Vorinstanz habe in bundesrechtswidriger Weise den Streitgegenstand ausgedehnt: Streitgegenstand sei nur die ursprüngliche, politisch motivierte Befristung auf Ende 2012 gewesen. Indem die Vorinstanz einerseits diese Befristung aufgehoben, andererseits aber neu und erstmals eine sicherheitspolizeilich motivierte Befristung verfügt habe, habe sie den Gegenstand über das Anfechtungsobjekt hinaus ausgedehnt. Zudem sei es in sich widersprüchlich und damit willkürlich, einerseits die Befristung aufzuheben und eine neue Befristung festzulegen; das stelle im Ergebnis eine Stilllegungsverfügung dar. Mit der Anordnung, ein umfassendes Instandhaltungskonzept vorzulegen, vermische die Vorinstanz das Verhältnis von Bewilligungs- und Aufsichtsverfahren und die gesetzlichen Zuständigkeiten von Bewilligungs- und Aufsichtsbehörde: Nach der gesetzlichen Regelung sei es nicht Sache der Bewilligungs-, sondern der Aufsichtsbehörde, nach erteilter Betriebsbewilligung auf diese zurückzukommen und sie nachträglich aus polizeilichen Gründen zu befristen; diese neue Befristung sei eine typisch aufsichtsrechtliche Anordnung, die ausserhalb eines förmlichen Entzugsverfahrens (Art. 67 KEG) in der Zuständigkeit des ENSI stehe. Das UVEK sei dazu weder gesetzlich zuständig noch fachlich kompetent. Auch die Vorinstanz habe ihre Zuständigkeit überschritten, indem sie selber eine neue polizeiliche Befristung angeordnet habe.
Das UVEK ist ebenfalls der Auffassung, die vorinstanzliche Betrachtung verletze die gesetzliche Aufgabenteilung zwischen Bewilligungs- und Aufsichtsbehörde; es, das UVEK, sei für eine umfassende eigene Prüfung sicherheitstechnischer Fragen, wie die Vorinstanz sie verlange, personell und fachlich nicht gerüstet.
Sowohl BKW wie UVEK rügen sodann auch in materieller Hinsicht eine unrichtige Anwendung von Art. 21 Abs. 2 KEG durch die Vorinstanz, indem diese aufgrund angeblich offener Sicherheitsfragen die Bewilligung befriste. In diesem Zusammenhang rügen sie offensichtlich unrichtige Sachverhaltsfeststellungen durch die Vorinstanz. Die BKW rügt zudem eine Verletzung ihrer Wirtschaftsfreiheit (Art. 27 BV) und der Eigentumsgarantie (Art. 26 BV), des Verhältnismässigkeitsprinzips (Art. 5 Abs. 2 und 36 Abs. 3 BV), der Rechtsgleichheit (Art. 8 BV), der Gleichbehandlung der Gewerbegenossen (Art. 27 BV) sowie des Willkürverbots und des Grundsatzes von Treu und Glauben (Art. 9 BV). Ferner rügen BKW und UVEK eine Verletzung des rechtlichen Gehörs, indem die Vorinstanz ohne vorherige Anhörung zu diesem Punkt und ohne zulängliche Begründung die Bewilligung auf den 28. Juni 2013 befristet habe und indem sie sich nicht mit der sicherheitstechnischen Beurteilung durch UVEK und ENSI auseinandergesetzt habe.
(...)
Zuständigkeiten von Bewilligungs-, Aufsichts- und Rechtsmittelbehörden
9.1 Da die bisherige Betriebsbewilligung befristet war und diese Befristung nach den Vorgaben im Urteil 2C_170/2007 vom 21. Januar 2008 auf dem Wege der Wiedererwägung oder des Widerrufs, aber nach den Kriterien des neuen KEG, neu zu beurteilen ist (vgl. oben E. 4.1), hatten die Vorinstanzen zu prüfen, ob die gesetzlichen Voraussetzungen für einen nunmehr unbefristeten Betrieb erfüllt sind. Wenn das Gesetz als Voraussetzung für die Erteilung der Betriebsbewilligung u.a. verlangt, dass die Anlage und der vorgesehene Betrieb den Anforderungen der nuklearen Sicherheit und Sicherung entsprechen müssen (Art. 20 Abs. 1 lit. d KEG), dann folgt daraus zwangsläufig, dass diese Fragen im Rahmen des Bewilligungsverfahrens durch die dafür zuständige Bewilligungsbehörde, d.h. das UVEK (Art. 19 KEG), zu prüfen sind (ebenso REICH, a.a.O., S. 368 f.). Entgegen der Auffassung der BKW ist auch im Rahmen einer wiedererwägungs- oder widerrufsweisen Neuüberprüfung der Bewilligung eine Befristung durch die Bewilligungsbehörde - bzw. im Rechtsmittelverfahren durch das Gericht - nicht ausgeschlossen: Wenn Art. 21 Abs. 2 KEG der Bewilligungsbehörde erlaubt, die Bewilligung zu befristen, muss dies unter den Voraussetzungen einer Wiedererwägung oder eines Widerrufs auch nachträglich zulässig sein (ebenso WEBER/KRATZ, a.a.O., S. 182), so insbesondere - analog zu einer ursprünglichen Befristung - als mildere Massnahme gegenüber einer Verweigerung bzw. einem Entzug der Bewilligung (Art. 67 Abs. 1 KEG), der ebenfalls in der Zuständigkeit der Bewilligungsbehörde wäre.
9.2 Gesetzlich vorgesehen ist aber auch, dass die Prüfung der eingereichten Projekte durch die Aufsichtsbehörden erfolgt (Art. 72 Abs. 1 KEG). Diese haben damit die Stellung einer gesetzlich vorgesehenen Fachinstanz, von deren Beurteilung namentlich dort, wo das Gesetz mit Rücksicht auf den technischen oder wissenschaftlichen Charakter der Sache eine offene Normierung enthält, die entscheidende Behörde wie auch die gerichtlichen Rechtsmittelinstanzen, auch wenn ihnen freie Beweiswürdigung zusteht, nur aus triftigen Gründen abweichen dürfen (vgl. zu den Gutachten der Eidg. Natur- und Heimatschutzkommission BGE 136 II 214 E. 5 S. 223; BGE 127 II 273 E. 4b S. 281; BGE 125 II 591 E. 7a S. 602; zu den Beurteilungen von Umweltverträglichkeitsberichten durch die Umweltschutz-Fachstellen BGE 131 II 470 E. 3 S. 476 ff.; BGE 119 Ib 254 E. 8a S. 275; zu den Stellungnahmen der Tierversuchskommission BGE 135 II 384 E. 3.4.1 S. 395; zu den Schiedskommissionen nach URG BGE 133 II 263 E. 8.2 S. 278; zur Kommunikationskommission BGE 132 II 257 E. 3.2 und 3.3. S. 262 ff.; vgl. BENJAMIN SCHINDLER, Verwaltungsermessen, 2010, S. 341 ff., 350 ff.). Das gilt namentlich dann, wenn die entscheidende Behörde nicht über die erforderliche Fachkompetenz verfügt, wie das insbesondere im Verhältnis zwischen dem UVEK als Bewilligungsbehörde und dem ENSI zutrifft: Bis Ende 2008 war die HSK Aufsichtsbehörde in Bezug auf die nukleare Sicherheit und den Strahlenschutz von Kernanlagen (Art. 1 der Verordnung vom 14. März 1983 betreffend die Aufsicht über die Kernanlagen [AS 1983 283]). Die HSK gehörte als Teil des Bundesamtes für Energie organisatorisch zum UVEK. Mit dem Inkrafttreten des ENSIG am 1. Januar 2009 wurden die Aufgaben der HSK auf das ENSI übertragen (Art. 21 ENSIG; Art. 15 Abs. 2 der Verordnung vom 12. November 2008 über das Eidgenössische Nuklearsicherheitsinspektorat [ENSIV; SR 732.21]), bzw. die bisherige HSK (samt Personal) zum ENSI umgewandelt (YVONNE SCHEIWILLER, Nukleare Aufsicht in der Schweiz, Sicherheit und Recht 2009 S. 125 ff.). Dies erfolgte hauptsächlich, um die völkerrechtlich geforderte Unabhängigkeit der Nuklearaufsicht von anderen Stellen zu gewährleisten, welche mit der Förderung oder Nutzung der Kernenergie befasst sind (Art. 8 Abs. 2 des Übereinkommens vom 17. Juni 1994 über nukleare Sicherheit [nachfolgend: Übereinkommen über nukleare Sicherheit; SR 0.732.020]; vgl. Botschaft vom 18. Oktober 2006 zum ENSIG [nachfolgend: Botschaft ENSIG], BBl 2008 8831, 8832, 8834 f.; Botschaft vom 18. Oktober 1995 zum Übereinkommen über nukleare Sicherheit [nachfolgend: Botschaft nukleare Sicherheit], BBl 1995 IV 1343, 1351 f.; REICH, a.a.O., S. 367 f.; SCHEIWILLER, a.a.O., S. 129; SCHINDLER, a.a.O., S. 345 f.). Mit der Ausgliederung der HSK aus dem UVEK bzw. dem Bundesamt für Energie ist die technische Fachkompetenz für Fragen der nuklearen Sicherheit und Sicherung grundsätzlich nicht mehr im Departement, sondern im davon unabhängigen ENSI angesiedelt. Die Aussage der Vorinstanz, wonach das UVEK mit dem BFE ebenfalls über eine Fachbehörde mit technischem Spezialwissen verfüge, ist deshalb offensichtlich unrichtig, wie das UVEK mit Recht rügt. Das entbindet das UVEK als Bewilligungsbehörde zwar nicht davon, die Beurteilung des ENSI kritisch zu überprüfen und namentlich mit den Einwendungen von Gegenparteien zu konfrontieren; trotzdem darf und soll es auf diese Beurteilung abstellen, solange nicht triftige Gründe dagegen sprechen. Zur Beurteilung der Frage, ob Gründe triftig sind, muss die Bewilligungsbehörde als verantwortliche Behörde insofern ebenfalls über ein gewisses Wissen verfügen. Dabei wird sie allerdings von der Kommission für nukleare Sicherheit (Art. 71 KEG) unterstützt. Nach Art. 5 der Verordnung vom 12. November 2008 über die Eidgenössische Kommission für nukleare Sicherheit (VKNS; SR 732. 16) kann die Kommission Stellung nehmen zu Gutachten des ENSI betreffend Betriebsbewilligung u.a. zuhanden des Departements (Art. 71 Abs. 3 KEG; Art. 5 Abs. 1 VKNS) und spricht sich insbesondere darüber aus, ob die vorgesehenen Vorkehren zum Schutz von Mensch und Umwelt ausreichen (Art. 5 Abs. 3 VKNS). Zu diesem Zweck kann sie von der Aufsichtsbehörde oder direkt bei den potentiellen Bewilligungsinhabern Informationen einholen (Art. 6 VKNS). Der Bundesrat wollte zwar mit dem Erlass des ENSIG die ehemalige Kommission für die Sicherheit von Kernanlagen (KSA) ersatzlos streichen (vgl. Botschaft ENSIG, BBl 2006 8851; Kommissionssprecher Schmid-Sutter, AB 2007 S 65), doch das Parlament folgte dem Rat "nuklearenergiekritische[r] Kreise" (Kommissionssprecher Schmid-Sutter, AB 2007 S 65) und implementierte die Kommission für nukleare Sicherheit als "Zweitmeinungsorgan", als "Second-Opinion-Organ" mit Beratungsaufgaben (Kommissionssprecher Schmid-Sutter, AB 2007 S 65).
9.3 Die genannten Grundsätze in Bezug auf die Berücksichtigung von Fachwissen gelten auch für das Bundesverwaltungsgericht: Zwar steht ihm eine uneingeschränkte Rechts-, Sachverhalts- und Ermessenskontrolle zu (Art. 49 VwVG [SR 172.021]). Hat jedoch die Vorinstanz des Bundesverwaltungsgerichts oder ein besonderes unabhängiges Fachgremium eine besondere Fachkompetenz, die dem Gericht selber abgeht, so kann und soll das Gericht dieses technische Ermessen respektieren (BGE 135 II 356 E. 3.1 i.f. S. 360, BGE 135 II 384 E. 2.2.2 S. 390; BGE 133 II 35 E. 3 S. 39; BGE 130 II 449 E. 4.1 S. 451 f.; Urteil 2C_527/2007 vom 13. Mai 2008 E. 8.3, in: sic! 2008 S. 717 ff.), jedenfalls soweit die Fachinstanz die für den Entscheid wesentlichen Gesichtspunkte geprüft und die erforderlichen Abklärungen sorgfältig und umfassend durchgeführt hat (BGE 138 II 77 E. 6.4 S. 89; BGE 131 II 680 E. 2.3.2 S. 683 f.). Das Gericht soll nicht aus eigenem Gutdünken, sondern nur aus triftigen Gründen von der Beurteilung durch die zuständige Fachbehörde abweichen. Insbesondere ist es nicht Sache der Gerichte, Energiepolitik zu betreiben oder die Rolle von Aufsichtsbehörden zu übernehmen; das Bundesverwaltungsgericht hat auch nicht den Massstab für sicherheitsrelevante Bedenken selber zu definieren. Dies obliegt in erster Linie dem Bundesrat, dem Departement und den nachgeordneten Verwaltungsbehörden. Die Gerichte sollen zusätzliche Betriebseinschränkungen, welche von der Fachbehörde selber nicht verlangt worden sind, nur anordnen, wenn diese vom Bundesrecht klar verlangt werden, keine fachtechnischen Abklärungen mehr nötig sind und kein Spielraum des (Verwaltungs-)Ermessens besteht, sondern nur eine Lösung als möglich und rechtmässig erscheint (BGE 131 II 81 E. 6.6 i.f. S. 97; BGE 129 II 331 E. 3.2 S. 342; Urteil 8C_788/2011 vom 2. Mai 2012 E. 5.1.2).
Verhältnis von Bewilligungs- und Aufsichtsverfahren
10.1 Die Vorinstanz hat im angefochtenen Urteil die Befristung massgeblich damit begründet, es bestünden offene Sicherheitsaspekte, die nicht bloss durch die übliche laufende Aufsicht gesichert werden könnten. Die Beschwerdeführer rügen, die Vorinstanz habe damit die Rollenverteilung zwischen Bewilligungs- und Aufsichtsverfahren verkannt. Es ist daher zunächst das Verhältnis zwischen Bewilligungsverfahren und Aufsichtstätigkeit zu untersuchen.
10.1.1 Die Betriebsbewilligung ist zu erteilen, wenn die Voraussetzungen erfüllt sind (Art. 20 KE G; oben E. 4.2). Nach Erteilung der Bewilligung ist der Bewilligungsinhaber für die Sicherheit der Anlage und des Betriebs verantwortlich (Art. 22 Abs. 1 KEG). Er muss u.a. Massnahmen treffen, um die Anlage in einem guten Zustand zu erhalten (Art. 22 Abs. 2 lit. c KEG). Er muss zudem die Anlage so weit nachrüsten, als dies nach der Erfahrung und dem Stand der Nachrüstungstechnik notwendig ist, und darüber hinaus, soweit dies zu einer weiteren Verminderung der Gefährdung beiträgt und angemessen ist (Art. 22 Abs. 2 lit. g KEG). Er muss zu diesem Zweck nicht nur Nachprüfungen sowie systematische Sicherheits- und Sicherungsbewertungen während der ganzen Lebensdauer der Anlage durchführen und für ein Kernkraftwerk periodisch eine umfassende Sicherheitsüberprüfung vornehmen (Art. 22 Abs. 2 lit. d und e KEG), sondern auch die Entwicklung von Wissenschaft und Technik sowie die Betriebserfahrungen vergleichbarer Anlagen verfolgen (Art. 22 Abs. 2 lit. h KEG). Diese Pflichten sind bei Bedarf durch Anordnung der Aufsichtsbehörden durchzusetzen (Art. 72 Abs. 2 KEG).
10.1.2 Der Grund für diese Regelung liegt darin, dass der Stand von Wissenschaft und Technik einer ständigen Weiterentwicklung unterliegt. Ältere Anlagen wurden nach dem seinerzeitigen Stand von Wissenschaft und Technik gebaut und können nicht in jedem Punkt die heutigen Anforderungen an neue Anlagen erfüllen. Mit Nachrüstmassnahmen kann aber gewährleistet werden, dass auch ältere Anlagen den gestellten Sicherheitsanforderungen entsprechen (Botschaft KEG, BBl 2001 2685 f.). Ältere Anlagen müssen aber nicht immer an den Stand der Sicherheit von Neuanlagen angepasst werden; vielmehr ist bei einer Fortentwicklung des Standes von Wissenschaft und Technik von Fall zu Fall zu entscheiden, ob diese sicherheitstechnisch relevant ist. Wenn ja, ist zu prüfen, ob für bestehende Anlagen die dadurch zu ergreifenden Massnahmen unter Wahrung der Verhältnismässigkeit zu realisieren sind oder ob durch andere Massnahmen das übergeordnete Schutzziel ebenfalls erreicht werden kann (Art. 22 Abs. 2 lit. g KEG; Botschaft KEG, BBl 2001 2711). Ein bestehender Reaktor kann nicht vollständig auf den Stand neuer Reaktortypen nachgerüstet werden. Die Sicherheit eines bestehenden Kernkraftwerks muss aber in jedem Fall entsprechend der internationalen Praxis bezüglich der Nachrüstung verbessert werden (Botschaft KEG, BBl 2001 2771).
10.1.3 Die gesetzliche Regelung beruht somit nicht darauf, dass mit der Betriebsbewilligung ein für alle Mal für die ganze künftige Betriebszeit alle Sicherheitsfragen definitiv beantwortet werden, die sich im Laufe des Betriebs stellen werden. Die Sicherheitsbeurteilung eines Kernkraftwerks ist vielmehr ein laufender Prozess: Sowohl der Bewilligungsinhaber als auch die Aufsichtsbehörde haben ständig die Sicherheit neu zu beurteilen, die Anlage neuen Entwicklungen anzupassen und gegebenenfalls zusätzliche Sicherheits- oder Nachrüstmassnahmen vorzunehmen bzw. anzuordnen. Die Sicherheit der Anlage muss nicht nur auf dem anfänglichen Stand gehalten, sondern im Laufe der Zeit * verbessert* werden. Das ist nötigenfalls durch Anordnungen der Aufsichtsbehörde durchzusetzen (Art. 72 Abs. 2 KEG). Im Rahmen ihrer Überprüfungen erstellen deshalb die Aufsichtsbehörden jeweils Pendenzenlisten mit Punkten, welche die Bewilligungsinhaber zu prüfen oder zu verbessern haben (SCHMOCKER/MEYER, Risikoorientierte Aufsicht in der Kernenergie, 2000, S. 12 ff.). In diesem Sinne ist jede Sicherheitsbeurteilung, die zu einem bestimmten Zeitpunkt vorgenommen wird, zwangsläufig gewissermassen provisorisch, beruhend auf dem aktuellen Stand des Wissens.
10.2 Diese gesetzliche Konzeption hat Auswirkungen auf das Verhältnis zwischen Betriebsbewilligungs-, Aufsichts- und Entzugsverfahren:
10.2.1 Im Bewilligungsverfahren beurteilt die Bewilligungsbehörde unter Beizug der Fachbehörden, ob im Bewilligungszeitpunkt die Bewilligungsvoraussetzungen erfüllt sind (E. 9.1 und 9.2), wozu auch die Aspekte der nuklearen Sicherheit (Art. 20 Abs. 1 lit. d KEG) gehören. Ist dies der Fall, ist die Betriebsbewilligung zu erteilen (Art. 20 KEG; oben E. 4.2), und zwar grundsätzlich unbefristet (oben E. 4.3).
10.2.2 Durch die laufende Aufsicht ist zu gewährleisten, dass die Sicherheit während der ganzen Laufzeit gewährleistet bleibt und gegebenenfalls durch nachträgliche Nachrüstungen verbessert wird. Die laufende Aufsicht ist das gesetzlich vorgesehene Instrument, um nach der Bewilligungserteilung die Sicherheit fortdauernd zu gewährleisten bzw. zu verbessern. Die Bewilligungsbehörde kann sich nicht mit Hinweis auf die spätere Aufsicht davon dispensieren, die Voraussetzungen im Bewilligungszeitpunkt zu überprüfen; sie kann aber ergänzend zu ihrer Überprüfung grundsätzlich davon ausgehen, dass die Aufsichtsbehörde während des nachfolgenden Betriebs ihre Aufgabe wahrnehmen wird. Dass nach der Bewilligungserteilung ständig neue Fragen gestellt, laufend die Sicherheit überprüft und gegebenenfalls Nachrüstungen vorgenommen bzw. angeordnet werden und demzufolge die Sicherheit im Laufe der Zeit voraussichtlich verbessert wird, ist der gesetzliche Normalfall; dies kann nicht dazu führen, dass im Zeitpunkt des Bewilligungsverfahrens die Bewilligung verweigert wird mit der Begründung, die Anlage entspreche heute noch nicht dem Stand, der voraussichtlich in Zukunft verlangt werden wird. Ebenso wenig kann rückblickend aus dem Umstand, dass im Laufe der Zeit die Sicherheit der Anlage verbessert wurde oder die Aufsichtsbehörde nachträglich zusätzliche Prüfungen oder Massnahmen angeordnet hat, gefolgert werden, dass die Anlage im Bewilligungszeitpunkt die Anforderungen nicht erfüllt habe und seinerzeit gar nicht hätte bewilligt werden dürfen.
10.2.3 Die Bewilligung ist nach Art. 67 Abs. 1 KEG zu entziehen, wenn die Voraussetzungen für die Erteilung nicht oder nicht mehr erfüllt sind (lit. a) oder wenn der Bewilligungsinhaber eine Auflage oder eine verfügte Massnahme trotz Mahnung nicht erfüllt (lit. b). Die erste Tatbestandsvariante (Voraussetzungen nicht oder nicht mehr erfüllt) ist zugeschnitten auf die klassischen Fälle, wonach eine Dauerbewilligung entzogen wird, wenn die Voraussetzungen, die bei ihrer Erteilung erfüllt waren, nicht mehr gegeben sind (MOOR/POLTIER, Droit administratif, Bd. II, 3. Aufl. 2011, S. 386 f.; TSCHANNEN/ZIMMERLI/MÜLLER, Allgemeines Verwaltungsrecht, 3. Aufl. 2009, S. 293 f.; THIERRY TANQUEREL, Manuel de droit administratif, 2011, S. 324 Rz. 950). In Bezug auf die Voraussetzungen der nuklearen Sicherheit (Art. 20 Abs. 1 lit. d KEG) bedeutet das, dass sich der Anlagezustand gegenüber dem Anfangszustand sicherheitsmässig verschlechtert hat. Gemäss den Grundsätzen des allgemeinen Verwaltungsrechts kann eine Dauerverfügung unter bestimmten Voraussetzungen auch an nachträgliche Änderungen der Rechtslage oder allenfalls der Praxis angepasst bzw. nötigenfalls widerrufen werden (BGE 135 V 201 E. 6.1 und 6.2 S. 205 ff.; BGE 127 II 306 E. 7a S. 313 f.; BGE 106 Ib 252 E. 2 S. 254 ff.; MOOR/POLTIER, a.a.O., S. 386; HÄFELIN/MÜLLER/UHLMANN, Allgemeines Verwaltungsrecht, 6. Aufl. 2010, S. 221 f.). So kann unter Umständen auch eine Anpassung einer Anlage an einen nachträglich erhöhten Sicherheitsstand verlangt werden (TSCHANNEN/ZIMMERLI/MÜLLER, a.a.O., S. 294; vgl. Urteil 1C_43/2007 vom 9. April 2008 E. 5.3 und 5.4, nicht publ. in: BGE 134 II 142 aber in: URP 2008 S. 576 ff., BGE 134 II 587 f.; vgl. zur Medikamentensicherheit Urteil 2A.287/2006 vom 22. Dezember 2006 E. 3.3.3). Dabei ist aber nicht sofort die Bewilligung zu entziehen, sondern es ist dem Inhaber - vorbehalten Fälle unmittelbarer Gefahr (Art. 72 Abs. 3 KEG) - zunächst in verhältnismässiger Weise (Art. 5 Abs. 2 bzw. Art. 36 Abs. 3 BV) Gelegenheit zu geben, eine erneute Prüfung vorzunehmen oder die Anlage an die geänderten Vorschriften anzupassen (vgl. Urteile 1C_43/2007 vom 9. April 2008 E. 5.5 und 5.6, nicht publiziert in BGE 134 II 142 aber in: URP 2008, S. 576 ff., 588 f.; 2A.287/2006 vom 22. Dezember 2006 E. 3.3.6 f.); die Bewilligung kann erst widerrufen werden, wenn dies nicht erfolgt ist (Urteil 2A.287/2006 vom 22. Dezember 2006 E. 3.6). Diesem Zweck dient in der spezialgesetzlichen Regelung des KEG das dargelegte Institut der Nachrüstung, die durch die Aufsichtsbehörde durchzusetzen ist. Dies erlaubt, die Sicherheit der Anlage auch an nachträglich erhöhte Anforderungen anzupassen, ohne die Bewilligung zu entziehen (vgl. oben E. 10.2.2). Der Umstand, dass sich der Stand von Wissenschaft und Technik gewandelt hat und aktuell höhere Anforderungen gestellt werden als im Zeitpunkt der Bewilligungserteilung, führt grundsätzlich nicht dazu, dass die Bewilligung sofort entzogen wird; in aller Regel ist dem Betreiber zuerst Frist zu setzen, um die Anlage nachzurüsten. Erst wenn behördlich angeordnete Nachrüstmassnahmen nicht erfüllt werden, ist die Bewilligung gemäss Art. 67 Abs. 1 lit. b KEG nach erfolgter Mahnung zu entziehen.
10.2.4 Auch in Bezug auf Zuständigkeit und Verfahren ist das Verhältnis zwischen der Bewilligungs- und der Aufsichtsbehörde gesetzlich geregelt: Für Erteilung und Entzug der Bewilligung ist die Bewilligungsbehörde zuständig, für aufsichtsrechtliche Anordnungen die Aufsichtsbehörde, und zwar grundsätzlich auch für die Anordnung, bestimmte Nachrüstungsmassnahmen vorzunehmen (vgl. oben E. 10.1.3 und 10.2.2). Weicht allerdings die Änderung oder Anpassung, welche die Aufsichtsbehörde als notwendig erachtet, wesentlich von der Betriebsbewilligung (d.h. von dem nach Art. 21 KEG in der Betriebsbewilligung festzulegenden Inhalt) ab, so ist eine Änderung dieser Bewilligung erforderlich (Art. 65 Abs. 2 KEG), wofür das gleiche Verfahren gilt wie für deren Erteilung; es ist also eine öffentliche Auflage des Gesuchs mit Einsprachemöglichkeit und eine Anhörung der betroffenen Kantone vorzunehmen (Art. 49 ff. i.V.m. Art. 61 KEG). Für Änderungen, die nicht wesentlich von der Bewilligung abweichen, aber einen Einfluss auf die nukleare Sicherheit haben können, braucht der Inhaber eine Freigabe durch die Aufsichtsbehörde (Art. 65 Abs. 3 KEG; Art. 40 Abs. 1 der Kernenergieverordnung vom 10. Dezember 2004 [KEV; SR 732.11]; Urteil 2C_170/2007 vom 21. Januar 2008 E. 2.2), wofür das Verfahren nach Art. 64 KEG anwendbar ist.
10.3 Aus dieser gesetzlichen Regelung ergeben sich Folgerungen für die Frage, unter welchen Voraussetzungen eine Betriebsbewilligung nach Art. 21 Abs. 2 KEG befristet werden kann. Eine Befristung führt dazu, dass nach Ablauf der Frist der Betrieb eingestellt werden muss, und rechtfertigt sich deshalb nur aus den gleichen Gründen, die im Zeitpunkt des Fristablaufs auch zu einer Bewilligungsverweigerung oder einem Entzug führen könnten. Eine Bewilligung ist dann zu befristen, wenn zwar im Zeitpunkt der Erteilung die Voraussetzungen erfüllt sind, aber aktuell schon absehbar ist, dass sie nach einiger Zeit möglicherweise nicht mehr erfüllt sein werden und ihre Aufrechterhaltung auch mit den Mitteln der laufenden Aufsicht nicht sichergestellt werden kann. Zu denken ist insbesondere an Fälle, in denen das Langzeitverhalten wesentlicher Anlagekomponenten, deren Änderung einer Betriebsbewilligung bedarf (Art. 65 Abs. 2 KEG), nicht bekannt ist. Hier kann die Bewilligung befristet werden: Um eine Verlängerung der Frist zu erreichen, muss der Anlageinhaber entweder das sichere Langzeitverhalten nachweisen oder ein Gesuch für die Bewilligung einer anderen Komponente einreichen. Hingegen kann daraus, dass der Bewilligungsinhaber und die Aufsichtsbehörden in Befolgung ihrer gesetzlichen Pflichten laufend die Sicherheit der Anlage überprüfen und neue Fragen aufwerfen, nicht geschlossen werden, dass die Bewilligung nur befristet erteilt werden kann, bis alle zukünftigen offenen Fragen bereinigt sind. Da diese im Zeitpunkt der Bewilligungserteilung nie definitiv bereinigt sein werden (vgl. oben E. 10.1.3), hätte eine solche Betrachtung zur Konsequenz, dass entgegen dem gesetzlichen Grundsatz (oben E. 4.3) nie eine unbefristete Bewilligung möglich wäre. Ebenso wenig kann der Umstand, dass infolge der gesetzlichen Nachrüstungspflicht (oben E. 10.1.1 und 10.1.2) die Sicherheit der Anlage in Zukunft voraussichtlich besser sein wird als im Bewilligungszeitpunkt, für sich allein eine Befristung nicht rechtfertigen. Denn diese Nachrüstung kann durch die laufende Aufsicht sichergestellt werden (oben E. 10.1.3 und 10.2.2), jedenfalls solange die möglicherweise notwendig werdenden Nachrüstmassnahmen bloss der Freigabe- und nicht der Bewilligungspflicht unterliegen (oben E. 10.2.4).
An der Sache vorbei geht die Auffassung der Beschwerdegegner, aufsichtsrechtliche Massnahmen seien kein adäquater Ersatz für die Befristung der Bewilligung, weil nach Art. 72 Abs. 3 KEG nur bei unmittelbarer Gefahr eine sofortige Ausserbetriebnahme angeordnet werden könne, nicht aber schon bei begründetem Verdacht, dass Nachweise nicht erbracht werden können. Denn die Bewilligung kann - auch wenn sie unbefristet ist - unter den dargelegten Voraussetzungen von Art. 67 Abs. 1 KEG entzogen werden (E. 10.2.3), auch ohne dass eine unmittelbare Gefahr droht. Zuständig dafür ist zwar nicht die Aufsichts-, sondern die Bewilligungsbehörde, aber diese hat sich dabei auf die Beurteilung durch die Aufsichtsbehörden zu stützen (Art. 72 KEG; oben E. 9.2).
10.4 Die dargelegten Grundsätze gelten auch für die hier zu beurteilende Situation. Nach den verbindlichen Vorgaben im Urteil 2C_170/2007 vom 21. Januar 2008 E. 3.1 ist das Gesuch der BKW um eine unbefristete Bewilligung nicht wie ein Gesuch für eine neue Bewilligung, sondern auf dem Weg der Wiedererwägung oder des Widerrufs der bisherigen Bewilligung zu prüfen (oben lit. A.c). Das KKW Mühleberg ist daher nicht als neue Anlage zu behandeln, für welche erstmals um eine Bewilligung nachgesucht wird, sondern als eine bestehende (JAGMETTI, a.a.O., S. 604). Es ist davon auszugehen, dass sie im Zeitpunkt, als die bisherige Bewilligung erteilt wurde (1998), den damaligen Sicherheitsanforderungen entsprach (oben E. 5.1). Dass nachträglich im Rahmen des Betriebs und der laufenden Aufsicht dauernd Sicherheitsabklärungen und Verbesserungen vorgenommen wurden und weiterhin werden, ändert daran nichts (E. 10.2.2). Es ist somit zu prüfen, ob wiedererwägungs- bzw. widerrufsweise nachträglich eine sicherheitspolizeilich motivierte Befristung anzuordnen ist. Dies beurteilt sich grundsätzlich nach den analogen Kriterien wie bei einer anfänglichen Befristung (vgl. oben E. 10.3). Zusätzlich ist dem Umstand, dass es um einen Widerruf einer bestehenden Bewilligung geht, Rechnung zu tragen, indem für Anpassungen an nachträglich erhöhte Sicherheitsanforderungen die dafür geltenden Grundsätze (oben E. 10.2.2 und 10.2.3) zu beachten sind.
10.5 Mit der Befristung hat die Vorinstanz nicht nur erkannt, dass ihres Erachtens erhebliche Sicherheitsfragen offen sind, sondern zugleich verfahrensmässig festgelegt, dass eine Verlängerung des Betriebs über den 28. Juni 2013 hinaus nur auf dem Weg des Bewilligungsverfahrens, also durch die Bewilligungsbehörde, möglich ist. Wie dargelegt, können jedoch nach der gesetzlichen Konzeption Verbesserungen der Anlage, die nicht von den in der Bewilligung festgelegten Sicherheitsmassnahmen abweichen, von der Aufsichtsbehörde freigegeben werden und bedürfen nicht einer Änderung der Bewilligung im Bewilligungsverfahren (Art. 65 Abs. 3 KEG; Art. 40 Abs. 1 lit. a KEV; oben E. 10.2.4). Soweit die von der Vorinstanz identifizierten Sicherheitsprobleme im Rahmen der laufenden Aufsicht bzw. durch Freigaben der Aufsichtsbehörde gelöst werden können, ist die Befristung nicht nur materiell unbegründet (E. 10.3), sondern greift sie auch in die gesetzliche Aufgabenteilung zwischen Bewilligungs- und Aufsichtsbehörden ein.
10.6 Vorliegend ist zudem der zeitliche Aspekt zu berücksichtigen: Die Vorinstanz hat in ihrem Urteil vom 1. März 2012 die Befristung auf den 28. Juni 2013 festgelegt. Sie verlangt als Voraussetzung für eine darüber hinausgehende Bewilligung, dass die BKW ein umfassendes Instandhaltungskonzept vorlegt und das UVEK gestützt darauf mittels anfechtbarer Verfügung zu befinden haben wird, ob eine weitere Bewilligung zu erteilen ist. Es ist davon auszugehen, dass in diesem Verfahren nebst den vorgeschriebenen fachlichen Begutachtungen (Art. 72 Abs. 1 KEG) und den Anhörungen der Kantone (Art. 53 KEG) wiederum Einsprachen erhoben werden (Art. 55 KEG) und entsprechende Verfahrensschritte vorzunehmen sind. Prozessuale Weiterungen sind nicht ausgeschlossen. Schon das vorliegende Gesuchsverfahren um Aufhebung der Befristung hat bis zum Entscheid des UVEK ab Gesuchseinreichung fast fünf Jahre und ab der öffentlichen Auflage rund eineinhalb Jahre gedauert sowie zusätzlich vor dem Bundesverwaltungsgericht mehr als zwei Jahre. Angesichts dessen erscheint es praktisch ausgeschlossen, dass das UVEK bis Ende Juni 2013 über die Bewilligung neu entscheidet, selbst wenn die BKW ohne Verzug die verlangten Unterlagen einreichen würde. Die Beschwerdegegner weisen selber darauf hin, dass z.B. die von ihnen beantragte abschliessende Beurteilung der Erdbebensicherheit frühestens Ende Juni 2013 vorliegen werde. Sodann wird der Entscheid des UVEK beim Bundesverwaltungsgericht anfechtbar sein, wobei die Beschwerde grundsätzlich aufschiebende Wirkung hat (Art. 55 Abs. 1 VwVG). Das Bundesgericht hat in seinem Urteil 2C_170/2007 vom 21. Januar 2008 E. 3.2 erwogen, die BKW könne verlangen, dass im Blick auf künftige Investitionen rechtzeitig vor Ablauf der Befristung über die Zulässigkeit des Weiterbetriebs ihres KKW entschieden werde. Mit der von der Vorinstanz festgesetzten Frist wird dies faktisch verunmöglicht. In der praktischen Konsequenz führt somit die Befristung zu einer zumindest vorübergehenden Ausserbetriebnahme des KKW Mühleberg und damit im Ergebnis zu einer behördlich angeordneten Stilllegung, die einem (vorübergehenden) Bewilligungsentzug gleichkommt. Die Befristung ist daher auch nach den Grundsätzen des Bewilligungsentzugs zu beurteilen (oben E. 10.2.3).
10.7 Insgesamt rechtfertigt sich die streitige Befristung nicht schon damit, dass die Aufsichtsbehörden laufend die Sicherheit der Anlage überprüfen, neue Fragen aufwerfen und neue Massnahmen anordnen. Das ist vielmehr der gesetzliche Normalfall (vgl. oben E. 10.1.3 und 10.2.2). Insbesondere dann, wenn die zu prüfenden oder anzuordnenden Massnahmen dazu dienen, die Anlage an nachträglich erhöhte Sicherheitsanforderungen anzupassen, ist durch die Aufsichtsbehörde eine angemessene Frist für eine Nachrüstung zu setzen (oben E. 10.2.3) und nicht die Bewilligung zu befristen (E. 10.3). Die Befristung rechtfertigt sich hingegen dann, wenn begründeter Anlass zur Annahme besteht, dass im Zeitpunkt des Fristablaufs (Ende Juni 2013) die gesetzlichen Bewilligungsvoraussetzungen nicht mehr erfüllt sind und ihre Aufrechterhaltung auch mit den Mitteln der laufenden Aufsicht (oben E. 10.2.2 und 10.2.4) nicht sichergestellt werden kann (oben E. 10.3), namentlich wenn für notwendige Sicherheitsmassnahmen eine Änderung der Betriebsbewilligung erforderlich ist (vgl. oben E. 10.2.4 und 10.5).
Anforderungen an die nukleare Sicherheit
Von den gesetzlichen Bewilligungsvoraussetzungen (Art. 20 Abs. 1 KEG) ist nur die nukleare Sicherheit (lit. d) umstritten. Im Folgenden sind daher zunächst die entsprechenden gesetzlichen Anforderungen darzulegen.
11.1 Die Grundsätze der nuklearen Sicherheit sind in allgemeiner Form in Art. 4 KEG enthalten: Bei der Nutzung der Kernenergie sind Mensch und Umwelt vor Gefährdungen durch ionisierende Strahlen zu schützen. Radioaktive Stoffe dürfen nur in nicht gefährdendem Umfang freigesetzt werden. Es muss insbesondere Vorsorge getroffen werden gegen eine unzulässige Freisetzung radioaktiver Stoffe sowie gegen eine unzulässige Bestrahlung von Personen im Normalbetrieb und bei Störfällen (Art. 4 Abs. 1 KEG). Im Sinne der Vorsorge sind gemäss Art. 4 Abs. 3 KEG alle Vorkehren zu treffen, die nach der Erfahrung und dem Stand von Wissenschaft und Technik notwendig sind (lit. a) und zu einer weiteren Verminderung der Gefährdung beitragen, soweit sie angemessen sind (lit. b).
11.2 Mit den beiden Bedingungen von Art. 4 Abs. 3 KEG wird ausgedrückt, dass das Schutzkonzept des Kernenergiegesetzes entsprechend den international üblichen Ansätzen im Strahlenschutz- und Kernenergierecht (vgl. Art. 15 des Übereinkommens über nukleare Sicherheit; Botschaft nukleare Sicherheit, BBl 1995 1343, 1355; Art. 24 des Gemeinsamen Übereinkommens vom 5. September 1997 über die Sicherheit der Behandlung abgebrannter Brennelemente und über die Sicherheit der Behandlung radioaktiver Abfälle [nachfolgend: Gemeinsames Übereinkommen; SR 0.732.11]; Botschaft vom 31. März 1999 betreffend das Gemeinsame Übereinkommen über die Sicherheit der Behandlung abgebrannter Brennelementeund über die Sicherheit der Behandlung radioaktiver Abfälle [nachfolgend: Botschaft Gemeinsames Übereinkommen], BBl 1999 4409, 4429) auf einem zweistufigen Ansatz beruht: Als erste Stufe werden Sicherheitsanforderungen festgelegt, die zwingend und unabhängig von finanziellen Überlegungen eingehalten werden müssen; es handelt sich um diejenigen, die nach der Erfahrung und dem Stand von Wissenschaft und Technik notwendig sind (Art. 4 Abs. 3 lit. a KEG; Botschaft KEG, BBl 2001 2759). Auf der zweiten Stufe sind weitere risikoreduzierende Massnahmen zu treffen, soweit sie unter allen, auch finanziellen Aspekten, angemessen sind (Art. 4 Abs. 3 lit. b KEG; ALARA-Prinzip [As Low As Reasonably Achievable]; Botschaft KEG, BBl 2001 2759; vgl. Botschaft vom 17. Februar 1988 zu einem Strahlenschutzgesetz, BBl 1988 II 181, 192 f.; Massnahmen nach Tschernobyl, Stellungnahme des Bundesrates vom 11. Januar 1989 zum Bericht der GPK vom 10. November 1988, BBl 1989 I 716, 724 f.; JAGMETTI, a.a.O., S. 598 f.; HANSJÖRG SEILER, Recht und technische Risiken, 1997, S. 167 f., 323 f.; die deutsche Literatur unterscheidet diese beiden Bereiche mit den Begriffen der Gefahrenabwehr und der Risikovorsorge: dazu grundlegend bereits statt vieler ANDREAS REICH, Gefahr, Risiko, Restrisiko, das Vorsorgeprinzip am Beispiel des Immissionsschutzrechts, 1989; siehe auch RÜDIGER BREUER, Anlagensicherheit und Störfälle - Vergleichende Risikobewertung im Atom- und Immissionsschutzrecht, Neue Zeitschrift für Verwaltungsrecht [NVwZ] 1990 S. 211, 213 f.;FRITZ OSSENBÜHL, Bestandesschutz und Nachrüstung von Kernkraftwerken, 1994, S. 52 ff.; aus der neueren Literatur sind etwa zu erwähnen: ALFRED G. DEBUS, Strategien zum Umgang mit sagenhaften Risikotypen, insbesondere am Beispiel der Kernenergie, in: Risiko im Recht - Recht im Risiko, 2011, S. 11 ff.; LIV JAECKEL, Gefahrenabwehrrecht und Risikodogmatik, 2010).
11.3 Dies entspricht dem Vorsorgeprinzip, wie es im Umwelt- und Technikrecht allgemein Anwendung findet: Bestimmte Einwirkungen oder Risiken sind absolut unzulässig und können nicht bewilligt werden (grenzwertüberschreitende Emissionen oder Immissionen; Risiken im nicht akzeptablen Bereich im Rahmen der Störfallvorsorge nach Art. 10 USG [SR 814.01]). Darüber hinaus sind im Rahmen der Vorsorge weitere immissions- oder risikoreduzierende Massnahmen zu treffen, allerdings nur so lange, als sie mit dem Betrieb der Anlage unter allen Aspekten (technisch, betrieblich und wirtschaftlich) vereinbar sind (vorsorgliche Emissionsbegrenzung nach Art. 11 Abs. 2 USG; risikoreduzierende Massnahmen im Übergangsbereich im Rahmen der Störfallvorsorge nach Art. 10 USG und dazu BGE 127 II 18; CHRISTOPH ERRASS, Katastrophenschutz, 1998, S. 268 f.; URSULA MARTI, Das Vorsorgeprinzip im Umweltrecht, 2011, S. 172 f.; HANSJÖRG SEILER, in: Kommentar zum Umweltschutzgesetz, 2. Aufl., Stand: 2001, N. 58 zu Art. 10 USG). Das Vorsorgeprinzip in diesem Sinne erlaubt in der Regel keine Verweigerung der Bewilligung, sondern nur Optimierungen, die mit dem Betrieb der konkret zu beurteilenden Anlage vereinbar sind (BGE 133 II 169 E. 3.2 S. 175; BGE 131 II 431 E. 4.1 und 4.2 S. 438 f.; BGE 126 II 300 E. 4c/dd S. 309; ALEXANDER ZÜRCHER, Die vorsorgliche Emissionsbegrenzung nach dem Umweltschutzgesetz, 1996, S. 69, 259, 282). Insbesondere bedeutet das Vorsorge- bzw. ALARA-Prinzip nicht, dass alle hypothetischen Risiken unzulässig wären oder ein Null-Risiko geboten wäre; verlangt ist, die Risiken auf ein akzeptables Mass zu reduzieren (BGE 131 II 431 E. 4.1 und 4.2 S. 438 f.; BGE 126 II 300 E. 4e/aa S. 311 f.; Urteil 2C_905/2010 vom 22. März 2011 E. 3.2.1; FABIA JUNGO, Le principe de précaution en droit de l'environnement suisse, 2012, S. 200 ff., 269 ff.; ERRASS, a.a.O., S. 46, 53, 95 f.; MARTI, a.a.O., S. 170; SEILER, a.a.O., S. 362 ff.; CHRISTOPH ERRASS, Öffentliches Recht der Gentechnologie im Ausserhumanbereich, 2006, S. 98, 168, 173). Gewisse Risiken können namentlich dann in Kauf genommen werden, wenn Massnahmen möglich sind, welche die Gefährdungen, sollten sie sich dereinst realisieren, wirksam begrenzen können (BGE 131 II 431 E. 4.4.4 und 4.5 S. 442 ff.).
11.4 Auch im Kernenergierecht könnte ein Null-Risiko nur erreicht werden, wenn der Betrieb von Kernanlagen generell verboten wäre, was nicht der heute geltenden und hier anzuwendenden Rechtslage entspricht (Art. 20 KEG). Ob und mit welchem Zeithorizont diese gesetzliche Regelung in Zukunft allenfalls geändert werden wird, kann keinen Einfluss auf die heutige rechtliche Beurteilung haben (vgl. zu gesetzgeberischen Vorschlägen zum Atomausstieg die von der Bundesversammlung überwiesene Motion 11.3144, welche aber den Weiterbetrieb bisheriger Kernkraftwerke nicht ausschliesst, solange sie sicher sind [AB 2011 S 974 f.; 2011 N 1903 ff.]; Volksinitiative "für den geordneten Ausstieg aus der Atomenergie", [BBl 2011 3981, 2013 615], die für das KKW Mühleberg einen Betrieb bis 45 Jahre nach Inbetriebnahme vorsieht, solange die nukleare Sicherheit gewahrt bleibt). Entsprechend dem sehr grossen Gefährdungspotential von Kernkraftwerken sind die absolut zu erfüllenden Anforderungen (Art. 4 Abs. 3 lit. a KEG) sehr hoch, aber im darüber hinausgehenden ALARA-Bereich müssen nicht alle denkbaren, sondern nur die angemessenen zusätzlichen Sicherheitsmassnahmen getroffen werden (Art. 4 Abs. 3 lit. b KEG), d.h. Massnahmen, die mit dem Betrieb der Anlage noch vereinbar sind; sie vermögen daher eine Verweigerung oder einen Entzug der Bewilligung nicht zu rechtfertigen. Demzufolge kann auch der Umstand, dass im ALARA-Bereich noch Fragen offen sind, Abklärungen getroffen werden oder von den Aufsichtsbehörden zusätzliche Massnahmen angeordnet worden sind, die aber noch nicht umgesetzt wurden, kein Grund für eine Verweigerung der Bewilligung sein, auch nicht für eine aufgeschobene Verweigerung bzw. Befristung (vgl. oben E. 10.3 und 10.7).
11.5 Nach Art. 4 Abs. 1 Satz 3 KEG muss Vorsorge gegen eine unzulässige Freisetzung radioaktiver Stoffe und Bestrahlung von Personen nicht nur im Normalfall, sondern auch bei Störfällen getroffen werden. Auch für die Störfallvorsorge gilt das in Art. 4 Abs. 3 KEG festgelegte zweistufige Konzept:
11.5.1 Bei Kernanlagen wird zwischen Auslegungsstörfällen und auslegungsüberschreitenden Störfällen unterschieden (Art. 7 lit. c und d KEV; Art. 1 lit. a und b der Verordnung des UVEK vom 17. Juni 2009 über die Gefährdungsannahmen und die Bewertung des Schutzes gegen Störfälle in Kernanlagen [Gefährdungsannahmenverordnung; SR 732.112.2]; dazu auch SCHMOCKER/MEYER, a.a.O., S. 20 ff. mit der auf S. 21 sehr anschaulichen Figur). Bei der Auslegung, beim Bau und beim Betrieb der Kernanlagen sind Schutzmassnahmen nach international anerkannten Grundsätzen zu treffen. Die Schutzmassnahmen umfassen insbesondere den Einsatz qualitativ hochwertiger Bauteile, gestaffelte Sicherheitsbarrieren, die mehrfache Ausführung und die Automation von Sicherheitssystemen, den Aufbau einer geeigneten Organisation mit qualifiziertem Personal sowie die Förderung eines ausgeprägten Sicherheitsbewusstseins (Art. 5 Abs. 1 KEG). Diese Anforderungen werden für Kernkraftwerke in den Art. 7-10 KEVkonkretisiert. Die Anlage muss so ausgelegt werden, dass nicht nur im Normalbetrieb, sondern auch bei Störfällen mit Ursachen innerhalb und ausserhalb der Anlage keine unzulässigen radiologischen Auswirkungen in der Umgebung der Anlage entstehen (Art. 7 lit. c sowie Art. 8 Abs. 1-3 KEV). Auslegungsstörfälle müssen deterministisch beherrscht werden in dem Sinne, dass dabei maximal die quellenbezogenen Dosisrichtwerte nach Art. 94 der Strahlenschutzverordnung vom 22. Juni 1994 (StSV; SR 814.501) resultieren (Art. 7 lit. c KEV). Dabei sind die Störfälle nach ihrer Häufigkeit in die Störfallkategorien 1, 2 oder 3 einzuteilen, für welche unterschiedliche Dosisrichtwerte gelten; für nichtberuflich strahlenexponierte Personen beträgt dieser Wert bei Störfällen der Kategorie 2 (Häufigkeit zwischen 10-2 und 10-4 pro Jahr) 1 mSv, für Kategorie 3 (Häufigkeit zwischen 10-4 und 10-6 pro Jahr) 100 mSv (Art. 8 Abs. 4 KEV; Art. 1 lit. a Gefährdungsannahmenverordnung; Art. 94 Abs. 2-5 StSV). Nebst diesen radiologischen Kriterien gelten allgemeine technische Kriterien (Art. 8 Gefährdungsannahmenverordnung) und zusätzlich für Kernkraftwerke mit Leichtwasserreaktoren besondere, je nach Störfallkategorie unterschiedliche technische Kriterien (Art. 9-11 Gefährdungsannahmenverordnung). Der Inhaber einer Betriebsbewilligung für einen Kernreaktor muss diesen ausser Betrieb nehmen und nachrüsten, wenn eines oder mehrere der folgenden technischen Kriterien erfüllt sind: Ereignisse oder Befunde zeigen, dass die Kernkühlung bei Störfällen nach Artikel 8, die Integrität des Primärkreislaufes oder des Containments nicht mehr gewährleistet ist (Art. 44 Abs. 1 KEV). Das Departement legt die Methodik und die Randbedingungen zur Überprüfung der Kriterien in einer Verordnung fest (Art. 44 Abs. 2 KEV). Das UVEK hat gestützt darauf die Verordnung vom 16. April 2008 über die Methodik und die Randbedingungen zur Überprüfung der Kriterien für die vorläufige Ausserbetriebnahme von Kernkraftwerken (Ausserbetriebnahmeverordnung; SR 732.114. 5) erlassen. Darin sind bestimmte Kriterien festgelegt, die zur Ausserbetriebnahme führen, insbesondere auch infolge von Alterungsschäden (Art. 4-8 Ausserbetriebnahmeverordnung).
11.5.2 Auslegungsüberschreitende Störfälle, d.h. Störfälle, bei denen radioaktive Stoffe in gefährdendem Umfang freigesetzt werden können (Art. 7 lit. d KEV; Art. 1 lit. b Gefährdungsannahmenverordnung), müssen nicht deterministisch beherrscht, sondern probabilistisch bewertet werden (Botschaft KEG, BBl 2001 2767; Art. 8 Abs. 5 KEV; Art. 12 Gefährdungsannahmenverordnung; vgl. auch SCHMOCKER/MEYER, a.a.O., S. 24 ff.). Dazu gehören durch Naturereignisse ausgelöste Störfälle mit einer Häufigkeit von weniger als 10-4 pro Jahr (Art. 5 Abs. 3 und 4 [e contrario] Gefährdungsannahmenverordnung). Mit probabilistischen Sicherheitsanalysen muss der Nachweis erbracht werden, dass die mittlere Kernschadenshäufigkeit gewisse festgelegte Werte nicht überschreitet: Bei neuen Kernkraftwerken darf sie höchstens 10-5 pro Jahr betragen (Art. 24 Abs. 1 lit. b KEV), bei bestehenden Kernkraftwerken 10-4 pro Jahr (Art. 12 Abs. 1 lit. a Gefährdungsannahmenverordnung).
11.5.3 Die dargelegten Anforderungen gewährleisten ein hohes Mass an Sicherheit, aber nicht ein Null-Risiko: Die Rechtsordnung schreibt Massnahmen vor, um die Folgen von auslegungsüberschreitenden Störfällen zu lindern (Art. 5 Abs. 2 und Art. 20 Abs. 1 lit. g KEG; Art. 7 lit. d KEV; Verordnung vom 20. Oktober 2010 über den Notfallschutz in der Umgebung von Kernanlagen [Notfallschutzverordnung, NFSV; SR 732.33]) und geht somit davon aus, dass solche vorkommen können; das Gesetz nimmt insoweit ein minimales Risiko auslegungsüberschreitender Störfälle in Kauf. Entsprechend dem ALARA-Prinzip ist indes dieses Risiko weiter zu reduzieren, aber nur soweit die Massnahmen angemessen sind (Art. 4 Abs. 3 lit. b KEG). Zusätzliche Sicherheitsmassnahmen sind immer denkbar, aber auch mit ihnen wäre ein Null-Risiko nie erreichbar. Dass Unfälle, bei denen radioaktive Stoffe freigesetzt werden, nicht mit absoluter Sicherheit ausgeschlossen werden können, kann somit entsprechend den dargelegten Rechtsgrundlagen kein Grund sein, um eine Bewilligung zu verweigern oder zu befristen. Soweit die Beschwerdegegner anzunehmen scheinen, dass jeder denkbare Störfall deterministisch beherrscht werden müsse und dass eine Bewilligung immer schon dann verweigert oder zumindest befristet werden müsse, wenn im ALARA-Bereich zusätzliche Sicherheitsmassnahmen zur Diskussion gestellt oder geprüft werden, läuft ihre Argumentation darauf hinaus, dass überhaupt nie (unbefristete) Bewilligungen für Kernkraftwerke erteilt werden könnten, was nicht der gesetzlichen Lage entspricht.
11.6 Eine analoge zweistufige Regelung gilt auch für die Anforderungen an Nachrüstungen (vgl. oben E. 10.1.1):
11.6.1 Nach Art. 22 Abs. 2 lit. g KEG ist eine Anlage einerseits so weit nachzurüsten, als dies nach der Erfahrung und dem Stand der Nachrüstungstechnik notwendig ist, und andererseits darüber hinaus, soweit dies zu einer weiteren Verminderung der Gefährdung beiträgt und angemessen ist. In der ersten Tatbestandsvariante sind Nachrüstungen zwingend; unterbleiben sie, ist der Stand von Wissenschaft und Technik (Art. 4 Abs. 3 lit. a KEG) und damit die nukleare Sicherheit als Bewilligungsvoraussetzung (Art. 20 Abs. 1 lit. d KEG) nicht mehr gegeben. Die zweite Tatbestandsvariante entspricht dem ALARA-Bereich (Art. 4 Abs. 3 lit. b KEG; oben E. 11.2): Darin sind Massnahmen anzuordnen, die über die zwingenden Sicherheitsanforderungen hinausgehen, allerdings nur, soweit sie angemessen, d.h. verhältnismässig, sind (vgl. oben E. 11.4 und 11.5.3). Diese Regelung steht entgegen der Auffassung der Beschwerdegegner auch im Einklang mit Art. 6 des Übereinkommens über nukleare Sicherheit, wonach vorhandene Kernanlagen dann abzuschalten sind, wenn dies notwendig ist und mit zumutbaren und praktisch möglichen Massnahmen eine Verbesserung nicht erreicht werden kann (vgl. Botschaft nukleare Sicherheit, BBl 1995 1350 f.).
11.6.2 Im Einzelnen sind verschiedene Fälle des Nachrüstens zu unterscheiden: Zustand und Sicherheit einer Anlage können sich im Laufe der Zeit gegenüber dem Anfangszustand verschlechtern (z.B. durch Alterung). In diesem Fall dienen Nachrüstmassnahmen dazu, die Verschlechterung zu kompensieren und das ursprüngliche Sicherheitsniveau beizubehalten oder wieder herzustellen. Unterbleiben solche Massnahmen und werden dadurch zwingende Anforderungen unterschritten, ist die Bewilligung zu entziehen (Art. 67 Abs. 1 lit. a KEG). Es kann aber auch sein, dass der Anlagezustand gleich geblieben ist, aber aufgrund neuer Erkenntnisse das Risiko höher ist als bisher angenommen, oder dass höhere Anforderungen an die Sicherheit gestellt werden, so dass auch ein bisher akzeptiertes Risiko als nicht mehr akzeptabel beurteilt wird (eingehend bereits OSSENBÜHL, a.a.O., S. 59 ff.). In diesen Fällen hat sich nicht der Zustand der Anlage verschlechtert, sondern der bisher genehmigte Anlagezustand wird als nicht mehr genügend eingestuft. Durch Nachrüstungen wird dann eine Verbesserung der Anlage bzw. ein gegenüber den ursprünglichen Anforderungen höherer Sicherheitsstandard erreicht (vgl. E. 10.1.2). In diesen Fällen kann nicht argumentiert werden, die Anlage habe bisher die Bewilligungsvoraussetzungen nicht erfüllt und werde widerrechtlich betrieben (oben E. 10.2.2). Vielmehr haben die Voraussetzungen geändert, und die Nachrüstungsanordnung ist eine nachträgliche neue Sicherheitsauflage. Deshalb kann nicht sogleich die Bewilligung entzogen werden, sobald die neuen Erkenntnisse oder Anforderungen vorliegen. Sofern nicht infolge unmittelbarer Gefahr die notwendigen Massnahmen sofort anzuordnen sind (Art. 72 Abs. 3 KEG), hat die Aufsichtsbehörde vielmehr im Rahmen ihrer Anordnungen (Art. 72 Abs. 2 i.V.m. Art. 22 Abs. 2 lit. g KEG) nach pflichtgemässem Ermessen für die Nachrüstung angemessene Fristen zu setzen (oben E. 10.2.3). Das gilt auch dann, wenn es um zwingende Nachrüstungen geht, und erst recht bei Nachrüstungsmassnahmen im ALARA-Bereich (vgl. E. 11.6.1).
11.7 Zusammenfassend rechtfertigt sich die streitige Befristung dann, wenn begründeter Anlass zur Annahme besteht, dass im Zeitpunkt des Fristablaufs (Ende Juni 2013) die Sicherheitsanforderungen (oben E. 11.2, 11.5.1 und 11.5.2) nicht mehr erfüllt sind und ihre Aufrechterhaltung auch mit den Mitteln der laufenden Aufsicht und mit Nachrüstungsmassnahmen (oben E. 10.2.2, 10.2.4 und 11.6) nicht sichergestellt werden kann (oben E. 10.3). Hingegen ist die Befristung nicht begründet, solange die Sicherheitsanforderungen erfüllt sind und angenommen werden kann, dass ihre Einhaltung durch die laufende Aufsicht oder durch Nachrüstungsmassnahmen gewährleistet bleibt (oben E. 10.3 und 10.4). Der Umstand, dass offene Fragen diskutiert, die Sicherheit dauernd überprüft und zusätzliche Massnahmen in Betracht gezogen oder angeordnet werden, rechtfertigt eine Befristung nicht (oben E. 10.7), wenn die zu prüfenden und allenfalls vorzunehmenden Massnahmen in der Zuständigkeit der Aufsichtsbehörden liegen (oben E. 10.2.4 und 10.5) und es dabei um Verbesserungen im ALARA-Bereich (oben E. 11.5.3) oder um eine Anpassung des Sicherheitsstandes an neue Erkenntnisse oder an nachträglich erhöhte Sicherheitsanforderungen geht (oben E. 11.6): Erfolgt die Nachrüstung innert der angesetzten Frist und kann damit den Sicherheitsanforderungen genügt werden, so besteht kein Grund für eine Befristung (oben E. 10.3). Werden die von der Behörde angeordneten Massnahmen trotz Mahnung nicht befolgt, so wird die Bewilligung entzogen, auch wenn sie nicht befristet war (Art. 67 Abs. 1 lit. b KEG). Die Befristung ist in diesen Fällen weder notwendig noch geeignet, um die Sicherheit zu gewährleisten. Das gilt auch in Bezug auf die Überprüfung, welche das ENSI nach den Ereignissen von Fukushima angeordnet hat: Aufgrund dieser Ereignisse musste die Auslegung der Kernkraftwerke überprüft werden (Art. 2 Abs. 1 lit. c Ausserbetriebnahmeverordnung). Das bedeutet aber nicht zwingend, dass die Grenze zwischen Auslegungsstörfällen und auslegungsüberschreitenden Störfällen neu gezogen werden müsste, wie die Beschwerdegegner geltend machen. Es liegt auf der Hand, dass bestimmte (Teil-)Ursachen, welche die Ereignisse in Fukushima bewirkt haben, in der Schweiz in dieser Form nicht vorkommen können (Tsunami). Andere Fragen werden möglicherweise zu weiteren Nachrüstanforderungen führen. Das kann aber aus den dargelegten Gründen nicht per se bedeuten, dass die Bewilligungsvoraussetzungen Mitte 2013 nicht mehr erfüllt sein werden, so dass die Bewilligung auf diesen Zeitpunkt hin zu befristen wäre.
Im Folgenden ist zu prüfen, ob sich die Vorinstanz bei ihrer Prüfung an die dargelegten Grundsätze gehalten hat.
Vorwurf der ungenügenden Prüfung durch das UVEK
Die Vorinstanz wirft dem UVEK vor, die Voraussetzungen für eine Befristung nicht selbständig geprüft zu haben.
12.1 Das UVEK prüfte im materiellen Teil seiner Verfügung vom 17. Dezember 2009 zunächst die Relevanz der Sicherheit und die Rolle der laufenden Aufsicht. Weiter führte es aus, es bestünden Gründe, um die politisch motivierte bisherige Befristung der Bewilligung wiedererwägungsweise aufzuheben, und prüfte, ob Gründe bestünden für eine erneute, sicherheitspolizeilich motivierte Befristung. Es legte zunächst die rechtlichen Anforderungen für eine Befristung dar und führte aus, die Aufsichtsbehörden hätten keine Einwände gegen die Erteilung einer unbefristeten Betriebsbewilligung, da nach ihrer Beurteilung die Voraussetzungen für einen sicheren Weiterbetrieb erfüllt seien; zudem könne das Ziel, langfristig den sicheren Betrieb zu gewährleisten, durch die laufende Aufsicht erreicht werden; es seien daher keine sachlichen Gründe für eine Befristung ersichtlich. Sodann führte das UVEK aus, es sei weiter zu prüfen, ob die Einsprechenden neue Aspekte vorbringen, die nicht bereits im Rahmen der laufenden Aufsicht geprüft wurden; sollte sich daraus ergeben, dass sicherheitsrelevante Aspekte vom ENSI nicht erkannt wurden und die sich daraus ergebenden Problemstellungen nicht im Rahmen der laufenden Aufsicht bewältigt werden können, wäre weiter die Frage der Befristung zu prüfen. Danach äusserte sich das UVEK auf rund zwanzig Seiten zu den Vorbringen der Einsprecher, namentlich auch zu den Aspekten, welche das Bundesverwaltungsgericht beanstandet hat: Zu den Rissen im Kernmantel erwog es gestützt auf die Beurteilungen durch die HSK und das ENSI, die Sicherheitsfunktion des Kernmantels sei trotz der Risse im Normalbetrieb und bei Auslegungsstörfällen gewährleistet. Zur Frage der Erdbebensicherheit wies es darauf hin, dass das ENSI aufgrund der verschärften Erdbebengefährdungsannahmen gefordert habe, die Probabilistische Sicherheitsanalyse in Bezug auf die Erdbebengefährdung zu überarbeiten und eine radiologische Störfallanalyse für das Sicherheitserdbeben ohne Unterstellung eines Einzelfehlers vorzunehmen. Die BKW habe inzwischen die verlangte Analyse eingereicht, wonach für das Sicherheitserdbeben eine Dosis von 0,63 mSv ausgewiesen werde. Das ENSI habe diese Analyse noch nicht abschliessend beurteilt, sei aber mit dem Vorgehen der Gesuchstellerin grundsätzlich einverstanden. Das Sicherheitserdbeben falle in die Störfallkategorie 3, womit eine Störfalldosis von 100 mSv zulässig sei. Die Dosis von 0,63 mSv erfülle zudem auch die Anforderung für Störfälle der Kategorie 2; das ALARA-Prinzip sei damit eingehalten. Sodann sei das Notfallsystem SUSAN gegen die Einwirkung eines Sicherheitserdbebens vollständig geschützt. Zusammenfassend folgerte das UVEK, die HSK sei in ihrer Sicherheitstechnischen Stellungnahme vom November 2007 zum Schluss gekommen, dass im KKW Mühleberg die Voraussetzungen für einen sicheren Weiterbetrieb erfüllt seien; im vorliegenden Verfahren sei das ENSI nach umfassender Beurteilung der vorgebrachten Argumente zum Schluss gekommen, dass die Einsprecher keine neuen Aspekte bezüglich der sicherheitstechnischen Beurteilung vorbringen. Eine erneute Befristung der Betriebsbewilligung erscheine daher weder erforderlich noch geeignet, um das Ziel eines sicheren Betriebs zu gewährleisten.
12.2 In der vom UVEK zu Grunde gelegten, rund 500-seitigen Stellungnahme der HSK von 2007 war diese zu folgendem Ergebnis gelangt (Sicherheitstechnische Stellungnahme zur Periodischen Sicherheitsüberprüfung des Kernkraftwerks Mühleberg, Zusammenfassungen, Ergebnisse und Bewertung, Würenlingen, November 2007 [HSK 11/1100], S. 11-13):
"Zusammenfassend kommt die HSK zum Ergebnis, dass im Kernkraftwerk Mühleberg ein hohes Mass an technischer und organisatorischer Sicherheitsvorsorge getroffen ist, dass die Anlage während der vergangenen 15 Jahre zuverlässig betrieben wurde und die Voraussetzungen für einen sicheren Weiterbetrieb erfüllt sind. Damit das [KKW Mühleberg] der Erfahrung und dem aktuellen Stand von Wissenschaft und Technik
noch besser entspricht, hat die HSK vom Betreiber sowohl in ihrer sicherheitstechnischen Stellungnahme 2002 wie in der vorliegenden Stellungnahme zur PSÜ 2005 verschiedene Verbesserungsmassnahmen (in der Stellungnahme 2002 als PSÜ-Pendenzen, in der vorliegenden Stellungnahme als HSK-Forderungen) gefordert. Die PSÜ-Pendenzen aus der sicherheitstechnischen Stellungnahme 2002 konnten inzwischen alle erledigt werden, soweit es sich um terminierte, nicht wiederkehrende Pendenzen handelt. Die Gründe für die in der vorliegenden Stellungnahme zur PSÜ 2005 geforderten Verbesserungsmassnahmen (siehe Zusammenstellung der Forderungen im Kapitel 11.3), die in den jeweiligen Kapiteln ausführlich dargelegt sind, stellen den sicheren Betrieb der Anlage nicht in Frage. Viele Verbesserungsmassnahmen betreffen die Vervollständigung von Nachweisen. Der Betreiber hat alle von der HSK geforderten Verbesserungsmassnahmen akzeptiert. Sie werden bis zu deren Abschluss durch die HSK im Rahmen ihrer Aufsichtstätigkeit verfolgt."
Im Verfahren vor dem UVEK hatte das ENSI eine 58-seitige Stellungnahme abgegeben (ENSI 11/1245), worin es zu den von den Einsprechern vorgebrachten Argumenten Stellung nahm (oben lit. A.d) und zusammenfassend zur Bewertung kam:
"Aufgrund seiner sicherheitstechnischen Stellungnahme kommt das ENSI zum Ergebnis, dass die Einsprachen keine neuen Gesichtspunkte bei der sicherheitstechnischen Beurteilung des Kernkraftwerks Mühleberg zeigen. Die in der Stellungnahme aus dem Jahr 2007 /31/(HSK 11/1100) festgehaltene Sicherheitsbewertung, dass im [KKW Mühleberg] ein hohes Mass an technischer und organisatorischer Sicherheitsvorsorge getroffen ist, bleibt unverändert gültig. Ebenso weiterhin unverändert gültig bleibt die Schlussfolgerung, dass die in /31/geforderten Verbesserungsmassnahmen den sicheren Betrieb der Anlage nicht in Frage stellen."
Diese Schlussfolgerung bestätigte das ENSI in seiner 36-seitigen Stellungnahme (ENSI 11/1286 Rev. 1), nachdem es die erneuten Eingaben der Einsprecher geprüft hatte.
12.3 Angesichts dieser Erwägungen in der Verfügung des UVEK vom 17. Dezember 2009 und der Stellungnahmen der fachtechnischen Aufsichtsbehörden ist der Vorwurf der Vorinstanz, das UVEK habe nicht hinreichend geprüft, ob die Voraussetzungen für eine Befristung erfüllt seien, offensichtlich unbegründet: Das UVEK hat vielmehr - wie auch die Beschwerdegegner anerkennen - die massgebenden Aspekte im Einzelnen und umfassend geprüft und die Vorbringen der Einsprecher mit der Beurteilung durch die Aufsichtsbehörden konfrontiert; es ist zu einem begründeten Ergebnis gekommen, dass und weshalb die Voraussetzungen für einen sicheren Weiterbetrieb erfüllt seien. Dass es sich dabei in Begründung und Ergebnis dem ENSI anschliesst, das sich seinerseits - wie die Beschwerdegegner ebenfalls anerkennen - umfassend mit den vorgebrachten Aspekten auseinandergesetzt hat, ist zulässig und angebracht (vgl. oben E. 9.2). Auf der Grundlage dieser Beurteilung ergab sich die Konsequenz einer grundsätzlich unbefristeten Betriebsbewilligung aus der vom UVEK zutreffend dargelegten Rechtslage, ohne dass es dazu einer noch ausführlicheren Begründung bedurft hätte. Offensichtlich unrichtig ist auch, wenn die Vorinstanz dem UVEK vorwirft, "allein auf die laufende Aufsicht zu vertrauen". Das UVEK hat die Sicherheitsfragen als Bewilligungsvoraussetzungen im aktuellen Zustand der Anlage beurteilt und darauf hingewiesen, dass zusätzlich der sichere Betrieb mit der laufenden Aufsicht "langfristig" gewährleistet werden könne (Verfügung des UVEK vom 17. Dezember 2009 [vgl. dazu BBl 2009 8874], Rz. 47, m.H. aufRz. 28 ff.). Das entspricht der gesetzlichen Konzeption (oben E. 10.2.2). Die Folgerung der Vorinstanz, die Beschwerden seien schon deshalb gutzuheissen, weil das UVEK die Befristung nicht eigenständig geprüft habe, ist rechtswidrig.
12.4 Daran ändert auch der Hinweis der Vorinstanz auf Art. 29a BV nichts: Die Rechtsweggarantie setzt voraus, dass eine Rechtsstreitigkeit vorliegt, d.h. eine Streitigkeit, die im Zusammenhang mit einer individuellen schützenswerten Rechtsposition steht; sie gibt aber keinen Anspruch darauf, dass jedermann jedes staatliche Handeln ungeachtet prozessualer Vorschriften auf seine Rechtmässigkeit hin überprüfen lassen kann (BGE 136 I 323 E. 4.3 S. 328 f.; Urteil 2C_348/2011 vom 22. August 2011 E. 3.4, in: sic! 2011 S. 673 ff.). So wenig wie bei allen anderen bewilligungspflichtigen Tätigkeiten kann beim Betrieb einer Kernanlage jedes spätere Handeln der Aufsichtsbehörden zum Thema der Betriebsbewilligung gemacht werden mit dem Argument, Dritte möchten darauf einwirken (vgl. Urteile 2C_122/2009 vom 22. September 2009 E. 3; 2C_803/2008 vom 21. Juli 2009 E. 4.3 und 4.4). Nicht im vorliegenden Verfahren zu überprüfen ist die Frage, ob und unter welchen Umständen Dritte aufgrund von Art. 25a VwVG ein aufsichtsrechtliches Handeln zum Thema eines Rechtsstreits machen oder gestützt auf Art. 67 KEG den Entzug einer Bewilligung beantragen können.
12.5 Zu prüfen bleibt, ob in der Sache die Voraussetzungen für eine Befristung erfüllt sind, d.h. ob die von der Vorinstanz beanstandeten Punkte ausreichend sind, um die Befristung zu rechtfertigen. Die Vorinstanz hat sich nicht im Einzelnen und konkret mit den technischen Fragen, mit der Beurteilung der Aufsichtsbehörden und des UVEK und den Argumenten der damaligen Beschwerdeführer auseinandergesetzt. Sie hat insoweit auch den Sachverhalt unvollständig festgestellt. Dieser kann jedoch durch das Bundesgericht - soweit notwendig - aufgrund der Akten vervollständigt werden (Art. 105 Abs. 2 BGG).
Instandhaltungskonzept
13.1 Die Vorinstanz vermisst ein umfassendes Instandhaltungskonzept. Sie begründet dies damit, es könne "jedenfalls davon ausgegangen werden, dass für die Behebung der genannten Mängel grosse Investitionen erforderlich [seien], die nur bei einer erheblichen Laufzeit des KKW wirtschaftlich sinnvoll sein dürften". Um eine gesamthafte Beurteilung der Situation überhaupt erst zu ermöglichen, sei ein umfassendes Instandhaltungskonzept erforderlich, das eine gesamthafte Beurteilung zulasse. Nach den Vorgaben der Vorinstanz hätte die BKW darin darzulegen, welche Massnahmen sie in welchem Zeitraum ergreifen möchte, damit die heute bekannten und allenfalls neu auftretenden Mängel behoben werden und der Betrieb auch längerfristig den Sicherheitsanforderungen genügt, welche Kosten damit verbunden wären und für welchen Zeitraum sie den Weiterbetrieb des KKW Mühleberg beantragt.
13.2 Die Vorinstanz nennt keine gesetzliche Grundlage, auf welche sie ihre Anforderungen stützt, und präzisiert nicht näher, was sie unter dem verlangten umfassenden Instandhaltungskonzept versteht. Auch die Beschwerdegegner beanstanden durchwegs, dass im Hinblick auf den beabsichtigten Langzeitbetrieb kein umfassendes Instandhaltungskonzept vorliege, legen aber nicht dar, gestützt auf welche Rechtsnormen ein solches Konzept vorgelegt werden soll bzw. inwiefern die bisherige Situation und Praxis den massgebenden Rechtsnormen widersprechen.
13.3 Wie dargelegt (vgl. oben E. 10.1.1), muss der Bewilligungsinhaber u.a. Massnahmen treffen, um seine Anlage in einem guten Zustand zu halten (Art. 22 Abs. 2 lit. c KEG). Dazu gehört die Instandhaltung aller sicherheitsrelevanten Teile. Art. 32 KEV konkretisiert diese Pflicht: Der Bewilligungsinhaber hat systematische Programme für die Instandhaltung der sicherheits- und sicherungsrelevanten Ausrüstungen zu erstellen und die festgelegten Massnahmen durchzuführen, insbesondere für die Wartung, die wiederkehrenden zerstörungsfreien Prüfungen und die wiederkehrenden Funktionsprüfungen (Abs. 1). Er hat bei festgestellten Abweichungen vom Sollzustand entsprechende Instandsetzungsarbeiten durchzuführen (Abs. 2). Für die Instandhaltung sind qualifizierte Verfahren, Ausrüstungen und qualifiziertes Personal einzusetzen (Abs. 3). Er hat die Ergebnisse der Instandhaltung zu dokumentieren und periodisch zu bewerten. Nötigenfalls hat er die Programme zu ergänzen (Abs. 4). Sodann muss der Bewilligungsinhaber während der ganzen Lebensdauer der Anlage systematische Sicherheits- und Sicherungsbewertungen durchführen (Art. 22 Abs. 2 lit. d KEG) und periodisch eine umfassende Sicherheitsüberprüfung vornehmen (lit. e). Art. 33 und 34 KEVkonkretisieren die systematischen Sicherheits- und Sicherungsbewertungen sowie die umfassende Sicherheitsüberprüfung (Periodische Sicherheitsüberprüfung, PSÜ), wozu u.a. eine Gesamtbewertung des Sicherheitsstatus gehört (Art. 34 Abs. 2 lit. e KEV).
13.4 Die BKW hatte im Jahre 2005 eine Periodische Sicherheitsüberprüfung vorgelegt, welche von der damaligen HSK im Jahre 2007 überprüft wurde mit der Folgerung, dass die Anlage hinreichend sicher sei (HSK 11/1100; vgl. oben E. 12.2). In diesem Rahmen prüfte die HSK - wie bereits früher - auch Instandhaltungsmassnahmen (vgl. Art. 32 KEV) sowie die Konzepte und Ergebnisse der Instandhaltung und Alterungsüberwachung (HSK 11/1100 Kap. 5.5; vgl. auch SCHMOCKER/MEYER, a.a.O., S. 15) und beurteilte die Schlüsselkomponenten der Anlage im Hinblick auf ihre Alterungsmechanismen und den Langzeitbetrieb, d.h. den über eine Betriebsdauer von 40 Jahren hinausgehenden Betrieb (HSK 11/1100 Kap. 10); sie ordnete ferner die Erarbeitung weiterer Instandhaltungskonzepte für einzelne Bereiche an, namentlich für den Kernmantel (HSK 11/1100 S. 10-11 und 11-19). Wie die Beschwerdegegner selber vorbringen, hat die BKW dem ENSI Ende 2010 eine weitere Sicherheitsüberprüfung (PSÜ 2010) eingereicht, die erneut durch das ENSI geprüft wird. Weder die Vorinstanz noch die Beschwerdegegner legen dar, dass und inwiefern diese von der Aufsichtsbehörde angeordneten Instandhaltungsmassnahmen und Sicherheitsüberprüfungen den gesetzlichen Anforderungen nicht genügen sollen. Soweit die Vorinstanz Bezug auf die "heute bekannten" Mängel nimmt, legt sie nicht dar, welche Mängel nicht bereits mit den genannten aufsichtsrechtlichen Massnahmen abgedeckt sind (abgesehen von drei konkreten Punkten, dazu hinten E. 14).
13.5 Soweit die Vorinstanz auf allenfalls neu auftretende Mängel Bezug nimmt, ist zu bemerken, dass ein Instandhaltungskonzept naturgemäss nur in Bezug auf Mängel erfolgen kann, die zumindest in ihrer Potenzialität heute bereits erkannt sind. Hingegen kann vernünftigerweise nicht verlangt werden, dass heute bereits alle zukünftigen Mängel bekannt sind und dagegen Massnahmen getroffen werden. Eine solche Anforderung ist aufgrund der naturgemässen Begrenztheit jeglichen menschlichen Wissens erkenntnistheoretisch unmöglich zu erfüllen und kann daher auch nicht verlangt werden. Möglich ist nur, nach dem besten verfügbaren aktuellen Wissen eine Beurteilung vorzunehmen und diese laufend aufgrund allfälliger neuer Erkenntnisse zu überprüfen. Gerade aus diesem Grund ist es nach der gesetzlichen Regelung Aufgabe der laufenden Aufsicht und der periodischen Sicherheitsüberprüfung, sicherzustellen, dass die jeweils neu auftretenden oder erkannten Umstände berücksichtigt werden (vgl. oben E. 10.2.2). Die dauernde Überprüfung und schrittweise Nachrüstung, welche die Vorinstanz als unbefriedigend betrachtet, ist der gesetzliche Normalzustand. Soweit die vorinstanzliche Betrachtung darauf hinausläuft, dass für die gesamte (verbleibende) Lebensdauer ein abschliessendes Sicherheits-Gesamtkonzept verlangt wird, das alle zukünftigen Sicherheitsfragen ein für allemal beantwortet, entspricht dies nicht der gesetzlichen Regelung (vgl. E. 10.1.3 und 10.2.2). Dass die Überprüfung der PSÜ 2010 durch das ENSI noch nicht vorliegt, ist kein Grund für eine Befristung (oben E. 10.3, 10.7 und 11.7).
13.6 Die Vorinstanz begründet ferner nicht, wie sie zur Annahme kommt, dass für die Behebung der (nicht näher bezeichneten) genannten Mängel grosse Investitionen erforderlich seien, die nur bei einer erheblichen Verlängerung der Laufzeit wirtschaftlich interessant sein dürften. Im angefochtenen Entscheid wird nicht einmal eine ungefähre Grössenordnung dieser Investitionen angegeben. Zudem ist es nicht eine von der Nuklearaufsicht oder der Bewilligungsbehörde zu beurteilende Frage, ob der Betrieb eines KKW wirtschaftlich interessant sei. Es liegt - vorbehältlich von Anordnungen der Behörden - in der Autonomie des Anlagebetreibers, ob und wann er seine Anlage ausser Betrieb nehmen will (Art. 27 BV). Dieser Entscheid hängt nicht nur von sicherheitstechnischen Aspekten ab, sondern auch von anderen, namentlich von wirtschaftlichen oder allenfalls politischen; diese Aspekte sind nicht durch die Nuklearaufsichtsbehörden zu überprüfen. Zwar hat die Aufsichtsbehörde bei der Anordnung von zusätzlichen Sicherheitsmassnahmen im ALARA-Bereich dem Verhältnismässigkeitsprinzip und mithin auch der wirtschaftlichen Tragbarkeit Rechnung zu tragen (Art. 22 Abs. 2 lit. g KEG; oben E. 11.2 und 11.6.1). Doch es ist Sache des Betreibers zu entscheiden, ob er die finanziellen Mittel aufbringen will, die für die Ausführung angeordneter Massnahmen erforderlich sind, oder ob er auf die Vornahme dieser Massnahmen verzichten und stattdessen die Anlage ausser Betrieb nehmen will, wenn er die dazu erforderlichen finanziellen Aufwendungen als wirtschaftlich nicht lohnend empfindet. Dieser Entscheid kann nicht Thema der kernenergierechtlichen Aufsicht sein. Ebenso wenig kann die Bewilligungsbehörde eine Bewilligung verweigern oder befristen mit der Begründung, die für die Sicherheit notwendigen Aufwendungen könnten möglicherweise für den Bewilligungsinhaber nicht lohnend sein. Unzutreffend ist deshalb auch die Auffassung der Beschwerdegegner, das gesamthafte Instandhaltungskonzept habe darzulegen, dass der Betreiber den unbefristeten Langzeitbetrieb mit wirtschaftlich vertretbaren Mitteln und einer erreichbaren Amortisation sicherstellen könne und wolle.
13.7 Unerfindlich ist schliesslich, inwiefern die Befristung, verbunden mit der Forderung nach einem gesamthaften Instandhaltungskonzept zur Rechts- und Investitionssicherheit beitragen soll, wie die Vorinstanz annimmt. Da die Befristung einerseits praktisch zu einer Betriebseinstellung auf Ende Juni 2013 führen würde und andererseits unklar ist, was mit dem umfassenden Instandhaltungskonzept genau gemeint ist, was mit hoher Wahrscheinlichkeit in Zukunft zu weiteren Rechtsstreitigkeiten führen wird, ergibt sich eine mehr oder weniger lange Phase, in welcher ungewiss ist, ob und wann das KKW Mühleberg wieder in Betrieb genommen werden kann. Das ist weder der Rechts- noch der Investitionssicherheit förderlich.
13.8 Soweit die Anforderungen der Vorinstanz über das hinausgehen, was die Aufsichtsbehörden im Rahmen der laufenden Aufsicht ohnehin schon verlangen (E. 13.4), haben sie keine gesetzliche Grundlage und vermögen die Befristung nicht zu rechtfertigen.
Einzelne Sicherheitsfragen
14.1 Zu prüfen bleibt, ob die von der Vorinstanz genannten drei konkreten offenen Sicherheitsfragen (vgl. oben E. 5.2.2) eine Befristung auf Mitte 2013 rechtfertigen. Es ist unbestritten, dass die Aufsichtsbehörde zu diesen drei Fragekreisen offene Fragen identifiziert und von der BKW dazu weitere Prüfungen und Massnahmen verlangt hat. Wie dargelegt (E. 11.7), rechtfertigt dies allein eine Befristung aber nicht. Die Vorinstanz hat sich nicht ansatzweise inhaltlich mit der Beurteilung durch das ENSI bzw. das UVEK auseinandergesetzt und nicht begründet, weshalb sie von dieser Beurteilung abweicht. Dies entspricht nicht dem Grundsatz, wonach ein Gericht von der Beurteilung einer fachkompetenten Fachstelle * nur aus triftigen Gründen abweichen soll* (vgl. oben E. 9.3). Die Vorinstanz hat insbesondere nicht begründet, weshalb die offenen Sicherheitsaspekte derart gewichtig sein sollen, dass ihre Behebung nicht durch die laufende Aufsicht gesichert werden könnte. Sie hat nicht geprüft, ob die angeordneten oder allenfalls noch anzuordnenden Massnahmen in den Zuständigkeitsbereich der Bewilligungs- oder der Aufsichtsbehörde fallen, ob sie zwingende Sicherheitsanforderungen oder den ALARA-Bereich betreffen und ob es sich um Massnahmen handelt, mit denen eine Verschlechterung der Anlage kompensiert werden, oder um solche, mit denen die Anlage an erhöhte Anforderungen angepasst werden soll. Diese Aspekte sind im Folgenden zu diskutieren, wobei auch die Rügen der Beschwerdeführer bezüglich Gehörsverletzung und offensichtlich unrichtiger Sachverhaltsfeststellung zu prüfen sind.
14.2 Kernmantel
14.2.1 Hinsichtlich der Kernmantelrisse hat sich die Vorinstanz auf das Gutachten der TÜVNORD EnSys GmbH vom Dezember 2006 gestützt und daraus gefolgert, es bestünden erhebliche Zweifel an der Sicherheit des heutigen Zustands des Kernmantels und diese Mängel liessen sich nicht ohne grösseren Aufwand beheben. Die Beschwerdeführer rügen, die gutachterliche Stellungnahme, auf welche sich die Vorinstanz stütze, basiere auf einem Szenario, welches nicht der Realität entspreche.
14.2.2 Die Rüge ist begründet: Das Gutachten führt aus:
"Für die in diesem Gutachten durchzuführende Bewertung sollen ein vollständiger Durchriss der horizontalen Schweissnähte am Kernmantel unterstellt sowie die Anforderungen an die Zugankerkonstruktion im Sinne einer abschliessenden Reparaturmassnahme beurteilt werden. Der Zustand, Zugankerkonstruktion und durchgerissene horizontale Schweissnähte, wird als Szenario lV bezeichnet."
In der Zusammenfassung wird unter "Begutachtungsumfang und Vorgehensweise" dargelegt:
"Erst beim Szenario IV ersetzen die Zuganker die Funktion der horizontalen Schweissnähte."
Die von der Vorinstanz zugrunde gelegte abschliessende Bewertung des Gutachtens führt einleitend aus:
"Durch den Kernmantel sind Sicherheitsfunktionen zu erfüllen. Die Sicherheitsfunktionen, die zurzeit durch den Kernmantel gewährleistet werden, sind bei Szenario lV durch die Kernmantel-Zugankerkonstruktion zu erfüllen."
Die von der Vorinstanz zitierte gutachterliche Folgerung, die Integrität der Zugankerkonstruktion könne nicht uneingeschränkt vorausgesetzt werden, beruht somit auf der Prämisse eines vollständigen Durchrisses der horizontalen Schweissnähte am Kernmantel und auf der Annahme, dass die Zuganker im Sinne einer abschliessenden Reparaturmassnahme für solche Durchrisse beurteilt werden. Die Vorinstanz hat selber auf die Mitteilung des ENSI vom 26. September 2011 auf dessen Homepage hingewiesen, wonach die zusätzlichen Sicherheitsnachweise für die Zuganker nur für den Fall angeordnet werden, dass die Gesamtrisslänge oder Einzelrisse so lang würden, dass die Zugankerkonstruktionen für den Erhalt der Sicherheitsfunktion notwendig wird. In dieser Stellungnahme wird auch - was die Vorinstanz nicht wiedergibt - ausgeführt, dass die Risse weniger tief als bisher angenommen und definitiv nicht wanddurchdringend sind und dass der Kernmantel trotz der vorhandenen Risse seine Funktion weiterhin erfüllt. Auch das Gutachten TÜVNORD, auf welches sich die Vorinstanz stützt, bezeichnet den gegenwärtigen Zustand (Zugankerkonstruktion und Risse) als Szenario III (vgl. dazu auch HSK 11/1100 S. 10-6 - 10-11) und führt aus:
"Im Szenario III, das den angerissenen Kernmantel mit eingebauter Zugankerkonstruktion beschreibt, dient diese als zusätzliche lastabtragende Konstruktion. Ein vollständiger Durchriss einer Schwei[ss]naht als Postulat ist im Szenario lll jedoch nicht zu unterstellen, da durch die wiederkehrenden Prüfungen an den Schwei[ss]nähten das Risswachstum verfolgt und die Annäherung an eine kritische Risslänge erkannt wird, so dass rechtzeitig betriebliche Ma[ss]nahmen eingeleitet werden können. Die Zugankerkonstruktion ist daher eine zusätzliche absichernde Ma[ss] nahme. Nach Aussage der Betreiberin /S 1-61/und der Expertise des TÜV Energie Consult /S 1-7/wurde in der Vergangenheit für die ungestörte Zugankerkonstruktion der Nachweis des Lastabtrages für das Lastkollektiv aus betrieblichen Lasten und Störfalllasten selbst bei einem Durchriss der mittleren Schwei[ss]naht geführt. lm Szenario III kann der Kernmantel noch alle zu betrachtenden Lastfälle ohne die Zugankerkonstruktion abtragen, so dass ein Versagen einer Zugankerkonstruktion aus diesem Grunde ebenfalls ohne signifikante Auswirkungen bleibt."
Diese gutachterliche Beurteilung des aktuellen Zustands entspricht derjenigen, welche die HSK in HSK 11/1100 (S. 10-4 ff.) gegeben hatte. Weder die Vorinstanz noch die Beschwerdegegner nennen Gründe, welche es rechtfertigen würden, von dieser fachlich abgestützten gutachterlichen Beurteilung abzuweichen. Die Zuganker erfüllen somit aktuell keine Sicherheitsfunktion; die Prämisse, auf welcher die von der Vorinstanz zitierte Schlussfolgerung des Gutachtens TÜVNORD beruht, ist damit nicht erfüllt.
14.2.3 Die Beschwerdegegner bestreiten die Angaben zur aktuellen Risslänge, die in der Beschwerde des UVEK wiederholt werden, als solche nicht, sondern basieren ihre ausführliche Kritik an der Zugankerkonstruktion auf Umstände, welche für das Szenario IV zutreffen mögen, aber nichts über den aktuellen Zustand aussagen. Soweit sie sich auf die Kriterien für die vorläufige Ausserbetriebnahme gemäss Art. 44 KEV bzw. der Ausserbetriebnahmeverordnung berufen, legen sie nicht dar, dass und inwiefern eines dieser Kriterien erfüllt sein soll. Selbst wenn davon auszugehen wäre, dass der Kernmantel zu den druckführenden mechanischen Ausrüstungen der Sicherheitsklasse 1 gehört (was nach der Darlegung des ENSI nicht zutrifft), wäre das Ausserbetriebnahmekriterium von Art. 5 Abs. 2 Ausserbetriebnahmeverordnung (wanddurchdringende Risse) nach der dargelegten fachlichen Beurteilung nicht erfüllt.
14.2.4 Fehl geht die Argumentation der Beschwerdegegner, es wäre unerklärlich, weshalb das ENSI denn überhaupt ein Gutachten zum Szenario IV eingeholt habe, wenn es irrelevant sein soll. Es ist sinnvoll, Szenarien zu prüfen für den (in Zukunft eventuell eintreffenden) Fall, dass die Risse wanddurchdringend werden. Das heisst aber nicht, dass die für dieses Szenario zutreffenden Folgerungen auch bereits in einem Zustand massgebend sind, in dem dies nicht zutrifft. Deshalb muss dieses Szenario, das aktuell nicht vorliegt, auch nicht deterministisch beherrscht werden. Das ENSI bzw. bereits die frühere HSK hat zwar die Zuganker nicht als Lösung für den Langzeitbetrieb akzeptiert (HSK 11/1100 S. 10-8 ff.). Solange die Zuganker noch keine Sicherheitsfunktion wahrnehmen, ist dies eine zusätzliche Vorsorgemassnahme im ALARA-Bereich und vermag eine Befristung auf Ende Juni 2013 nicht zu rechtfertigen (vgl. oben E. 11.5.3 und 11.6.2). Es genügt, mittels der laufenden Aufsicht die Situation zu beurteilen und gegebenenfalls aufsichtsrechtlich zu intervenieren, falls die Zuganker dereinst eine Sicherheitsfunktion zu übernehmen haben sollten, der sie nicht gewachsen sind. Nötigenfalls wäre allenfalls der Kernmantel zu ersetzen. Ob dies durch Freigabe der Aufsichtsbehörde angeordnet werden kann oder ob dazu eine Bewilligung nötig wäre, braucht nicht jetzt entschieden zu werden. Offensichtlich unbegründet ist jedenfalls das Vorbringen der Beschwerdegegner, dafür wäre eine erneute Rahmenbewilligung erforderlich, werden doch durch den Austausch des Kernmantels die im Rahmenbewilligungsgesuch festzulegenden Elemente von Kernreaktoren, deren Änderung einer Rahmenbewilligung bedürfte (Art. 14 Abs. 2 lit. a und Art. 65 Abs. 1 KEG), nicht geändert.
14.2.5 Es ist willkürlich, wenn die Vorinstanz ihre Folgerung, wonach erhebliche Zweifel an der Sicherheit "des heutigen Zustandes" des Kernmantels bestehen, auf gutachterliche Schlussfolgerungen abstellt, welche auf Prämissen beruhen, die aktuell unbestritten nicht vorliegen. Der Kernmantel und die Zugankerkonstruktion stellten somit entgegen der Auffassung der Vorinstanz im heutigen Zustand keine offene Sicherheitsfrage dar, die nicht mit der laufenden Aufsicht kontrolliert werden könnte, und es besteht kein Grund zur Annahme, dass sich dies ab Mitte 2013 ändert. Die Befristung der Bewilligung lässt sich damit nicht begründen (vgl. E. 11.7).
14.3 Erdbebengefährdung
14.3.1 Die Vorinstanz begründet ihre Annahme, es seien bezüglich der Erdbebengefährdung bedeutsame sicherheitsrelevante Fragen offen, einerseits mit einem von den heutigen Beschwerdegegnern am 5. Dezember 2011 eingereichten Bericht zur Erdbebensicherheit aus dem Jahre 2011 (GHANAAT/HASHIMOT/ZUCHUAT/KENNEDY, Seismic fragility of Mühleberg dam using nonlinear analysis with latin hypercube simulation, publiziert im Rahmen einer Konferenz der U.S. Society on Dams, 21st Century Dam Design - Advances and Adaptations, 31st Annual USSD Conference, San Diego, California, April 11-15, 2011), andererseits damit, dass die HSK in ihrem Bericht von 2007 (HSK 11/1100) sowie das ENSI nach den Ereignissen von Fukushima Überarbeitungen der seismischen Beurteilung verlangt hätten, dass aber die vom ENSI geforderten Nachweise von diesem noch nicht beurteilt seien.
14.3.2 Vorab ist dazu festzuhalten, dass mit der damit angesprochenen Erdbebengefährdung das KKW Mühleberg nicht direkt bedroht wird, sondern dadurch, dass die oberhalb des KKW Mühleberg gelegene Staumauer des Wohlensees brechen könnte und dadurch das KKW Mühleberg überflutet würde. Die Stauanlagen unterliegen ebenfalls einer Sicherheitsaufsicht und müssen gegen Erdbebengefährdung ausgelegt sein (Art. 3bis Wasserbaupolizeigesetz [AS 1953 950 f.]; Stauanlagenverordnung [SR 721.101.1], v.a. Art. 3 Abs. 1 und Art. 17 Abs. 1 sowie Art. 21). Sollte die Erdbebensicherheit der Wohlenseestaumauer ungenügend sein, so hätten aufgrund des Störerprinzips (BGE 136 I 1 E. 4.4.3 S. 11; BGE 122 II 65 E. 6a S. 70; BGE 118 Ib 407 E. 4c S. 414 f.; TSCHANNEN/ZIMMERLI/MÜLLER, a.a.O., S. 523 f.) die Sicherheitsmassnahmen in erster Linie beim Wasserkraftwerk anzusetzen. Dessen ungeachtet wurde die Erdbebensicherheit der Stauanlage Wohlensee seit je in die Sicherheitsbeurteilung des KKW Mühleberg einbezogen.
Die Vorinstanz geht - mit Recht - nicht davon aus, es seien tatsächliche Veränderungen eingetreten, welche das Erdbebenrisiko objektiv erhöht hätten. Fraglich ist bloss, ob dieses Risiko nach heutigen Erkenntnissen höher ist als früher angenommen. Anders als in Bezug auf die Frage des Kernmantels geht es hier somit nicht um Aspekte der Anlagenalterung, sondern um einen Fall der nachträglichen Anpassung der Anlage an geänderte Erkenntnisse (vgl. E. 11.6.2). Es ist unbestritten, dass das ENSI im Nachgang der Ereignisse in Fukushima zusätzliche Nachweise zur Erdbebensicherheit verlangt hat, dass aber im Zeitpunkt des angefochtenen Urteils diese Nachweise noch nicht vorlagen und vom ENSI deshalb auch nicht geprüft worden sind. Dies kann aber für sich allein eine Befristung nicht rechtfertigen. Massgebend ist, ob ohne diese Nachweise die Sicherheitsanforderungen (E. 11.5.1 und 11.5.2) erfüllt sind oder nicht.
14.3.3 In der von der Vorinstanz nur sehr selektiv zitierten Stellungnahme der HSK vom November 2007 (HSK 11/1100) war diese zur Gesamtbeurteilung gekommen, dass die Voraussetzungen für einen sicheren Weiterbetrieb erfüllt seien; damit die Anlage der Erfahrung und dem aktuellen Stand von Wissenschaft und Technik noch besser entspreche, habe sie aber vom Betreiber verschiedene Verbesserungsmassnahmen gefordert. Die Gründe für diese Forderungen stellten aber den sicheren Betrieb der Anlage nicht in Frage (S. 11-13). Diese Verbesserungsvorschläge betrafen u.a. die Erdbebensicherheit. Die HSK war zum Ergebnis gekommen, der deterministische Sicherheitsnachweis (d.h. die Einhaltung der Dosisgrenzwerte gemäss StSV) für alle Auslegungsstörfälle sei erbracht, auch für das bisher geltende Sicherheitserdbeben, wobei dieses in die Störfallkategorie 3 klassiert wurde, sodass der Grenzwert von 100 mSv galt (S. 7-75 ff., 11-11; vgl. oben E. 11.5.1). Mit dem Projekt PEGASOS seien neue Grundlagen zur standortspezifischen Erdbebengefährdung erarbeitet worden (S. 6-4), womit sich ergebe, dass das der Auslegung zugrunde gelegte Erdbeben mit einer höheren Häufigkeit auftrete als bisher angenommen. Auch mit diesen verschärften Annahmen sei aber die Einordnung des Sicherheitserdbebens in die Störfallkategorie 3 unter Berücksichtigung eines Einzelfehlers korrekt. Für den Störfall ohne Berücksichtigung eines Einzelfehlers sei der Nachweis noch zu erbringen (S. 7-43 f., 11-11, 11-14 Forderung 11).
14.3.4 Das UVEK hat in seiner Verfügung vom 17. Dezember 2009 erwogen, die geforderte Analyse sei inzwischen eingereicht und ergebe eine Dosis von 0,63 mSv, womit die Anforderungen auch für die Störfallkategorie 2 eingehalten seien. Das ENSI habe diese Analyse noch nicht abschliessend beurteilt, sei aber mit dem Vorgehen der BKW grundsätzlich einverstanden. Da der Betriebszustand, der zu höheren Dosen als 1 mSv führen könnte, nur an 10 Tagen pro Jahr zulässig sei, sei die Eintretenswahrscheinlichkeit kleiner als 10-4 /J, womit das Szenario in die Störfallkategorie 3 gehöre. Diese Beurteilung ist einleuchtend. Auf dieser Grundlage ist mit der von der BKW errechneten Dosis von 0,63 mSv der massgebende Grenzwerte von 100 mSv (Art. 94 Abs. 5 StSV) mit einer sehr hohen Sicherheitsmarge eingehalten; er würde nur überschritten, wenn die Analyse der BKW um ca. Faktor 160 zu tief wäre. Solches wird von keiner Seite dargelegt.
14.3.5 In Bezug auf auslegungsüberschreitende Störfälle ist der Stellungnahme der HSK von 2007 zu entnehmen, dass die von der BKW ermittelte Kernschmelzhäufigkeit bei ca. 1,2 x 10-5 /J liegt, wovon der Anteil des Erdbebens 4,77 x 10-6 /J oder 40,2 % beträgt (S. 8-28). Diese PSA (Probabilistische Sicherheitsanalyse [vgl. Art. 33 Abs. 1lit. a KEV]) vermochte jedoch die HSK namentlich in Bezug auf die seismische Komponente nicht zu überzeugen, weshalb sie eineÜberarbeitung bis 31. Dezember 2008 verlangte (HSK 11/1100 S. 8-22 - 8-25, 8-28 - 8-31, 8-54 f., 11-12, 11-17 lit. h). Dabei ist allerdings zu bemerken, dass eine erhebliche Sicherheitsmarge besteht: Selbst wenn die Wahrscheinlichkeit einer seismisch verursachten Kernschmelzhäufigkeit zehnmal höher wäre als von der BKW angenommen (sie also 4,77 x 10-5 /J wäre), wäre die gesamte Kernschmelzhäufigkeit mit rund 5,5 x 10-5 /J immer noch unter dem Grenzwert von Art. 12 Abs. 1 lit. a Gefährdungsannahmenverordnung. Die heutigen Beschwerdegegner haben selber im Verfahren vor dem UVEK eine Kernschmelzhäufigkeit infolge Erdbebens von 4,8 x 10-6 /J geltend gemacht; im Verfahren vor der Vorinstanz haben sie eine Studie eingelegt, wonach sich die Erdbebenkernschadenshäufigkeit gegenüber den früheren Annahmen ungefähr verdreifacht habe und die Gesamtkernschadenshäufigkeit 2,48 x 10-5 /J betrage. Auch damit wäre der Grenzwert deutlich eingehalten. Die Kritik der Beschwerdegegner beruht auf der unzutreffenden (vorne E. 11.5.3) Annahme, dass für jeden denkbaren Fall ein deterministischer Sicherheitsnachweis erbracht werden müsse.
14.3.6 In Bezug auf die Überflutung ergibt sich aus der PSÜ, dass die Anlage auf eine Überflutung von 6 Metern ausgelegt sei (HSK 11/1100 S. 7-45 f.). Im Rahmen der Prüfung auslegungsüberschreitender Störfälle war die BKW davon ausgegangen, dass bei einem Bruch der Wohlenseestaumauer eine Überflutung des Kraftwerkareals von 3,8 m erfolgen könne, wobei davon ausgegangen wurde, dass ein komplettes Versagen der Staumauer ausgeschlossen werden könne. Diese Annahme erschien der HSK zu optimistisch, weshalb sie die Forderung aufstellte, die verschiedenen Versagensmechanismen seien mit modernen Mechanismen zu analysieren und die Unfallablaufmodellierung detailliert im PSA-Modell zu implementieren (HSK 11/1100 S. 8-27, 11-17 Forderung j).
14.3.7 Die Vorinstanz zitiert den erwähnten Bericht zur Erdbebensicherheit (vgl. E. 14.3.1) mit der Aussage, die Wohlenseestaumauer halte einem 10'000-jährlichen Erdbeben nur mit einer Wahrscheinlichkeit von 1 zu 15 stand (angefochtener Entscheid E. 5.3.1.2). Das UVEK rügt, die Vorinstanz habe diesen Bericht falsch zitiert. Der Vorwurf trifft zu: In Wirklichkeit sagt der Bericht das Gegenteil, nämlich dass die Staumauer dem 10'000-jährlichen Erdbeben mit einer Wahrscheinlichkeit von 14 zu 15 standhält. Dies ist entgegen der Auffassung der Beschwerdegegner nicht irrelevant: Es bedeutet nämlich, dass das Szenario "Bruch der Staumauer infolge eines 10'000-jährlichen Erdbebens" nur mit einer Wahrscheinlichkeit von 6,7 x 10-6 (1/15 x 10-4 /J) pro Jahr zu erwarten ist. Das Szenario muss damit probabilistisch bewertet werden, während es für den (deterministischen) Nachweis des ausreichenden Schutzes nicht berücksichtigt werden muss (Art. 5 Abs. 3 und 4 Gefährdungsannahmenverordnung; oben E. 11.5.2).
14.3.8 Im Gefolge von Fukushima wurden weitere Überprüfungen vorgenommen, wie das rechtlich vorgeschrieben ist (Art. 2 Abs. 1 lit. c Ausserbetriebnahmeverordnung). Daraus kann jedoch nicht gefolgert werden, der bisherige Zustand der Anlage erfülle die Bewilligungsvoraussetzungen nicht. Wird sich aufgrund dieser Überprüfung erweisen, dass die Anforderungen an die Erdbebensicherheit aufgrund neuer Erkenntnisse nicht erfüllt sind, so wird eine angemessene Frist für die Nachrüstung anzuordnen sein (vgl. E. 11.6.2). Kann oder will der Betreiber diese Nachrüstung nicht vornehmen, so wird die Bewilligung zu entziehen sein, unabhängig davon, ob sie jetzt befristet ist oder nicht. Wird sich hingegen erweisen, dass die Anforderungen erfüllt sind oder mit Nachrüstungen erfüllt werden können, so besteht kein Grund für eine Befristung. Die allfälligen Mängel können somit durch aufsichtsrechtliche Mittel behoben werden, so dass sich eine Befristung nicht rechtfertigt.
14.4 Kühlung
14.4.1 Die Vorinstanz führt aus, die Kühlung des KKW Mühleberg sei zurzeit ungenügend abgesichert; also lägen auch diesbezüglich ungeklärte sicherheitsrelevante Aspekte vor, deren Behebung nicht durch die laufende Aufsicht gesichert werden könne. Zur Begründung führt sie aus, es sei schon seit 1990/1991 bekannt, dass keine alternative Kühlung bestehe, falls die Kühlung durch die Aare versage. Das ENSI habe dies nach den Ereignissen von Fukushima beanstandet und alle KKW aufgefordert, bis zum 31. August 2011 Massnahmen vorzuschlagen, wie die genannten Schwachstellen behoben werden sollen. Die BKW rechne damit, nach Freigabe des Konzepts 36 Monate für dessen Realisierung zu benötigen.
14.4.2 Es ist unbestritten, dass das KKW Mühleberg über das Notstandssystem SUSAN verfügt, welches nach einer Betriebsstörung oder einem Störfall die Wärmeabfuhr sicherstellen soll, und dass auch für das Notstandssystem die Aare als Kühlmittelversorgung dient. In der von der Vorinstanz erwähnten, aber nur sehr selektiv wiedergegebenen Verfügung des ENSI vom 5. Mai 2011 führt dieses aus, die Kühlmittelversorgung für das Notstandssystem sei infolge der Konstruktion und der grossen räumlichen Verteilung der Ein- und Auslaufwerke genügend gegen Verstopfung oder Verunreinigung geschützt. Es kommt zum Ergebnis, dass keine kurzfristige Massnahme notwendig sei, da das KKW Mühleberg mit dem Notstandssystem über eine Sicherheitseinrichtung verfüge, die für die Auslegungsstörfälle Erdbeben und Überflutungen einen ausreichenden Schutz böten. Im Sinne der Vorsorge seien jedoch Vorkehren zu treffen, die zu einer weiteren Verminderung der Gefährdung beitragen könnten, soweit sie angemessen seien. Deshalb sei die Forderung nach einer von der Aare diversitären und verstopfungssicheren Kühlwasserversorgung entsprechend Art. 4 Abs. 3 lit. b KEG gerechtfertigt. Nach der Beurteilung des ENSI, auf welche die Vorinstanz abstellt, ist somit die diversitäre Kühlwasserversorgung nicht eine zwingende Sicherheitsanforderung, sondern ein Element der Vorsorge im ALARA-Bereich. Die Vorinstanz nennt kein Argument, welches eine Abweichung von dieser Beurteilung durch die Fachbehörde begründen könnte. Der Bericht von Dipl.-Ing. A., auf den sich die Beschwerdegegner berufen, befürchtet einen Ausfall der Notsysteme für den Fall eines Bruchs der Wohlenseestaumauer. Das befürchtete Szenario kann daher keine höhere Wahrscheinlichkeit haben als dieser Staumauerbruch und es gilt dasselbe wie für diesen (dazu E. 14.3.7). Die Vorinstanz legt nicht dar, dass und inwiefern bei der bisherigen Konfiguration der Anlage die grundlegenden Schutzziele (Art. 1 lit. d sowie Art. 2 der Gefährdungsannahmenverordnung) oder der Stand der Nachrüsttechnik (Art. 22 Abs. 2 lit. g KEG) nicht eingehalten sein sollen. Das wird auch von den Beschwerdegegnern nicht belegt.
14.4.3 Selbst wenn dies der Fall sein sollte, könnte damit eine Bewilligungsbefristung bzw. Ausserbetriebnahme des KKW Mühleberg auf Ende Juni 2013 nicht begründet werden. Wie mehrfach dargelegt, kann aus dem Umstand allein, dass die Aufsichtsbehörde die Prüfung oder Vornahme zusätzlicher Massnahmen anordnet, noch nicht gefolgert werden, dass die Anlage bisher die Sicherheitsanforderungen nicht erfüllt hätte. Nachdem gemäss den Feststellungen der Vorinstanz der angebliche Mangel seit mehr als zwanzig Jahren bekannt ist, geht es bei den angeordneten Massnahmen nicht darum, eine Verschlechterung des Sicherheitszustands zu beheben oder die Anlage neuen Erkenntnissen anzupassen, sondern darum, dass die Behörden einen bisher als genügend sicher beurteilten Zustand heute anders bewerten und deshalb eine Nachrüstung anordnen. Dafür ist eine angemessene Frist einzuräumen, sofern nicht unmittelbare Gefahr droht (dazu E. 10.2.3 und 11.6.2). Wie die Vorinstanz selber festgestellt hat und auch seitens der Beschwerdegegner nicht bestritten ist, hat das ENSI eine von der Aare unabhängige Kühlmittelversorgung bereits verlangt. Das belegt, dass die laufende Aufsicht durch das ENSI ein geeignetes Instrument ist, um die verschärfte Sicherheitsanforderung durchzusetzen. Es gibt keinen Grund zur Annahme, dass die BKW diesen Anforderungen nicht nachleben wird. Es ist unerfindlich, wie die Vorinstanz zur Auffassung kommt, der Mangel könne nicht durch die laufende Aufsicht behoben werden.
14.4.4 Die Beschwerdegegner kritisieren, dass das ENSI für die provisorischen Nachrüstmassnahmen Accident Management Massnahmen berücksichtigt habe. Dies ist jedoch nicht unzulässig: Art. 8 Abs. 5 i.V.m. Art. 7 lit. d KEV sieht im Gegenteil ausdrücklich vor, dass für die probabilistische Beurteilung auslegungsüberschreitender Störfälle auch vorbeugende und lindernde Vorkehren im technischen, organisatorischen und administrativen Bereich berücksichtigt werden können. Nach Art. 10 Abs. 1 lit. f KEV müssen Sicherheitsfunktionen derart automatisiert werden, dass bei Störfällen keine sicherheitsrelevanten Eingriffe des Personals innerhalb der ersten 30 Minuten nach dem auslösenden Ereignis erforderlich werden. E contrario darf zur Beherrschung von Störfällen auf spätere Eingriffe des Personals abgestellt werden.
14.5 Weitere Aspekte
Die Beschwerdegegner führen in ihrer Vernehmlassung eine Anzahl weiterer angeblicher Mängel auf, die sie teilweise bereits vor der Vorinstanz erwähnt hatten. Die Vorinstanz ist auf diese Vorbringen nicht im Detail eingegangen. Es erübrigt sich auch im Verfahren vor Bundesgericht, im Einzelnen darauf einzugehen: Die Beschwerdegegner legen nämlich nicht dar, dass und inwiefern diese gerügten Mängel nach den dargelegten Grundsätzen (E. 11.7) eine Befristung rechtfertigen würden.