Modul 1 - Kerntechnisches Regelwerk - Gesellschaft für Anlagen ...

Gesellschaft für AnlagenundReaktorsicherheit(GRS) mbH- Textmodul -„Sicherheitsanforderungenfür Kernkraftwerke:GrundlegendeSicherheitsanforderungen“Revision BENTWURFDieser Bericht ist im Auftrag desBMU im Rahmen des VorhabensSR 2475 erstellt worden. Die Arbeitendes Vorhabens SR 2475 werdenin Teams durchgeführt. Dervorliegende Bericht gibt die gemeinsamenArbeitsergebnisse desTeams 1 „Grundlagenpapier“ wieder.Die Mitglieder des Teams 1 sind:R. Donderer, Physikerbüro Bremen*U. Erven, GRSDr. U. Jendrich, GRSS. Kurth, Öko-InstitutH. Liemersdorf, GRSDr. M. Maqua, GRSDr. habil. M. Mertins, GRS*E. Piljugin, GRSDr. M. Sogalla, GRSA. Voswinkel, GRS* TeamleiterSeptember 2006Auftrags-Nr.: 813071Anmerkung:Der Auftraggeber behält sich alleRechte vor. Insbesondere darf dieserBericht nur mit seiner Zustimmungzitiert, ganz oder teilweisevervielfältigt werden bzw. Drittenzugänglich gemacht werden.Der Bericht gibt die Auffassung undMeinung des Auftragnehmers bzw.der Unterauftragnehmer wieder undmuss nicht mit der Meinung desAuftraggebers übereinstimmen.

E N T W U R FModul 1, Rev. B: Synoptische Darstellung• Modul 8 „Sicherheitsanforderungen für Kernkraftwerke:Anforderungen an das Sicherheitsmanagement“• Modul 9 „Sicherheitsanforderungen für Kernkraftwerke:Anforderungen an den Strahlenschutz“• Modul 10 „Sicherheitsanforderungen für Kernkraftwerke:Anforderungen an die Auslegung und den sicheren Betrieb von baulichenAnlagenteilen, Systemen und Komponenten“• Modul 11 „Sicherheitsanforderungen für Kernkraftwerke:Anforderungen an die Handhabung und Lagerung der Brennelemente“Die vorangegangenen Entwürfe der Regeltextmodule Rev. A sind seit September 2005im Internet (http://regelwerk.grs.de) verfügbar und wurden u. a. in Workshops, die vom23. Januar bis 3. Februar 2006 im BMU durchgeführt wurden, zur Diskussion gestellt.Alle bis Ende Februar 2006 zur Rev. A der Regeltextmodule eingegangenen Kommentaresowie die Hinweise aus den Workshops wurden bei der Erstellung der Rev. Bausgewertet.Die vorliegende Unterlage des Regeltextmoduls in der Fassung Rev. B enthält dementsprechendin synoptischer Darstellung die Ergebnisse der Auswertung aller zumModul 1 „Sicherheitsanforderungen für Kernkraftwerke: Grundlegende Sicherheitsanforderungen“übermittelten Kommentare und Hinweise aus den Workshops. Zur besserenLesbarkeit ist Rev. B von Modul 1 in einen Fließtext umgesetzt worden. Rev. B vonModul 1 ist wiederum im Internet unter http://regelwerk.grs.de verfügbar.II

E N T W U R FModul 1, Rev. B: Synoptische DarstellungGliederungGrundsätze1 Organisatorische AnforderungenGrundlagen der Sicherheit1.1 Sicherheitsmanagement1.2 Qualitätssicherung1.3 Erfahrungsrückfluss und Informationspflichten des Betreibers2 Technisches Sicherheitskonzept2.1 Konzept der gestaffelten Sicherheitsebenen2.2 Konzept des gestaffelten Einschlusses der radioaktiven Inventare(Barrierenkonzept)2.3 Konzept der gGrundlegenden Sicherheitsfunktionen (Schutzziele)2.4 Radiologische Sicherheitsziele3. Übergreifende technische Anforderungen3.1 Generelle Anforderungen3.2 Leittechnik3.3 Warten3.4 VersorgungsfunktionenElektrische Energieversorgung3.5 Strahlenschutz4. Anforderungen zur Kontrolle der Reaktivität5. Anforderungen zur Kühlung der Brennelemente6. Anforderungen zum Erhalt der Barrierenintegrität7. Zu berücksichtigende Betriebszustände und Ereignisse7.1 Betriebszustände, Störungen und Störfälle7.2 Übergreifende Einwirkungen von Iinnen (EVI) und von Aaußen (EVA)7.3 Notstandsfälle7.4 Ereignisse mit Mehrfachversagen von Sicherheitseinrichtungen7.5 Unfälle mit schweren Kernschäden8 Anforderungen an Dokumentation und NachweisführungIII

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1- Soll das Regelwerk quasi einen Neuanlagenstandard beschreiben, obwohlin Deutschland ein Neubauverbot besteht?Diese Fragen sind praktisch unbeantwortet geblieben.2. Änderung der SicherheitsphilosophieIn diesem Zusammenhang erinnern wir an die Verständigung der EVU mitder Bundesregierung vom 11. 06.2001, mit der sich die Bundesregierungverpflichtet hat, Sicherheitsstandards und die diesen zugrunde liegendeSicherheitsphilosophie nur dann zu ändern, wenn denn dieses aufgrundvon neuen Erkenntnissen geboten ist. Nicht zulässig sind danach Änderungender Sicherheitsstandards aufgrund lediglich einer neuen Bewertung(Änderung der Sicherheitsphilosophie).Die bisherige Sicherheitsphilosophie spiegelt sich vor allem in den sog.BMI-Sicherheitskriterien und BMI-Störfallleitlinien wieder. Diese behöFrdlicheSicherheitsphilosophie ist seinerzeit auf Bundesebene zentralfestgelegt worden, damit das Restrisiko irn Bundesgebiet einheitlich bewertetwird (vergl. Schattke ATW, 8/9 1988). Es sind gerade die erwähntenSicherheitskriterien und Störfallleitlinien, die nun geändert werdensollen.--Änderungen der Sicherheitsphilosophie sind nicht nur durch die Verständigungausgeschlossen, sondern die bestehenden Kernkraftwerke sindhiergegen auch durch das Atomgesetz geschützt (Bestandschutz), datrotz der Änderung der Sicherheitsphilosophie die in den Anlagen realisierte„nach Stand von Wissenschaft und Technik erforderliche Vorsorgegegen Schäden'' weiterhin gegeben ist.Bei der Durchsicht der vorliegenden Textentwürfe drängt sich uns jedochauf, dass ein Großteil der geänderten Anforderungen nun gerade nichtdurch neue Erkenntnisse begründbar ist (Dies ist im Einzelnen beispielhaftin der Anlage erläutert). Vielmehr werden allen bisher etabliertenSicherheitsebenen verschärfende Forderungen aufgebürdet.3. Internationale PraxisIhr Haus hat dargelegt, dass als Messlatte für den Anpassungsbedarf eininternationaler Vergleich genommen werden soll. Dies ist in der von Ihnenveröffentlichten Studie der Kienbaum Management Consultants GmbH,,Zukunftsfähigkeit der Bundesauftragsverwaltung im Bereich des Atomrechts"beschrieben:„Das internationale kerntechnische Regelwert wird zzt. mit dem gegen-2Siehe hierzu die Beantwortungen zur Anlage des E.ON-Schreibens.Konkrete diesbezügliche Kommentare zu Formulierungen in Modul sind imFolgenden ziffernweise beantwortet.

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1wärtig in Deutschland geltenden Regelwerk verglichen, um die Bedeutungder Unterschiede zwischen diesen Regelwerken beurteilen zu können,insbesondere im Hinblick auf die nach dem Stand von Wissenschaft undTechnik erforderliche Schadensvorsorge. Aus dem Vergleich wird sichauch ergeben, welche Aktualisierungen und Ergänzungen im deutschenkerntechnischen Regelwerk notwendig sind. Maßgeblicher Bezugspunktist hierbei das Regelwerk der IAEA. Die IAEA-Sicherheitsstandards stellendie im Wesentlichen international anerkannte Referenz dar."Die Sichtung Ihrer bisherigen Entwürfe zeigt jedoch, dass viele der vonIhnen vorgeschlagenen Standards international nicht der gängigen Praxisentsprechen. Auch sind einzelne Punkte nur vereinzelt in einem Land inBearbeitung. Darüber hinaus wurden IAEA-Regeln redaktionell und inhaltlicherheblich verschärft. Somit gehen viele der bisher von Ihnen vorgelegtenAnforderungen über das international Übliche hinaus. Dies entsprichtnicht der von Ihnen behaupteten Messlatte. Überhaupt ist eineÜbertragung des Vorgehens im Ausland auf deutsche Anlagen aus folgendenGründen nur begrenzt zulässig:- Im Ausland wird die Kerntechnik ohnehin weiterentwickelt. Mittel- undlangfristig werden neue Kernkraftwerke geplant. Neue Auslegungsstandardswerden daher häufig nur für Neuanlagen gefordert.- Die deutschen Kernkraftwerke haben aufgrund ihrer sicherheitstechnischenAuslegungsmerkmale im präventiven Bereich heute schon eindeutlich höheres Sicherheitsniveau im Auslegungsbereich als die meistenausländischen Anlagen.- Zusätzlich weichen die gesetzlichen Randbedingungen in den verschiedenenLändern beträchtlich voneinander ab. Scharfe Grenzen der,,Erforderlichkeit" wie in Deutschland (,,erforderliche Schadensvorsorge")fehlen oder haben einen anderen Stellenwert. Gleiches gilt für dieGenehmigungsvoraussetzungen bei Änderungen.4. Deutsches Regelwerk im internationalen VergleichGenerell ist es nach unserer Erkenntnis keinesfalls so, dass im Bezug aufdas vorhandene Regelwerk das Ausland Deutschland weit überholt hat,sondern dass im Gegenteil bisher einige Länder überhaupt kein Regelwerkbesitzen, welches dem deutschen Regelwerk - was Umfang undKonsistenz angeht - vergleichbar ist. Die Situation im Ausland ist eherheterogen:In S c h w e d e n wurde z. B. kürzlich ein neues (sehr schlankes)Regelwerk verabschiedet. Dabei wurde gleichzeitig (vor Inkrafttreten)Eine „grundlegende Anpassung“ des Regelwerks ist im Rahmen der Aktualisierungdes Regelwerks u. E. nicht erfolgt, vielmehr sind aufbauend aufden bestehenden Regelwerkstexten übergeordnete Konzepte eingefügt(hier insbesondere das Gestaffelte Sicherheitskonzept), Lücken geschlossen(hier insbesondere der Nichtleistungsbetrieb sowie die Sicherheitsebene4) und Anpassungen an neue Erkenntnisse vorgenommen worden.3

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1festgelegt, in welcher Form dies von den bestehenden Anlagen umgesetztwerden soll, so dass dort die oben zitierten grundsätzlichen Fragestellungenobsolet sind. Neue Auslegungsanforderungen im f i n n i s ch e n Regelwerk beziehen sich im Wesentiichen auf Neuanlagen. Länderwie S p a n i e n , G r o ß b r i t a n n i e n, F r a n k r e i c h ,B e l g i e n und die N i e d a l a n d e besitzen praktisch kein konsistentesRegelwerk.Festzustellen ist, dass zum gegenwärtigen Zeitpunkt ein grundlegenderAnpassungsbedarf weder aus neuen Erkenntnissen noch aus der internationalüblichen Praxis ableitbar wäre.Ein evtl. Erneuerungsbedarf in Deutschland kann sich u. E. daher allenfallsauf die Systematisierung von Regeln, das Füllen einzelner Lücken(wie z. B. Sicherheitsmanagement) und punktuell auf das Anpassen einzelnerAnforderungen aufgrund neuer Erkenntnisse beziehen. Im internationalenVergleich war und ist das deutsche kerntechnische Regelwerkinhaltlich auf sehr hohem Niveau.5. WENRAAuf der Informationsveranstaltung hat Ihr Haus ebenso wie die o. g. Kienbaum-Studiedie IAEA-Sicherheitsstandards als Referenz dargestellt.Auch sollen Erkenntnisse aus der Arbeit der WENRA in das "neue" Regelwerkeinfließen.Wir begrüßen ausdrücklich den von der EU-Kommission gefördertenWENRA- Prozess, im europäischen Rahmen ,,reference levels" und,,best practices" zu erarbeiten, die gerade nicht den kleinsten gemeinsamenNenner bei der nuklearen Sicherheit in der EU festschreiben sollen.Zu einem Vergleich unserer Anlagentechnologie und Betriebsführung mitderartigen WENRA- Maßstäben sind wir jederzeit bereit.Dies bedingt jedoch, dass der WENRA-Prozess der Erarbeitung dieserMaßstäbe zu einem Abschluss gekommen ist und damit ein transparenter,EU-weiter Vergleich überhaupt erst ermöglicht wird.Nach unserer Kenntnislage besteht innerhalb der WENRA Übereinkunft,dass die ,,reference levels" wohl erst in 2006 abschließend erarbeitet unddokumentiert sein werden und anschließend die Erfüllung der Referenzniveausvon jedem der an den Arbeiten der WENRA beteiligten Staatennational zu überprüfen ist. Abweichungen sollen dann bewertet und inMaßnahmenprogramme zu Verbesserungen bis 2010 umgesetzt werden.Vor diesem Hintergrund einer EU-weiten Harmonisierung sicherheitstechnischerAnforderungen ist es daher sinnvoll, die Arbeiten der WENRA-4

Page 10 2.19.13Cheerleaders place first at two competitionsBy Lauren MillerStaff WriterThe cheerleaders competed at the “Flip andShout” co-ed competition hosted in Arvada onSaturday, February 2 nd . They received first placeout of 15 Colorado teams.The team was up against tough competition whichincluded Dakota Ridge, Smokey Hill, Falcon, andseveral other very talented teams.They were put into a very difficult position beforetaking the spotlight as two of the girls got injuredthe day before competition. This left the rest ofthe team working very long and strenuous hours,trying to redo the performance for the followingday.On Saturday, February 9 th the team hosted theannual Sweetheart Blast here at Greeley West. Theteam placed first yet again. They were up against atotal of 15 other teams.All of the cheerleaders seem to enjoy what theydo, and love to compete.“My favorite part about competition is when wewalk by the other teams and they tell us good luck,and we say the same to them in return,” freshmanJaylin Piacenza, stated.This competition was a great accomplishment forthe girls, and it was a huge confidence boost forthem as well.The end of the cheer seasonis approaching, and theteam is very proud of theaccomplishments.“I felt my team did reallywell and we worked reallyhard to reach our success.”Piacenza added.PiacenzaPoms represent West, Greeleyproudly at nationals in FloridaBy Jordyn BookStaff WriterThe Greeley West Poms competed at the NationalDance Team Championships from February1 st through the 5 th . Thiscompetition was held at theESPN Center in Orlando,Florida. Teams came fromall over the United States tocompete.At Nationals the teamdanced in small group Jazzand small group Hip Hop,which had about 60-70 teamsin each.Small group teams rangefrom 9 to 14 participants. .SeverinThere is a preliminary, semifinal, and finalround that each team has to make it through. Eachpreliminary round is split up into three differentgroups which have about 25 teams in eachdepending on how many teams are in that category.To make it to the semifinal round contestantshave to be in the top of their preliminary round.Teams must be at the top of their semifinal roundto make it into the final round.In the Hip Hop category the Spartans missed thesemifinal round by seven tenths of a point and inJazz the team advanced to the semifinal round. Byadvancing to that round, the GWHS Poms endedup placing 24 th out of 68 teams.“The most exhilarating part is the bond betweenmy team when we were about to perform,” saidfreshman Sydney Haines.Though they placed in a high position, the ladiesof the Poms team were happiest with the fact thatthey made their dedicated coach Peggy Freemoleproud.“We really connected on stage and danced as awhole. Knowing that we danced our best and madeFrem proud is more rewarding than a title,” saidsenior Abi Severin.

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1derungen" (Modul 1), die die bestehenden ,,BMI- Sicherheitskriterien“ersetzen sollen, sind viele Anforderungen an die Anlagenauslegung(,,design“) d. h. an die Konstruktion von Kernkraftwerken enthalten. Dieskann schon vom Ansatz her allenfalls dann sinnvoll sein wenn Anforderungenan Neuanlagen gestellt werden sollen; die bestehenden Kernkraftwerkesind allerdings naturgemäß auf Basis der bestehenden Sicherheitskriterienausgelegt und erfüllen diese. Insoweit erfüllen sie zwangsläufignicht die verschärften Auslegungsanforderungen.So soll z. B. ein neues Konzept von unabhängigen Sicherheitsebenen zurKlassifizierung von Einrichtungen und Maßnahmen eingeführt werden,welches in dieser Form bei der Einrichtung der Anlagen nicht vorgesehenwar. Das zur Begründung herangezogene international übliche ,,Defencein Deph“-Konzept trägt nicht: Dieses Konzept liegt schon dem bestehendenRegelwerk zugrunde und wird deshalb von unseren Anlagen uneingeschränkterfüllt. Neue Erkenntnisse, dass dies nicht ausreiche, liegennicht vor.Darüber hinaus werden Ereignisse auf der sog. Sicherheitsebene 4a(Restrisikoereignisse wie Flugzeugabsturz) im neuen Regelwerk praktischwie Auslegungsstörfälle behandelt und unterliegen damit völlig neuenAnforderungen.Außerdem werden Anforderungen an die Beherrschung von Unfällengestellt, die nicht nur weit jenseits der erforderlichen Schadensvorsorgeliegen, sondern für die bisher auch keine Maßnahmen zur Reduzierungdes Restrisikos empfohlen waren (Sicherheitsebene 4c). Für solche -praktisch ausgeschlossene - Unfallabläufe, für die ja Maßnahmen desKatastrophenschutzes greifen, sollen nun die Betreiber die Anlagen nachrüsten,wobei die gestellten Forderungen in ihren Auswirkungen nichtabsehbar und möglicherweise gar nicht erfüllbar sind.Neben diesen Änderungen im Sicherheitskonzept sind eine Vielzahl weitererVerschärfungen im Einzelfall erkennbar, ohne dass neue Erkenntnisseeine solche Forderung notwendig machen.Beispielsweise stellt die Forderung, dass es bei den Auslegungsstörfällenmit Ausnahme des postulierten großen Kühlmittelverluststörfalls keineBrennstabsschäden geben dürfen, eine Verschärfung des bisherigenRegelwerk dar und entspricht nicht der internationalen Praxis. Es ist auch6ler Sicht zu fordernden sicherheitstechnischen Anforderungen zusammenzustellen(Stand von Wissenschaft und Technik).Die in den Modulen formulierten Anforderungen des Gestaffelten Sicherheitskonzeptsentsprechen u. E. dem „defence in depth“ Konzept der IAEA.Zur Frage der Klassifizierung von Einrichtungen und Maßnahmen sowie zuweiteren Aspekten des Gestaffelten Sicherheitskonzepts siehe die Beantwortungder Kommentare zu Abschnitt 2.1.In den Modulen werden u. E. keine Anforderungen hinsichtlich der Ereignisseder Sicherheitsebene 4a gestellt, die dazu führen würden, dass diese„praktisch wie Auslegungsstörfälle“ behandelt würden.Die Formulierung der Zielsetzung (vgl. Kapitel 1 in Modul 7, Revision B)wurde überarbeitet: Auf der Sicherheitsebene 4c soll das übergeordneteSchutzziel - Rückhaltung radioaktiver Stoffe - soweit wie möglich erfülltwerden, d.h. die Aktivitätsfreisetzung in die Umgebung soll begrenzt sowiedie Anlage in einen langfristig kontrollierbaren Zustand überführt werden.Die Maßnahmen sind dabei vorrangig darauf ausgerichtet, die Integrität desSicherheitsbehälters so lange wie möglich zu erhalten. Mitigative Notfallmaßnahmensind auch international Bestandteil des Gestaffelten Sicherheitskonzepts.Auch in deutschen Anlagen sind auf Basis von RSK-Empfehlungen entsprechende Maßnahmen umgesetzt.Es wird eine gesonderte Synopse erstellt, in der wesentliche Änderungengegenüber den ersetzten Regelwerkstexten kenntlich gemacht und begründetwerden.Die in Modul 3 Revision B formulierten Anforderungen an die Brennstabintegritätbei Störfällen unterscheidet zwischen den Ereignissen Transientender Sicherheitsebene 3, Reaktivitätsstörfälle und Leckstörfälle.

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1keine technische Begründung für eine solche Forderung erkennbar.Bei den Transienten folgt Modul 3 den bestehenden Anforderungen bzw.der Praxis. Nachweisziel ist hier die Brennstabintegrität.Bei den Reaktivitätsstörfällen wird gefordert, dass der Brennstoff innerhalbdes Hüllrohrs verbleibt (siehe auch RSK 389. Sitzung Anlage 1a). Hier wirdsomit die Brennstabintegrität nicht gefordert.In diesen Fällen hat es der Regelgeber „sich einfach noch einmal neuüberlegt“. Diesen Änderungen liegt somit keine neue Erkenntnis, sondernvielmehr eine neue Bewertung zugrunde.Außerdem wird vielfach durch eine Modifizierung der Wortwahl gegenüberden gültigen BMI-Sicherheitskriterien eine nicht begründete Verschärfungeingeführt. Relativierende Begriffe wie ,,weitgehend“ und „angemessen“,„vorzugsweise" sowie Ausnahmeregelungen sind ohne sachlicheBegründung entfallen. Weder Notwendigkeit noch Konsequenzensind erkennbar.Gravierend ist ebenso, dass mit dem Regelwerksvorhaben dem Betreiberentgegen der Gesetzeslage Nachweispflichten auferlegt werden sollenBei den Leckstörfällen existieren Regelungen in den RSK LL DWR. GemäßRSK LL Ziffer 2.2 (4) „sind insbesondere der Berechnung der Strahlenbelastungnach dem unterstellten Bruch einer Hauptkühlmittelleitung folgendehypothetische Annahmen zu Grunde zu legen: (...) Es ist zu unterstellen,dass 10 % aller Brennstäbe versagen, sofern nicht durch eine Schadensumfangsanalyseein niedrigerer Wert nachgewiesen ist.“ Weiter in RSK LLZiffer 22.1.1 (1): „Durch die Kernnotkühlung muss gewährleistet sein, dass:(...) infolge von Hüllrohrschäden die in Kapitel 2.2 (4) unter Nr. 2 genanntenFreisetzungen von Spaltprodukten nicht überschritten werden,“ (siehe auchdie diesbzgl. Anforderungen in den Störfallberechnungsgrundlagen). Somitbesteht die Anforderung, dass bei großen Leckstörfällen der Brennstabschadensumfangauf 10 % zu begrenzen ist (siehe auch Störfallberechnungsgrundlagen,Anhang zu den Störfall LL). Für kleinere Leckstörfälle alsdem Bruch einer Hauptkühlmittelleitung bestehen bislang keine explizitenAnforderungen. Ein einheitliches internationales Vorgehen liegt hinsichtlichder Leckgröße, ab der Brennstabschäden zulässig sein sollen, nicht vor. DieLeckgröße variiert hier zwischen 20 cm² und dem 0,1 F Leck. Da bei einemLeckereignis die Integrität der dfU (eine der drei metallischen Barrieren)nicht mehr gegeben ist, wird in Anlehnung an die Regelung bei Transientenfür Leckstörfälle < 0,1 F als Nachweisziel die Brennstabintegrität formuliert.Es wird eine gesonderte Synopse erstellt, in der wesentliche Änderungengegenüber den ersetzten Regelwerkstexten kenntlich gemacht und begründetwerden.Siehe hierzu die ziffernweise Diskussion dieser Kommentare.Eine Nachweispflicht im Sinne „für Dritte nachvollziehbar“ ist in Revision Anicht mehr enthalten. In Revision B ist die Anforderung „jederzeit“ in den7

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1(,,Der Betreiber muss jederzeit in der Lage sein.. . die Sicherheit der Anlagefür Dritte nachvollziehbar nachzuweisen.").Insgesamt widerspricht das Vorhaben des BMU daher der Vereinbarungzwischen der Bundesregierung und den EVU, dass die Bundesregierungkeine Initiative ergreifen wird, um den Sicherheitsstandard und die diesemzugrunde liegende Sicherheitsphilosophie zu ändern.Ziffern 8 (1), (2) und (5) anpassen gestrichen. Es ist jedoch u. E. unabdingbarerBestandteil der Vorsorge, dass im wissenschaftlich-technischen SinneGewissheit darüber besteht, dass die sicherheitstechnischen Anforderungenerfüllt sind. Hierzu sind Nachweise erforderlich, die im wissenschaftlichenSinn nachvollziehbar sind. Siehe auch die Antworten zu Ziffer 8 (1) vonModul 1.Eine rechtliche Nachweispflicht können und wollen die Sicherheitsanforderungenfür Kernkraftwerke als Beschreibung des Standes von Wissenschaftund Technik nicht begründen. Ein sicherer Betrieb erfordert, dass derBetreiber sich selbst gegenüber auf dokumentierter Basis Gewissheit überden Anlagenzustand haben muss.-465 VattenfallEuropeSehr geehrte Damen und Herren, in weiterer Konkretisierung und Ergänzungder bereits mit den Betreiberstellungnahmen vom 15. März, 12. Maiund 19. August dieses Jahres geäußerten Bedenken zu Ihrem Regelwerksvorhabenerhalten Sie mit diesem Schreiben unsere allgemeineKommentierung Ihrer Entwürfe der Textmodule 7 bis 10 sowie die detaillierteKommentierung zu Textmodul 11.Wie wir bereits zu den Textmodulen 1 bis 6 geäußert haben, sehen wir inden von Ihnen vorgelegten Textmodulen im Wesentlichen eine Verschärfungder geltenden Sicherheitsstandards ohne dass dies auf Grund neuerErkenntnisse sachlich geboten ist. Daraus ist erkennbar, dass den neuenAnforderungen eine Änderung der Sicherheitsphilosophie zugrunde liegt.Dies gilt auch für die hier kommentierten Textmodule 7 bis 11. Insbesonderewerden Anforderungen in den Sicherheitsebenen 1 bis 3 erhoben,die nach gültigem Regelwerk jenseits der erforderlichen Schadensvorsorgeliegen.Aus den Textentwürfen lassen sich z. B. auch keine probabilistischenKriterien entnehmen, wie sie internationale Praxis sind und sich in IAEAGuides aber auch im WENRA-Vergleich widerspiegeln, die als Begründungfür die Veränderung oder Verschiebung von Anforderungen auf denSicherheitsebenen herangezogen werden könnten.-Es wird eine gesonderte Synopse erstellt, in der wesentliche Änderungengegenüber den ersetzten Regelwerkstexten kenntlich gemacht und begründetwerden.Für die Zuordnung von Ereignissen zu den Sicherheitsebenen liegen keineallgemein anerkannten quantitativen probabilistischen Kriterien bzw. Zahlenwertefür die einzelnen Ereignisse vor, auf deren Basis eine im Kommentarangesprochene Verschiebung von Anforderungen auf den Sicherheitsebenenbelastbar durchführbar wäre.8

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1Zur Begründung herangezogen werden vielmehr insbesondere Passagenaus IAEA Guides, deren empfehlender Charakter durch die Formulierungin absolute Einzelanforderungen gewandelt wird. Gleichzeitig werdendiesen übergeordneten Anforderungen Detailanforderungen zur Seitegestellt, die eher den Charakter einer KTA-Regel haben und in einemübergeordneten Regelwerk nicht zielfuhrend sind und ggf. zu Widersprüchenin einem Gesamtregelwerk führen können.In unseren Kommentaren zu den Textmodulen 7 bis 11 in der Anlagefinden Sie weitere Anmerkungen zu den Textmodulen.Aus unseren bisherigen Kommentaren wird insgesamt ersichtlich, dasswir aus den vorliegenden Textentwürfen die Notwendigkeit einer grundlegendenÜberarbeitung des vorhandenen Regelwerks nicht ableiten können.In keinem Punkt ist erkennbar, ob und warum die vorgesehene Verschärfungder Anforderungen für die Gewährleistung der nach Stand vonWissenschaft und Technik gebotenen Schadensvorsorge erforderlich ist.Umso größerer Bedeutung kommt der von uns bereits mit unseremSchreiben vom 15. März 2005 von Ihnen erbetenen Beantwortung vonGrundsatzfragen hinsichtlich der vorgesehenen Anwendung des überarbeitetenRegelwerks im konkreten Aufsichts- und Genehmigungsverfahrenzu, zu der wir Sie hiermit erneut auffordern.466 Framatome Anliegend erhalten Sie die Stellungnahme der Framatome ANP GmbH zuden Entwürfen der GRS Module I - 3. Die Kommentare sind als vorläufigzu verstehen, da gegenwärtig eine abschließende Kommentierung auszwei Gründen nicht möglich ist:- Von den insgesamt vorgesehenen Modulen sind bisher erst 3 vorgelegtoder erläutert worden.Da die Interpretation vieler Forderungen aber auch von Festlegungen inanderen Modulen abhängig ist (insbesondere von Modul 6), konnte insoweitnur mit entsprechender Unschärfe kommentiert werden. (Wir hattenvorgehabt, mit unseren Kommentaren die Verteilung des Moduls 6abzuwarten, da dieser nach Ihrer im Dezember vorgestellten Terminplanungfür März in Aussicht gestellt war und wir hier besondere, in derKommentierung zu berücksichtigende Zusammenhänge mit anderenModulen sehen.)- Eine ausführliche Diskussion der Inhalte war in dem bisherigen Rahmen(eine Informationsveranstaltung mit nur begrenzter Diskussion) nichtmöglich, so dass an vielen Stellen nicht nachgefragt werden konnte,Siehe hierzu die im Einzelfall erfolgende ziffernweise Beantwortung.---9

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1was die Autoren mit den Formulierungen eigentlich gemeint haben.Ein wesentlicher Punkt unserer Kommentierung betrifft Formulierungen,die zu einer Verschärfung von Anforderungen führen könnten, ohne dasshierfür eine sicherheitstechnisch nachvollziehbare Begründung gebenwürde. Wir hatten Ihren einleitenden Worten auf der Informationsveranstaltungam 14./15. Dezember 2004 entnommen, dass außer in den Fällen,die klar genannt seien (z.B. Sicherheitsmanagement), eine Ausweitungoder Verschärfung von Anforderungen nicht geplant sei.Es wird eine gesonderte Synopse erstellt, in der wesentliche Änderungengegenüber den ersetzten Regelwerkstexten kenntlich gemacht und begründetwerden.Aus unserer Sicht hat jedoch schon die Diskussion auf der Informationsveranstaltunggezeigt – dies wurde durch die weitere Bewertung der vorgelegtenModule bestätigt -, dass die Autoren der Module teils bewusst,teils unbeabsichtigt Formulierungen gewählt haben, die zu einer Verschärfungoder Ausweitung von Anforderungen führen oder führen können.Die nach der bisherigen Auswertung der Module aus unserer Sicht wichtigerenderartigen Punkte haben wir in der Anlage I zusammengefasst underläutert. Die detaillierten Kommentare sind in der Anlage 2 zusammengestellt.Mehr redaktionelle/formale Kommentare, die jedoch für die Handhabbarkeiteines neuen Regelwerks Bedeutung haben, sind in Anlage 3 aufgelistet.Für weitere zu kommentierende Module möchten wir unseren, auf derInformationsveranstaltung im Dezember geäußerten Wunsch wiederholen,Neuformulierungen von Anforderungen, die auf eine Ausweitung oderVerschärfung bisheriger Anforderungen hinauslaufen, entsprechendkenntlich zu machen, damit dies von Formulierungen unterschieden werdenkann, die unbeabsichtigt zu stärker interpretationsfähigen Anforderungenführen. Dies würde den Arbeitsaufwand nennenswert reduzieren.Erlauben Sie uns noch folgende Anmerkung: Hinsichtlich systematischerZusammenstellung von Anforderungen stellen die Module bisher einenRückschritt gegenüber KTA 2000 dar. Insofern bestätigen die Moduleindirekt, dass KTA 2000 auf einem sinnvollen Wege war und dass derAbbruch der Diskussion zu KTA 2000 keine fachliche .Begründung findet.Wir bedauern deshalb weiterhin den Abbruch des Vorhabens KTA 2000wegen der aus unserer Sicht unnötigen Verluste an Zeit und finanziellemDie Bewertung hinsichtlich der systematischen Zusammenstellung teilen wirnicht.10

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1467 MSGVSchleswig-HolsteinAufwand.2. Zum EbenenkonzeptDas Regelwerk soll in der 1. Ebene (Modul 1) die bisherigen Sicherheitskriterienersetzen. In der zweiten Ebene sollen Regelungen getroffenwerden, die im Detaillierungsgrad die bisherigen Empfehlungen der Reaktorsicherheitskommissionund der Störfall- Leitlinien ersetzen. In der drittenEbene sind die BMI/BMU-Richtlinien enthalten. Die Regeln des KerntechnischenAusschusses bilden die vierte Ebene.Gegen das dargestellte Ebenenkonzept bestehen keine grundsätzlichenBedenken, denn mit diesem Konzept sollen insbesondere die zu stellendenAnforderungen dahingehend harmonisiert werden, dass damit einebundeseinheitliche Vorgehensweise nach dem Stand von Wissenschaftund Technik sichergestellt werden kann. Dass die KTA-Fachregeln, diedie 4. Ebene bilden, nach wie vor der weiteren Konkretisierung des hierzu betrachtenden untergesetzlichen Regelwerkes dienen, wird ausdrücklichbegrüßt, da sie bereits heute einen wesentlichen Bewertungsmaßstabfür die Aufsichtsbehörde und die Sachverständigen darstellen. Damit wirdauch aus unserer Sicht gewährleistet, dass die Umsetzung der zu stellendenAnforderungen nicht hinter dem durch die KTA-Verfahrensregelungvorgegebenen Standard zurück bleibt. Außerdem begrüßen wir die systematischeAktualisierung des KTA-Regelwerks durch die zyklische Überprüfungauf Aktualität, wie sie in den KTA-Grundlagen und -Verfahrenbeschrieben ist.Auf mittelfristige Sicht sehen wir es aber als erforderlich an, die Inhalteder Regeln und Richtlinien der 3. Ebene und die RSK- Leitlinien, in die- Ebenen 1 und 2, die zu stellenden übergeordneten Anforderungen,- bzw. Ebene 4, die Umsetzung dieser Anforderungen in den Fachregelnzu integrieren und zu ergänzen. Die BMI/BMU-Richtlinien können dannformal entfallen. Zu den Ebenen der Regeln halten wir Definitionen fürerforderlich, die den Charakter der Inhalte beschreiben. Die ZuordnungsundAbgrenzungskriterien der einzelnen Ebenen sollen sicherstellen, dassRegelwerke einer Ebene ein homogenes Qualitätsniveau der Merkmaleenthalten. Den erforderlichen Unterschieden im Abstraktions- und Detaillierungsgradsowie die Unterscheidung in ausführungsunabhängigeMerkmale und ausführungsbestimmende Merkmale sollte über die Definitionder Regelwerksebenen Rechnung getragen werden.11Gemäß derzeitigem Stand entfallen nicht alle bestehenden BMI/BMU-Richtlinien (3. Ebene gemäß Kommentar) (siehe hierzu im Einzelnen im„Wegweiser Regelwerk“).-Mit der Aktualisierung des Regelwerks (Module) sind die Sicherheitskriterien(BMI) in Modul 1 integriert worden, die Störfall LL, RSK LL und die Grundlagendes BMU zum Sicherheitsmanagementsystem in die Modul 2-11. Dieunverändert gebliebenen Richtlinien des BMI/BMU sind im Wegweiser aufgeführt.Eine Aufhebung dieser Richtlinien ist bisher nicht geplant gewesen.Als Abgrenzungsmerkmale für die in den Modulen 2-11 zu formulierendenTexten gegenüber KTA Regeln dienten zum Einen die bestehenden, zuersetzenden Texte, sofern keine entsprechenden KTA Texte vorliegen. InEinzelfällen sind, sofern keine Regelungen in KTA Regeln vorliegen, neueRegelungen in den Modulen aufgenommen worden, die hinsichtlich desumgesetzten Abstraktions- und Detaillierungsgrad auch in eine KTA Regelüberführt werden könnten. Als grobe Orientierung diente zudem die Prüffrage,inwieweit erwartet werden kann, dass die zu formulierenden Regelungenfür einen deutlich längeren Zeitraum unverändert Bestand haben wer-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1den, als die Überprüfungsfristen der KTA Regeln.Die Abgrenzungen der Ereignisse und ihre Zuordnung zu den Sicherheitsebenenin Modul 3 entspricht teilweise nicht der bisherigen Genehmigungspraxis.So werden in dem Modul 3 u .a. die Störfall-Leitlinien alsBasisunterlage herangezogen. Diese stellen vom Grundsatz ausführungsunabhängigeAnforderungen dar. Der Geltungsbereich der Störfall-Leitlinien (und vom Grundsatz ebenso die gültigen RSK-Leitlinien fürDWR) betreffen lediglich Druckwasser-Reaktoren, die ihre 1. TEG nichtvor dem 01.07.1982 erhalten haben. Ob aufgrund dieser Vorgaben undggf. welche ausführungsunabhängigen Anforderungen aus diesen Leitliniengeneriert und in die vorliegenden Entwürfe des Modul 3 übernommenund für alle Anlagen als verbindlich erklärt werden können, mussrechtlich in jedem Einzelfall bewertet werden. Es sollte daher geregeltwerden, welche Bedeutung diese Anforderungen in dem Modul 3 bzgl.der Kernkraftwerke haben, die nicht auf der Grundlage der Störfall-Leitlinien genehmigt wurden.Durch das Vorhaben sollen wesentliche Lücken im bisherigen Regelwerkgeschlossen werden. Insbesondere betrifft dies die Bereiche- anlageninterner Notfallschutz, Ereignisse im Nichtleistungsbetrieb,Digitale Leittechnik, Softwarequalität und -zuverlässigkeit, zu verwendendeUntersuchungsmethoden und Nachweisverfahren, Sicherheitsmanagementund Harmonisierung der Qualitätssicherung KTA1401/ISO 9001,- das personell-organisatorische Sicherheitskonzept; Schulungs- undQualifizierungskonzept,- Auslegungs- und Nachweisanforderungen an die mechanische Kernauslegung.Weiterhin sind Einzelthemen wie Alterungsmanagement, Radiolysegasproblematikund Hochabbrand, zu denen RSK- Stellungnahmen vorliegen,mit in den Blick zu nehmen. Als Ziel führend wird eine frühzeitigeBeteiligung des KTA durch Umsetzung der übergeordneten Anforderungenin detaillierte Ausführungsmerkmale angesehen, um Interpretationsproblemezu vermeiden. Mit dem gewählten Ansatz, die Hierachiestufenauf verschiedenen Ebenen zu systematisieren bei gleichzeitiger Fortgeltungder Fachregeln, können dann im aufsichtlichen Verfahren einzelne„auslegungsabhängige Ausführungsmerkmale" weiterhin einer vertieftenPrüfung unterzogen werden. Damit die Arbeitsgremien des KTA auch-Zu den genannten Bereichen sind u. E. in den jeweiligen Modulen die übergeordnetenAnforderungen formuliert worden. Das Schulungs- und Qualifizierungskonzeptist detailliert in den entsprechenden Richtlinien zur Fachkundebeschrieben. Daher genügen in Modul 1 sehr allgemeine Anforderungen.Zu den genannten Einzelthemen sind auf Basis der RSK Stellungnahmen inden jeweiligen Modulen übergeordnete Anforderungen formuliert bzw. aufgegriffenworden.12

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1formal dieses BMU-Vorhaben bereits jetzt reflektieren können, sollteschnellst möglich der Kerntechnische Ausschusses (KTA) eingebundenwerden.498 VGBPowerEs wird erwartet, dass die Erstellung von einschlägigen Regeln der Technikim KTA, die lange Zeit zurückgestellt worden war, in den kommendenJahren zielstrebig verfolgt wird und in absehbarer Zeit zu einem geschlossenenSystem technischer Anweisungen zur Vereinfachung undBeschleunigung der atomrechtlichen Genehmigungs- und Aufsichtsverfahrenführen wird.Einige Kritikpunkte am Modul 1 „Grundlegende Sicherheitsanforderungen“des Regelwerksvorhabens des BMU: Gewählter Ansatz ist internationalunüblich: IAEA in „Safety of Nuclear Installations” (Fundamental No. 110):Definition von Sicherheitszielen, z.B. Technical Safety Objective “To takeall reasonably practicable measures to prevent accidents in nuclear installationsand to mitigate their consequences should they occur; to ensurewith a high level of confidence that, for all possible accidents taken intoaccount in the design of the installation, including those of very low probability,any radiological consequences would be minor and below prescribedlimits; and to ensure that the likelihood of accidents with seriousradiological consequences is extremely low.”Direkt ableitbare Kritikpunkte:• Modul 1 gibt anstelle einer Zielorientierung konkrete starre Ausprägungvor• Durch indikative Beschreibung wird der festlegende Charakternoch unterstrichen• Keine Aussagen zu Verhältnismäßigkeitsbetrachtungen• Unbegründete Verschärfung bestehender Anforderungen13-Der Kommentar, dass der in Modul 1 gewählte Ansatz international unüblichsei, ist nicht nachvollziehbar. Es wird in Modul 1 zunächst das übergeordneteSicherheitsziel (Schutz vor den radioaktiven Inventaren, siehe Ziffer 2.1(1) Modul 1) formuliert, wie auch in den im Kommentar genannten IAEAUnterlagen (dort siehe Ziffern 201-205) und sodann im Weiteren technischeZiele (Ziffern 2.1 (2) ff). Die im Kommentar zitierte Aussage (Ziffer 206) ausder IAEA Unterlage ist u. E. durch diese Ziffern in Modul 1 angesprochen,wobei allerdings die Formulierung „reasonably practicable measures“ nichtverwendet wird, da hierzu aufbauend auf den bestehenden Anforderungenkonkretere Formulierungen vorliegen.Dieser Kommentar ist nicht nachvollziehbar. So werden bspw. in Abschnitt2.1 bei der Beschreibung der grundlegenden Merkmale des GestaffeltenSicherheitskonzepts weitgehend Ziele formuliert. Eine Konkretisierung erfolgtin Abschnitt 3, wobei sich dort weitestgehend die bestehenden Regelungender BMI Sicherheitskriterien wiederfinden.Sinn des Regelwerkes ist es u. E. zu beschreiben, welche Sicherheitsvorkehrungenbei Umsetzung des Standes von Wissenschaft und Technikvorzufinden sind. Diese Vorkehrungen werden, soweit sie dem Stand vonWissenschaft und Technik entsprechen, dabei möglichst konkret festgelegt.Für eine Differenzierung (müssen/sollen) ist bei der Beschreibung desStandes von Wissenschaft und Technik als eines Idealzustandes denklogischkein Raum.Aussagen zu Verhältnismäßigkeitsbetrachtungen gehören u. E. nicht instechnische Regelwerk.Es wird eine gesonderte Synopse erstellt, in der wesentliche Änderungengegenüber den ersetzten Regelwerkstexten kenntlich gemacht und begrün-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1• Nicht im Aufsichtsverfahren etablierte, fachlich kontrovers diskutierteThemengebiete werden in den Regelwerksstatus überführt• Auslegungsüberschreitende Störfälle werden faktisch Auslegungsstörfällengleichgesetzt• Ansatz entsprich nicht der international üblichen VorgehensweiseFehlende Zielorientierung:• Es werden keine übergeordneten Sicherheitsziele definiert• Das international ereignisorientiert ausgerichtete Konzept der Sicherheitsebenenwird durch eine starr komponentenorientierte Betrachtungsweiseverschärft• Es werden neue, unbegründete Anforderungen an Nachweiszieleund Komponentenauslegung auf den Sicherheitsebenen 1 und 2gestellt• Der etablierte Schutzzielbegriff ist entfallen, statt dessen Einführungdes neuen Begriffs „Sicherheitsfunktion“• Das bisherige Vorgehen, die Anlagensicherheit durch den Nachweisder Erfüllung von Schutzzielen (englisch: „fundamental safetyfunctions) nachzuweisen, entfällt (IAEA Safety reports No. 46: “For14det werden.Siehe hierzu die Fachantworten an den jeweiligen Textstellen in den verschiedenenModulen.Die Anforderungen, die in den Modulen bzgl. der Sicherheitsebenen 4b und4c beschrieben sind, unterscheiden sich von denjenigen der Sicherheitsebene3. Eine „faktische Gleichsetzung“ ist nicht erfolgt.Ohne Konkretisierung ist dieser Kommentar nicht nachvollziehbar (sieheauch oben zum Kommentar bzgl. IAEA Zitat).Dieser Kommentar ist nicht nachvollziehbar. Wie bereits ausgeführt, wird inModul 1 zunächst das übergeordnete Sicherheitsziel (Schutz vor den radioaktivenInventaren, siehe Ziffer 2.1 (1) Modul 1) formuliert und sodann imWeiteren technische Ziele (Ziffern 2.1 (2) ff).Hier liegt ggf. eine Fehlinterpretation vor. Die Sicherheitsebenen definierensich aus Anlagenzuständen, die im Wesentlichen aus Ereignissen bestimmtwerden (siehe Begriffsdefinition). Die auf den jeweiligen Sicherheitsebenenerforderlichen Maßnahmen und Einrichtungen (auch Komponenten) werdendamit durch die zu Grunde liegenden Ereignisse bestimmt. Insofern ist u. E.eine „starr komponentenorientierte Betrachtungsweise“ sowie eine „Verschärfung“gegenüber international üblichem Vorgehen in den Modulennicht enthalten.Es ist eines der Grundmerkmale des Gestaffelten Sicherheitskonzepts, dassdie „Verteidigungsvorkehrungen“ auf den jeweiligen Sicherheitsebenenmöglichst unabhängig voneinander ausgebildet sind. Dieses Grundmerkmalist in Modul 1 Ziffer 2.1 (5) formuliert. Aus diesem Merkmal ergeben sichzwangsläufig auch Anforderungen an die Einrichtungen der Sicherheitsebenen1 und 2. In Revision B von Modul 1 sind diesbezüglich allerdings Präzisierungenvorgenommen worden, mit der Zielsetzung, die Vielzahl der Einrichtungen,die auf diesen Sicherheitsebenen vorhanden, jedoch nicht oderkaum von Sicherheitsrelevanz sind, auszusparen.Der Begriff „Grundlegende Sicherheitsfunktion“ wird durch „Schutzziel“ersetzt.Dieser Kommentar ist nicht nachvollziehbar. In Abschnitt 2.3 von Modul 1wird das Konzept der Schutzziele eingeführt und in allen anderen Modulenweiter verwendet. Grundmerkmal dieses Konzepts ist es, die Erfüllung der

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1nuclear power plants, the safety objectives are ensured by fulfillingthe three fundamental safety functions.”)Fehlende Würdigung der Verhältnismäßigkeit:• Formulierungen in nationalen und internationalen Quellen, die dieauf Verhältnismäßigkeitsbetrachtungen hinweisen, („weitgehend“,„in angemessenen Umfang“, „to the extent practicable“, „to the extentpossible“) wurden bewusst beseitigt.• Im Modul 1 „Grundlegende Sicherheitsanforderungen“ soll die PSAlediglich ergänzend zur deterministischen Analyse eingesetzt werden;Ihr international üblicher sowie nach gültigem PSÜ-Leitfadenmöglicher Einsatz als Instrument der Bewertung der Notwendigkeitvon Maßnahmen wird nicht erwähnt.• WENRA zur Nutzung der PSA: „PSA shall be used to identify theneed for modifications of the plant and its procedures…“Convention on nuclear safety, Second Review Meeting of the ContractingParties, April 2002: “Probabilistic safety assessment (PSA)is used by most Contracting Parties with nuclear installations foridentification of areas of potential improvement in the design, plantupgrading or regulatory effectiveness.”• Bei indikativer Darstellung des Regelwerkstextes kann jede Abweichungunabhängig von ihrer Sicherheitsrelevanz als Regelwerksverstoßinterpretiert werden.Neue, unbegründete Forderungen: Einige Beispiele: -• Forderungen nach permanenter Nachweispflicht im Sinne der Biblis-Auflage• Festlegung einer Pflicht zur Information der Behörden zu unbestimmtensonstigen sicherheitstechnisch wichtigen Betriebserfahrungenund Erkenntnissen unterhalb der Meldepflicht.Schutzziele durch die Einhaltung der den Schutzzielen zugeordnetenNachweiszielen und -kriterien nachzuweisen.Aussagen zu Verhältnismäßigkeitsbetrachtungen gehören u. E. nicht instechnische Regelwerk.Es ist richtig, dass Begriffe, wie sie im Kommentar genannt werden, möglichstvermieden bzw. gestrichen wurden. Hintergrund dafür ist, dass mitVerwendung dieser Begriffe die Anforderungen einen unbestimmten Charaktererhalten, was in einem technischen Regelwerk nicht zielführend ist.Sofern bei der Frage, welche Sicherheitsvorkehrungen zu realisieren sind,Verhältnismäßigkeitsüberlegungen stattfinden, so sollte dies u. E. außerhalbdes technischen Regelwerks erfolgen bzw. geregelt werden. Formulierungenwie „soweit technisch nicht möglich“ werden hingegen auch in denModulen verwendet.Siehe Antworten zu Ziffer 8, Modul 1 Revision A.-In Revision B ist die Anforderung „jederzeit“ in Ziffern 8 (1), (2) und (5) gestrichen.Siehe auch die Antworten zu Ziffer 8 (1) von Modul 1.Aus §19 vii des Gesetzes zur Sicherheitskonvention folgt, dass der Betreiberdie Behörde über Betriebserfahrungen informieren muss, damit dieBehörde ihrerseits den Verpflichtungen des Gesetzes nachkommen kann.Außerdem ist dies bereits Praxis siehe z.B. Monats- und Jahresberichte.15

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1• Neue Forderungen zu Maßnahmen des Betreibers zum Katastrophenschutzjenseits des Notfallschutzes.• Neue Forderungen zur Störfallbeherrschung auf den Sicherheitsebenen4b und 4c- Ereignisse der Sicherheitsebene 4b werden wie Auslegungsstörfällebehandelt- Umfangreiche Forderungen auf der Sicherheitsebene 4c, derenErfüllung einen nicht vorhandener Kenntnisstand voraussetzt.• Verschärfungen bei der Anwendung des Einzelfehlerkriteriums.• Überlagerung des Nichteinfahrens des wirksamsten Steuerstabsmit einem weiteren EinzelfehlerÜberführung nicht etablierter Themen in den Regelwerksstatus: -• Definition des Sicherheitsmanagements und abgeleitete Anforderungenwerden derzeit noch fachlich diskutiert• Geforderte Analysen von „Ereignissen mit Mehrfachversagen vonSicherheitseinrichtungen“ bieten breiten Spielraum für Interpretationen16Die Unterstützung des Katastrophenschutzes durch den Betreiber ist keineneue Anforderung. In Modul 1 werden auch keine Maßnahmen gefordert,die über das bestehende Regelwerk hinausgehen würden. Der Kommentarist insofern nicht nachvollziehbar.Die Forderungen zu den zu planenden Maßnahmen des anlageninternenNotfallschutzes basieren auf älteren und neuen Empfehlungen der RSK unddem internationalen Vorgehen. Es sollen repräsentative Ereignisse undEreignisabläufe auf der Sicherheitsebene 4b und relevante Phänomene undAnlagenzustände auf der Sicherheitsebene 4c zu Grunde gelegt werden(siehe hierzu: Modul 7 Revision B). Beliebige Kombinationen von Ausfällenwerden nicht gefordert. Nur hinreichend erforschte Phänomene sind angemessenzu berücksichtigen. Die Nachweise für die Wirksamkeit von eigensfür den anlageninternen Notfallschutz vorgesehenen Notfallmaßnahmenbeziehen sich auf die bei der Planung dieser Maßnahmen zu Grunde gelegtenEreignisabläufe. Diesbezüglich wurden an verschiedenen Stellen derTexte im Modul 7 Präzisierungen vorgenommen. Die Planungen des anlageninternenNotfallschutzes richten sich an den von der Anlagentechnikgegebenen Möglichkeiten aus. Grundlage ist die bestehende Anlagentechnikeinschließlich der bereits implementierten Notfallmaßnahmen (dokumentiertz.B. in den Berichten der Bundesregierung zur Sicherheitskonvention).Ein zusätzlicher und diversitärer Satz von Sicherheitseinrichtungen ist nichtgefordert.Siehe hierzu die Diskussionen an den betreffenden Textstellen.Z. Z. läuft die Entwicklung von Sicherheitsmanagementsystemen in denAnlagen ohne eine ausreichende Berücksichtigung im nationalen Regelwerk.Lediglich die „Grundlagen“ bieten Anhaltspunkte für die Betreiber,Behörden und Gutachter. Internationale Regelungen haben bereits einumfangreiches Regelwerk zu diesem Thema geschaffen. Der vorliegendeRegelwerksentwurf Modul 1 gibt zur Entwicklung von Sicherheitsmanagementsystemennur einen groben Rahmen vor, der in Modul 8 präzisiert wird.Die diesbezüglichen Forderungen von Modul 7 Revision B wurden überarbeitet.Es sollen repräsentative Ereignisse und Ereignisabläufe auf derSicherheitsebene 4b aus 3 Ereignisgruppen zu Grunde gelegt werden. Diesempfiehlt auch die RSK in ihrem jüngsten Grundsatzpapier zum Vorgehen.

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1Beliebige Kombinationen von Ausfällen werden nicht gefordert.• Die Forderungen zur Sicherheitsebene 4c (Unfälle mit Kernschmelzen)stellen eine Änderung der Sicherheitsphilosophie dar.Ihre Umsetzung im Aufsichtsverfahren ist darüber hinaus nachgegenwärtigem Stand von Wissenschaft und Technik nicht seriösmöglich (große Kenntnisunsicherheiten)• Es existieren keine im Aufsichtsverfahren etablierte Vorgehensweisenzur geforderten Quantifizierung von Unsicherheiten beiNachweisen.Unausgewogene Tiefe:Modul 1 „Grundlegende Sicherheitsanforderungen“ enthält Festlegungenmit sehr unterschiedlichem Detaillierungsgrad• Sehr ausführliche Darstellung der Anforderungen an die E-undLeittechnik- Im Modul 7 Rev. B werden spezifische Anforderungen für die 4. Sicherheitsebenezusammengestellt, die sich von denen im Auslegungsbereichunterscheiden. Zur rechtlichen Einordnung der 4. Sicherheitsebenewird im Rahmen des Vorhabens nicht Stellung genommen.- Die bestehenden Unsicherheiten, insbesondere im Bereich der Sicherheitsebene4c, wurden durch Einschränkungen bei den Formulierungenberücksichtigt (z.B. „soweit möglich“).- Das Konzept des anlageninternen Notfallschutzes ergänzt die hochwertigenMaßnahmen auf den vorgelagerten Sicherheitsebenen. Die Vorgehensweisewird durch die vorgenommenen Ergänzungen insbesonderein den Kapiteln 2 und 3 im Modul 7 Rev. B erläutert. Es sind auf der Sicherheitsebene4c nur solche Phänomene zu betrachten, die hinreichenderforscht sind.Es ist essentiell, dass Nachweisführungen mit einer hohen Aussagesicherheitversehen sind. Dies bedeutet bspw. bei rechnerischen Nachweisführungen,dass die mit diesen Rechnungen verbundenen Unsicherheitenbekannt sind, denn ansonsten wäre die Aussagesicherheit des Ergebnissesunbekannt. Die Quantifizierung von Unsicherheiten ist Bestandteil der täglichenwissenschaftlich- technischen Arbeit und bspw. seit dem Jahr 1989 imRegelwerk der USA gefordert, wenn "best estimate" Rechenprogramme beiNachweisen zum KMV verwendet werden. In dem einschlägigen IAEA SafetyGuide NS-G-1.2 „Safety Assessment and Verification for Nuclear PowerPlants“,Ziffer 4.90 ist dies ebenfalls niedergelegt. Insofern gibt derKommentar nicht den internationalen Stand wieder.In Revision B von Modul 1 werden gemäß ursprünglichem Text (BMI Sicherheitskriterien)vorhandene Passagen teilweise in die jeweiligen Fachmoduleverlagert.• Sehr ausführliche Darstellung der Anforderungen an Versorgungsfunktionen• Sehr ausführliche Darstellung der Anforderungen an die Notsteuerstelle• Sehr ausführliche Darstellung der Anforderungen an die Lüftung17

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1• Deutlich weniger ausführliche Darstellung der Anforderungen anKühlung der Brennelemente, Kontrolle der Reaktivität und Einschlussder Radioaktivität• Sehr kurze und unvollständige Behandlung der PSA Siehe Antworten zu Ziffer 8 (7) Modul 1 Revision A.622 Noack,RWEPowerFazit:• Modul 1 des Regelwerksvorhabens des BMU weist sowohl konzeptionelleals auch sachliche Mängel auf• Eine zielorientierte, ausführungsunabhängig formulierte Beschreibungvon sicherheitstechnischen Anforderungen ist nicht vorhanden• Sicherheitstechnische Zielsetzungen auf Basis probabilistischerMethoden fehlen völlig• Internationale Vorgaben wurden lediglich selektiv und damit sinnentstellendberücksichtigt• Das Modul enthält viele unbegründete Verschärfungen• Es ist nicht für die Anwendung in Aufsichts- und Genehmigungsverfahrenbestehender Anlagen geeignet• Die genannten Mängel lassen sich nicht im Rahmen einesWorkshops korrigierenWie ist der internationale Stand von Wissenschaft und Technik definiert?Die IAEA hat da verschiedene Arten von Unterlagen veröffentlicht und diein der Hierarchie am höchsten stehenden Unterlagen sind so genannte"Fundamentals". Da gibt es als Basisunterlage das Fundamental No 110„Safety of Nuclear Installations". Da wird eine Zielorientierung vorgegeben.Ein Kritikpunkt, den wir gestern oft gebracht haben, der sich auch inModul 1 findet. Wir sehen keine Definition von Zielen. Was tut die IAEAan dieser Stelle? Die IAEA hat einen „General Nuclear Safety Objective"definiert. Dieses „General Nuclear Safety Objective" beinhaltet denSchutz von Personen und der Umgebung vor den schädlichen Folgen derradioaktiven Strahlung. Das ist etwas, was wir im Atomgesetz haben.Untergeordnet definiert die IAEA in ihrem "Safety Fundamentals" einen"Radiation Protection Objective" und ein "Safety of Nuclear InstallationsObjective". Diese beiden Ziele dienen dazu, dieses "General NuclearSafety Objective" zu erfüllen. Was schreibt die IAEA? Die IAEA schreibt,das finde ich ein sehr schönes Zitat, was unsere Kritik auch schon weitgehendbegründet. Die IAEA fordert: "To take reasonable practicablemeasures to prevent accident in nuclear installation and to mitigate their18Siehe oben.Wie bereits ausgeführt (siehe oben zu Kommentar 498), wird in Modul 1zunächst das übergeordnete Sicherheitsziel (Schutz vor den radioaktivenInventaren, siehe Ziffer 2.1 (1) Modul 1) formuliert, wie auch in der imKommentar genannten IAEA Unterlagen (dort siehe Ziffern 201-205) undsodann im Weiteren technische Ziele (Ziffern 2.1 (2) ff). Die im Kommentarzitierte Aussage (Ziffer 206) aus der IAEA Unterlage ist u. E. durch dieseZiffern in Modul 1 angesprochen. Das im Kommentar genannte Zitat derIAEA beschreibt im Übrigen nicht das übergeordnete „General NuclearSafety Objective“ sondern ein darunterliegendes „Technical Safety Objective“.Diesem übergeordnet setzt die IAEA das „Radiation Protection Objective“.

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1consequences should they occur. To ensure with the high level of confidence,that for all possible accidents taken into account in the design ofthe installation, including those of very low probability any radiologicalconsequences would be minor and below prescribed limits and to insure,that the likelihood of accidents with serious radiological consequences isextremely low".Von diesem Zitat können wir direkt einige Kritikpunkte zum Grundansatzableiten, die sich schlecht in Kommentare fügen lassen. Ein Kritikpunkt,der gestern oft kam, ist die Bewertung der Verhältnismäßigkeit. Die IAEAschreibt eindeutig "Reasonable Practicable Measures", das deutlich aufVerhältnismäßigkeit hinweist. Zur Nutzung der PSA fordert die IAEA ein„High Level of Confidence“, da wird schon eine Verhältnismäßigkeitsbetrachtungangestrebt. Und wichtig ist, dass man bei Maßnahmen dafürsorgt und die Maßnahmen daraufhin ausrichtet, dass die Wahrscheinlichkeitvon Störfällen mit radiologischen Folgen extrem gering bleibt. Alsowerden bei Maßnahmen, bei Überlegungen Wahrscheinlichkeitsbetrachtungenim Rahmen der IAEA vorangestellt. Etwas, was wir hier im Modul1 vermissen.502 FANP Ausnahmeregelungen akzeptabel?Schrittfolge in der Diskussion1. Sicherheitstechnisch unbegründete Anforderungserhöhung2. Nachfrage nach sicherheitstechnischer BegründungAntwort: die Nachweise gehen doch3. Hinweis auf Fälle der bisherigen Genehmigungspraxis, in denenNachweis so nicht gehtReaktion: Formulierung von Ausnahmeregelungen für diese Fälle4. Tauchen später aufgrund weiterer Erkenntnisse bei anderen Fällenebenfalls „Nachweisengpässe“Reaktion: dafür gibt es keine AusnahmeregelungBeispiele:- Nur bei FDL-Leck kurzzeitige, begrenzte Rekritikalität → aber RSK-LLbeispielhaft, daher auch reflux condensor → war nicht angesprochen- Stuck rod + Einzelfehlerkonzept → Hinweis: nirgendwo in der WeltDoppel-stuck rod → Ausnahmeregelung → reflux condensor → Ausnahmegeht nicht, weil neue ErkenntnisSiehe hierzu unsere diesbezüglichen Antworten oben (zu Kommentar 498).-Siehe hierzu Synopse Modul 2.Siehe hierzu in Abschnitt 4 von Modul 1.- Keine BS-Schäden auf Sicherheitsebene 3, Ausnahme KMV → Hin- Siehe hierzu Antwort auf Kommentar 353 (Anlage) sowie Synopse zu Modul19

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1weis auf fehlende Logik bei Ereignishäufigkeit/Restriktivität Kriterien →Reaktion: aber die Nachweise gehen doch → Hinweis auf bisher nichtbetrachteten Fall → Ausnahme geht nicht505 FANP BMU-Workshopreihe zur Aktualisierung des kerntechnischen Regelwerks,23. Januar bis 3. Februar 2006Übergeordnete Kommentare:1. Ablauf des Verfahrens2. Erreichen der vom BMU gesetzten Ziele/ Einhaltung von Zusagena) Verbesserte Konsistenz, Eindeutigkeit des übergeordneten Regelwerks?b) Abgleich mit internationalem Stand?c) Keine Änderung der Sicherheitsphilosophie?3. Anregung zum weiteren Vorgehen3.-Ablauf des Verfahrens:a) Völlig unrealistischer Terminplan (dadurch z.B. Entfall der zugesagtenInformationsveranstaltungen zu den Modulen 4-11 aus Zeitnot)b) Unzureichende Beteiligung der Anwender von Regelwerkc) Kein Rahmen zur systematischen Diskussion/Klärung von Problempunkten(angebotene Web-Seiten-Diskussion ungeeignet)d) Einige vorgesehene Inhalte noch gar nicht in Module eingebracht (z.B.RSK- Stellungnahmen zur Änderung des Konzepts der Sicherheitsebenenund zu VO-Maßnahmen)e) Fehlende Kennzeichnung der Anforderungserhöhungen gegenüberbisherigem Stand des Regelwerksf) Keine überarbeiteten Module für Workshop Januar 2006 als Diskussionsgrundlage-Die aus unserer Sicht sach- und zielgerechte Formulierung der Anforderungenhinsichtlich des Gestaffelten Sicherheitskonzepts bzw. zu VO-Maßnahmen sind unter Berücksichtigung der genannten RSK Stellungnahmenin den Modulen umgesetzt worden.Es wird eine gesonderte Synopse erstellt, in der wesentliche Änderungengegenüber den ersetzten Regelwerkstexten kenntlich gemacht und begründetwerden.Dies wäre auf Basis der bis zum Januar 2006 nur geringfügig eingegangenenKommentare u. E. nicht zielführend gewesen.Ergebnis der Verfahrensdefizite: -Trotz des Bemühens der Auftragnehmer vielfach unfertige Entwürfe, inwesentlichen Punkten nicht oder nicht abschließend kommentierbar,systematische Diskussion im Workshop praktisch nicht möglich, Moduleinsgesamt nicht reif für Verabschiedung (s. inhaltliche Kommentare).-20

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1Verbesserte Konsistenz, Eindeutigkeit des neuen übergeordneten Regelwerks?a) Zuordnung von Inhalten/Anforderungen zu Modulen unlogisch, (z.B.EF- Konzept in M10 statt M1), z.T. fehlt roter Faden in Modulen (z.B.M2/3.2), Auswahl der Inhalte oft unlogisch/unausgewogen (z.B. M10,M1/3)b) Fehlende Systematik durch Entfall der in KTA 2000 definierten Sicherheitsfunktionen,dadurch Formulieren übergeordneter, statt systemspezifischerAnforderungen erschwertc) Vom BMU vorgegebene Abkehr von der „schutzzielorientierten Bewertung“d) Detaillierungsgrad oft ungeeignet für übergeordnetes Regelwerk (z.B.M2/5.1)e) Anforderung zur Klassifizierung von Komponenten nach ihrer sicherheits-technischenBedeutung, aber keine Information, wie sicherheitstechnischeBedeutung (schutzzielorientiert) ermittelt wirdf) Konsistente Interpretation wird erschwert durch unterschiedlicheBehandlung desselben Themas an verschiedenen Stellen (z.B. Ein-21-Die Platzierung von Detailregelungen zum Einzelfehlerkonzept in Modul 10(anstelle von Modul 1, wie vom Kommentator offenbar bevorzugt) ist keineFrage der Logik, sondern eine Entscheidung hinsichtlich des Detaillierungsgradsder Regelungen, die in Modul 1 erscheinen sollen. Zu den Aussagenzu Modul 2 bzw. 10 siehe unsere Antworten dort.Es ist u. E. nicht die Aufgabe von Modul 1 „systemspezifische“ Anforderungenaufzustellen, sondern gerade eben übergeordnete Anforderungen. EineAufstellung von Sicherheitsfunktionen, wie in Anhang A der KTA 2000 „Sicherheitsgrundlagen“aufgelistet, kann ggf. an anderer Stelle als Erläuterungim Regelwerk aufgenommen werden, jedoch tragen die diesbezüglichin den „Sicherheitsgrundlagen“ zu KTA 2000 formulierten Anforderungen u.E: nicht zur Systematik bzw. Klarstellung bei (siehe bspw. Ziffer 3.2 (3): „DerNachweis der Erfüllung der Schutzziele stützt sich auf Sicherheitsfunktionenab, die im Allgemeinen durch Wirksamkeits- und Zuverlässigkeitsanforderungengekennzeichnet sind. Dabei müssen die zur Erfüllung der Sicherheitsfunktionenerforderlichen Systemfunktionen nicht ausschließlich aufSicherheitssystemen aufbauen. Die technische Ausführung der Systemfunktionenmuss die ebenenbezogenen Anforderungen an Wirksamkeit undZuverlässigkeit beinhalten.“).Eine Vorgabe des BMU, von einer „schutzzielorientierten Bewertung abzukehren“,liegt nicht vor. Die Erfahrung mit schutzzielorientierten Bewertungenin diversen PSÜ hat gezeigt, dass auf Grund fehlender Regelungenunterschiedliche Vorgehensweisen mit teilweise nicht nachvollziehbarenErgebnissen angewendet wurden. Die aus unserer Sicht erforderliche Vorgehensweisebei der Bewertung der Sicherheitsaspekte ist in den Modulenbeschrieben, insbesondere auch in Modul 6. Dabei ist die Einhaltung derNachweisziele und -kriterien zu zeigen.Zu den Aussagen zu Modul 2 siehe unsere Antworten dort.Nach unserer Auffassung sind die diesbezüglichen, dem Detaillierungsgradvon Modul 1 entsprechenden Anforderungen in Ziffer 2.1 (10) formuliert.Eine Bezugnahme der Schutzziele erscheint in diesem Zusammenhangohnehin nicht hilfreich.In Revision B der Module wird versucht, die Darstellung von Themen, dieunvermeidlich in mehreren Modulen angesprochen werden müssen, zu

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.Kommentatorzelfehler M1/3.1 (3) und M10)Kommentar Antwort Team 1g) Mit der Begründung, unbestimmte Begriffe seien zu reduzieren, sindFormulierungen wie z.B. „soweit möglich“ vielfach gestrichen worden,dadurch fehlen sinnvolle Hinweise auf erforderliche Verhältnismäßigkeits-Betrachtungen,sinngemäße Interpretation erschwert.h) Erschwerte Interpretation/Anwendung durch Verweisungsketten fürNachweisziele und –randbedingungen (z.B. M2→ M3,Kriterien→M3,Ereignislisten→ M6→ M10)i) Aus Gründen „philosophischer Stringenz“ werden Anforderungenformuliert, wobei unklar bleibt, was nachgewiesen werden soll oder obdas überhaupt relevant ist (z.B. M2/7.1 (2), M1/1)j) Vielfach werden Anforderungen des bestehenden Regelwerks neuformuliert, wobei offen bleibt, ob eine Änderung der Anforderung gemeintist oder nur die Neuformulierung nicht ganz gelungen ist (z.B.Einzelfehlerkonzept)k) Neu formulierte Anforderungen sind z. T. nicht konsistent mit dembestehenden Regelwerk wie StrlSchV, KTA-Regeln, BMI-RichtlinieExplosionsdruckwelle (z.B. M9/1(1))l) Anforderungen für Nachweisführungen verschiedener Verfahrenwerden vermengt (Genehmigung ↔ PSÜ)Insgesamt sind Konsistenz und Eindeutigkeit beim gegenwärtigen Standverringert und nicht erhöht worden. Der entsprechende Stand von KTA2000 wurde noch nicht wieder erreicht.Abgleich mit internationalem Stand? -a) Die vom BMU geforderte „Indikativformulierung“ ist international völligunüblich; der Entfall der üblichen Unterscheidung nach „shall/should“22verbessern.Sofern bei der Frage, welche Sicherheitsvorkehrungen zu realisieren sind,Verhältnismäßigkeitsüberlegungen stattfinden, so sollte dies u. E. außerhalbdes technischen Regelwerks erfolgen bzw. geregelt werden. Formulierungenwie „soweit technisch nicht möglich“ werden hingegen auch in denModulen verwendet.Die Nachweisziele und -kriterien sind zentral in Modul 3 platziert, im Zusammenhangzu den Ereignissen. Ereingisspezifische Randbedingungender Analysen sind, soweit u. E. sinnvoll, direkt bei den Ereignissen (Modul3) formuliert. Randbedingungen, die ereignisübergreifend gelten, sind inModul 6 formuliert. Es werden jedoch nach wie vor auch Randbedingungenin anderen Modulen auftauchen. Eine diesbezüglich weitergehende Zusammenfassungführt u. E. zu anderen Problemen der Übersichtlichkeit.In Modul 1 Kapitel 1 werden die allgemeinen Anforderungen an ein Sicherheitsmanagementsystemgestellt. Anhand nur dieser Anforderungen ist eineEntwicklung derartiger Systeme sicher nicht möglich. Detaillierte Anforderungenwerden in Modul 8 aufgestellt. Zu den Aussagen zu Modul 2 bzw. 10siehe unsere Antworten dort.Es wird eine gesonderte Synopse erstellt, in der wesentliche Änderungengegenüber den ersetzten Regelwerkstexten kenntlich gemacht und begründetwerden.In der Revision B wurde Modul 9 insgesamt auf sprachliche Konsistenz mitder StrlSchV geprüft. Diese führte z.B. auch bei der Ziffer 1 (1) zu sprachlichenAnpassungen. Unterschiede zu Formulierungen der StrlSchV wurdenz.B. dann beibehalten, wenn die jeweilige Anforderung der StrlSchV in Modul9 inhaltlich zu konkretisieren ist.Ohne weitere Konkretisierung ist dieser Kommentar nicht verständlich.Diese Bewertung teilen wir nicht. Eine detaillierte Auseinandersetzung mitder Konsistenz und Eindeutigkeit von KTA 2000 kann hier jedoch nichterfolgen.Bei der Erstellung der Module bestand zunächst der Anspruch, in den Formulierungeneindeutig zu sein und daher möglichst durchgehend die Anfor-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.Kommentatorverstärkt die Interpretationsprobleme.Kommentar Antwort Team 1b) Formulierungen in nationalen und internationalen Quellen, die aufVerhältnismäßigkeitsbetrachtungen hinweisen, („weitgehend“, „in angemessenenUmfang“, „to the extent practicable“, „to the extent possible“)wurden bewusst beseitigt.c) Die international übliche Einbindung der Probabilistik in sicherheitstechnischeBewertungen zur Notwendigkeit und Dringlichkeit vonMaßnahmen fehlt weiterhin. (WENRA: „PSA shall be used to identifythe need for modifications of the plant and its procedures…“)d) Internationale und deutsche Anforderungen werden nicht sinngemäßkombiniert (z. B. stuck rod/deutsches Einzelfehlerkonzept; Unsicherheitsanalyse/konservativabdeckende Analyse).e) BMU-Begründung für Schaffung eines neuen Regelwerks (WENRA-Anforderungen in bindendem Regelwerk erfassen) wird völlig verfehlt.Mit der Verabschiedung der Module nach gegenwärtigem Konzept wirdAbgleich mit internationalem Stand sicher nicht erreicht.Keine Änderung der Sicherheitsphilosophie? -a) Beschreibung des „technisch Möglichen“ als vermeintlich „idealerAnlagenzustand“ statt Definition der nach SvWuT erforderlichen Vorsorgegegen Schädenb) Vorgehen zur Schutzziel-orientierten Bewertung ist nicht mehr erkennbar23derungen in „muss“-Form zu formulieren. Sofern Ausnahmen von der„muss“ Forderung als sachgerecht erforderlich angesehen wurden, warenAusnahmebedingungen zu formulieren. Eine andere Art der Differenzierungist nicht angestrebt worden. Bei den Fällen, in denen eine solche Differenzierungvorgenommen wurde, war diese Differenzierung bei der Übertragungdes Textes in die „indikativ“ Formulierung zu übernehmen. Daher gehtmit der Umstellung der Texte in die „indikativ“ Form kein Verlust an Informationeneinher. Der Vorteil besteht auch darin, dass bei einem nicht unmittelbarrechtsverbindlichen Regelwerk das Wort „muss“ eigentlich fehl am Platzeist.Sofern bei der Frage, welche Sicherheitsvorkehrungen zu realisieren sind,Verhältnismäßigkeitsüberlegungen stattfinden, so sollte dies u. E. außerhalbdes technischen Regelwerks erfolgen bzw. geregelt werden. Formulierungenwie „soweit technisch nicht möglich“ werden hingegen auch in denModulen verwendet.Siehe Antworten zu Ziffer 8 (7) Modul 1 Revision A.Zum stuck rod siehe in Abschnitt 4. Zu anderen Beispielen, sofern im Folgendenin den Kommentaren präzisiert, siehe an den jeweiligen Textstellen.-Diese Bewertung teilen wir nicht. Es ist nicht nachvollziehbar, auf welches„Konzept“ hier Bezug genommen wird.Beschrieben wird ein Anlagenzustand, der die aus heutiger Sicht erforderlichenVorkehrungen, unter Berücksichtigung der in den deutschen Anlagenrealisierten Konzeption, den Stand von Wissenschaft und Technik sowie diein internationalen Anforderungen festgelegten Vorgaben umfasst. Einealleinige Orientierung am „technisch Möglichen“ erfolgt nicht.Die Erfahrung mit schutzzielorientierten Bewertungen in diversen PSÜ hatgezeigt, dass auf Grund fehlender Regelungen unterschiedliche Vorgehensweisenmit teilweise nicht nachvollziehbaren Ergebnissen angewendetwurden. Die aus unserer Sicht erforderliche Vorgehensweise bei der Bewer-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1c) Ungeeignete Ausweitung des Konzepts der Sicherheitsebenen (nebenZuordnung von Ereignisabläufen auch Zuordnung von Komponentenund Leittechnikfunktionen)d) Pragmatische Vereinfachungen in Nachweis-/ Begutachtungspraxiswerden als Anforderungen festgeschriebene) Unbegründete Verschärfungen, z.B. Einzelfehlerkonzept, Barrierenintegrität/Brennstabintegrität, Minimierungsgebotf) Ohne sicherheitstechnische Begründung erhöhte Anforderungenwerden nur teilweise durch Ausnahmeregelungen entschärftg) Angleichung der Anforderungen auf der Sicherheitsebene 4 an dieSicherheitsebene 3h) Viele in „philosophischen Formulierungen“ versteckte Anforderungen,die ohne Nutzen für die Sicherheit zu erheblich erhöhtem Aufwandführen (z.B. M1/1 → „Bürokratismus“ statt Sicherheit)Aufwand wird erhöht ohne nachvollziehbaren Gewinn für Sicherheit.Anregung zum weiteren Vorgehen:• Erstellung eines übergeordneten Regelwerks nach internationalem -24tung der Sicherheitsaspekte ist in den Modulen beschrieben, insbesondereauch in Modul 6. Dabei ist die Einhaltung der Nachweisziele und -kriterienzu zeigen. Es bleibt unklar, welche weiteren Regelungen hier vermisst werden.Es wird nicht erläutert, inwiefern die Zuordnung auch von Einrichtungen zuden Sicherheitsebenen ungeeignet sein soll. Es ist u. E. unabdingbar, dassden Sicherheitsebenen nicht nur Ereignisse zugewiesen werden, sondernauch die Einrichtungen zur Beherrschung der Ereignisse. Andernfalls wäreeines der Grundmerkmale des Gestaffelten Sicherheitskonzepts, die Unabhängigkeitder Sicherheitsebenen, schon konzeptionell nicht erfüllbar. Vergleichbarwird international vorgegangen, siehe bspw. IAEA NS-R-1, Ziffer2.10: „Application of the concept of defence in depth in the design of a plantprovides a series of levels of defence (inherent features, equipment andprocedures) aimed at preventing accidents and ensuring appropriate protectionin the event that prevention fails.“Die angeführten Beispiele werden an den jeweiligen Textstellen besprochen.Die Anforderungen, die in den Modulen bzgl. der Sicherheitsebene 4 beschriebensind, unterscheiden sich von denjenigen der Sicherheitsebene 3.Eine „Angleichung an die Sicherheitsebene 3“ ist nicht erfolgt.Die internationale Entwicklung zeigt, dass Sicherheitsmanagementsystemeals geeignetes Mittel angesehen werden, die Sicherheit von Kernkraftwerkendauerhaft zu gewährleisten. Dazu gehört sicherlich auch ein nicht zuunterschätzender Aufwand für die Dokumentation. Diese ist jedoch zumEinen für eine lückenlose Nachweisführung gegenüber den Behörden undzum Anderen auch als Wissensbasis für den Know how-Übertrag auf einejüngere Betriebsmannschaft erforderlich. Der mit der Dokumentation verbundeneAufwand ist in der Summe damit gerechtfertigt.

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1Stand erfordert Neustart mit• Beteiligung von Erfahrungsträgern in der Anwendung von kerntechnischemRegelwerk, Anlehnung an Praxiserfahrung der KTA-Arbeit• Reduzierung auf übergeordnete Anforderungen• Verwendung der bisherigen Module als „Merkpostenliste“• Sinngemäßer Beachtung des internationalen Standes, EmpfehlungILK• Fachgesprächen zu Problempunkten506 VGBPower• Beim gegenwärtigen Stand der Module nur Sammlung von grundsätzlichenKommentaren auf Workshop sinnvoll, aber keine detaillierte Diskussionzu einzelnen FormulierungenBetreiberstellungnahme zum BMU-Vorhaben: Revision des kerntechnischenRegelwerks am 23.01.2006Gliederung:• Historie• Kritikpunkt 1: Inhalt• Kritikpunkt 2: Verfahren• Kritikpunkt 3: Vorhaben ist vereinbarungswidrig• Kritikpunkt 4: Ungeklärte Grundsatzfragen• Wie kann es weitergehen?Historie:• Informationsveranstaltung am 14./15 Dezember 2004• Schreiben an StS Baake vom 24.02.05 (Antwort: Gesprächsangebot)• Grundsatzschreiben der Betreiber an BMU vom 15.03.05• Erarbeitung und Versendung von Kommentaren zu den Modulen 1-3:Mai 05• atw-Aufsatz im Mai veröffentlicht (Vergleich mit dem Ausland)• Gespräch mit BMU 24.05.05• Versendung von Kommentaren zu den Modulen 4-6: Aug. 05• Weiteres Grundsatzschreiben der Betreiber an BMU zum Verfahren(Internet/Zeitablauf etc.) vom 2.08.05• Rechtsgutachten zum Verfahren (Ossenbühl): Nov. an BMU• Versendung von Kommentaren zu den Modulen 7-11: Nov. 05• Weiteres Grundsatzschreiben der Betreiber an BMU vom 6.01.06• Workshops Ende Jan. 200625--

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1Wichtige Fragestellungen zum BMU Vorhaben(Grundsatzfragen):(1) Inwieweit soll mit dem neuen Regelwerk eine Aussage im Hinblick aufdie erforderliche Schadensvorsorge getroffen werden?(2) Sollen die neuen Regelwerke bei der Ersetzung der Sicherheitskriterienund der Störfallleitlinie die gleiche Bindungswirkung bzw. Wertigkeiterhalten? Wie soll dies erfolgen?(3) Wie soll die Anwendung konkret im Aufsichtsverfahren erfolgen?(4) Stellt die Erfüllung der neuen Anforderungen bei Änderungsgenehmigungeneine Genehmigungsvoraussetzung in Bezug auf die von derÄnderung betroffenen Teile dar?BMU-Gespräch am 24.05 2005:Position der Betreiber / BMU-Gespräch am 24.05 2005Im internationalen Vergleich war und ist das deutsche kerntechnischeRegelwerk inhaltlich auf sehr hohem Niveau.Die Betreiber sehen allenfalls einen gewissen Erneuerungsbedarf imdeutschen Regelwerk in Bezug auf• eine Systematisierung von Regeln,• das Füllen einzelner Lücken (wie z. B. Sicherheitsmanagement) und• das punktuelle Anpassen einzelner Anforderungen aufgrund neuer Erkenntnisse.Darüber hinaus werden aber auch weitergehende Änderungen von denBetreibern unterstützt.-26

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1Zur Erläuterung folgt eine Kategorisierung solcher Änderungen:Änderung von Sicherheitsstandards (Kategorien)Änderungen von Sicherheitsstandards lassen sich nach unseren Erfahrungenund auch nach unseren Informationen über vergleichbare Vorgängeim Ausland in Bezug auf ihre Begründung grundsätzlich in dreiKategorien einteilen:• A Neue Erkenntnisse (Errata)• B Neue Möglichkeiten zur weiteren Verbesserung der Sicherheit• C Neubewertung der erforderlichen Sicherheit• Zu A: Neue Erkenntnisse (Forschungsergebnisse, Ereignisse, Neuberechnungetc.) zeigen, dass die dem Sicherheitskonzept zugrundeliegenden technisch-wissenschaftlichen Annahmen falsch sind, sodass der Schutzzweck nicht erfüllt ist.• Zu B: Neue technische Möglichkeiten ermöglichen eine Erhöhung desSchutzniveaus, die vorher nicht oder nur mit unverhältnismäßighohem Aufwand zu verwirklichen gewesen wäre, oder neue Analysenzeigen auf, an welchen Stellen man die Sicherheit mit verhältnismäßigenMitteln wirksam weiter erhöhen kann.Zu C: Aufgrund einer neuen Bewertung („man hat es sich noch einmalüberlegt“) wird ein höheres Sicherheitsniveau gefordert. Dies führtgegenüber dem bisherigen Stand zu einer Erhöhung der Konservativität,ohne dass dies durch neue Erkenntnisse als erforderlichdargestellt oder ohne dass es mit neuen technischen Möglichkeitenplausibel begründet werden könnte.Es wird eine gesonderte Synopse erstellt, in der wesentliche Änderungengegenüber den ersetzten Regelwerkstexten begründet werden. Dabei werdenauf die im Kommentar genannten Kategorien in Bezug genommen.Änderungen des Regelwerks der Kategorie A (neue Erkenntnisse) werdenvon den deutschen Betreibern selbstverständlich akzeptiert.Änderungen des Regelwerks der Kategorien B (neue Möglichkeiten) undC (neue Bewertung) dürfen nach der Vereinbarung zwischen der Bundesregierungund den EVU vom 11.06.2001 von der Bundesregierung nichtinitiiert werden.Allerdings verschließen sich die deutschen Betreiber nicht grundsätzlichder Weiterentwicklung des Regelwerks und den hiermit in Verbindungstehenden Harmonisierungsbestrebungen auf europäischer Ebene, wenndabei folgendes gewährleistet ist:• Die neuen Standards sollen eine sinnvolle technische Weiterentwicklungwiderspiegeln (Kategorie B).27

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1• Neue Standards sollen nicht feststellen oder auch nur den Eindruckerwecken, dass es um die erforderliche Vorsorge gegen Schäden geht.Sie sollen die entsprechenden Maßnahmen nur als „sinnvoll“ oder„zweckmäßig“ bzw. als „Ergänzung“ etc. bezeichnen (wie etwa derRSK-Abschlussbericht von 1988 zu bestimmten Notfallschutzmaßnahmen).• Neue Standards (der Kategorie B) sollen (da sie sich nur auf Altanlagenbeziehen können) nur empfehlenden Charakter haben.WENRA• Die Betreiber begrüßen den vom EU-Rat geförderten WENRA-Prozess,im europäischen Rahmen „reference levels“ und „best practices“ zu erarbeiten,die gerade nicht den kleinsten gemeinsamen Nenner bei dernuklearen Sicherheit in der EU festschreiben sollen (upper quartile).• Der WENRA-Zeitplan gestattet – abweichend vom BMU- Vorhaben –eine angemessene Qualitätssicherung.• Zu einem Vergleich der Anlagentechnologie und Betriebsführung mitderartigen WENRA-Maßstäben sind die Betreiber bereit.Im Ergebnis bedeutet dies:• Falls bestimmte neue Anforderungen international allgemein auch beiAltanlagen umgesetzt werden, sind die deutschen Betreiber bereit, einevergleichbare Umsetzung auf freiwilliger Basis durchzuführen. Dabeisollen international übliche Verhältnismäßigkeitserwägungen (erzielbarerNutzen zu erforderlichem Aufwand) herangezogen werden. Ebenfallssollen dabei international übliche Qualitätsstandards und die im Auslandangewandte Praxis bei der Umsetzung berücksichtigt werden.Mit diesem Angebot gehen die Betreiber deutlich über die Vereinbarungvom 11.06.2001 hinaus, auch wenn dort auf das internationale Sicherheitsniveauverwiesen wird.Kritikpunkt 1: Inhalt• Eindruck:- Sammlung von Anforderungen je nach Neigung der Autoren und zugänglichenFundstellen- Autoren nicht erfahren in Genehmigungs- und Aufsichtsverfahren--28

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1• Ideale Anlage ist hypothetisch: weder Konvoi, nirgendwo existent, wohlauch nicht möglich• Weitgehend zu detailliert: KTA-Regel-Niveau, ohne dass die breite –im KTA übliche - Fachkenntnis einbezogen wurde• Indikativformulierungen sind Regelwerken fremd, international ohneBeispiel, auch abweichend von Sicherheitskriterien etc. (IAEA:shall/should)• Unzureichende Qualität und Reifegrad (vgl. z.B. 389. Sitzung der RSK:kein roter Faden erkennbar)Beschrieben wird ein Anlagenzustand, der die aus heutiger Sicht erforderlichenVorkehrungen, unter Berücksichtigung der in den deutschen Anlagenrealisierten Konzeption, den Stand von Wissenschaft und Technik sowie diein internationalen Anforderungen festgelegten Vorgaben umfasst. Einealleinige Orientierung am „technisch Möglichen“ erfolgt nicht.Als Abgrenzungsmerkmale für die in den Modulen 2-11 zu formulierendenTexten gegenüber KTA Regeln dienten zum Einen die bestehenden, zuersetzenden Texte, sofern keine entsprechenden KTA Texte vorliegen. InEinzelfällen sind, sofern keine Regelungen in KTA Regeln vorliegen, neueRegelungen in den Modulen aufgenommen worden, die hinsichtlich desumgesetzten Abstraktions- und Detaillierungsgrad auch in eine KTA Regelüberführt werden könnten. Als grobe Orientierung diente zudem die Prüffrage,inwieweit erwartet werden kann, dass die zu formulierenden Regelungenfür einen deutlich längeren Zeitraum unverändert Bestand haben werden,als die Überprüfungsfristen der KTA Regeln.Bei der Erstellung der Module bestand zunächst der Anspruch in den Formulierungeneindeutig zu sein und daher möglichst durchgehend die Anforderungenin „muss“-Form zu formulieren. Sofern Ausnahmen von der„muss“ Forderung als sachgerecht erforderlich angesehen wurden, warenAusnahmebedingungen zu formulieren. Eine andere Art der Differenzierungist nicht angestrebt worden. Bei den Fällen, in denen eine solche Differenzierungvorgenommen wurde, war diese Differenzierung bei der Übertragungdes Textes in die „indikativ“ Formulierung zu übernehmen. Daher gehtmit der Umstellung der Texte in die „indikativ“ Form kein Verlust an Informationeneinher. Der Vorteil besteht auch darin, dass bei einem nicht unmittelbarrechtsverbindlichen Regelwerk das Wort „muss“ eigentlich fehl am Platzeist.Eine solche Aussage der RSK liegt nicht vor. Es wird hier (Anlage 1c der389. Sitzung) explizit darauf verwiesen, dass „nur eine Reihe von Kommentarenweiter gegeben“ wird. In diesem Kommentar heißt es: „Der „rote Faden“(Systematik) hinsichtlich der Behandlung der Sicherheitsebenen istnicht immer erkennbar.“29

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1Betreiberteilnahme an den Workshops:Die vorliegenden Entwürfe besitzen keinen solchen Reifegrad, dass durchdie beispielhafte Kommentierung der Betreiber eine abschließende Fertigstellungmöglich wäre. Die Betreiber verweisen auf ihre grundsätzlichenBedenken gegen das laufende Projekt zur Regelwerkerstellung in dervorliegenden Form. Die Workshops, die sich auf die jetzt vorliegendenModule beziehen, sind Bestandteil der bisherigen, nicht zielführendenVerfahrensweise. Umfang sowie die Qualität der Entwürfe sprengen jeglicheMöglichkeit einer umfassenden fachlich vertieften und kompetentenStellungnahme. Der rein formale Charakter der Beteiligung ist offenkundig.Unsere Teilnahme ändert nichts an unseren erwähnten Einwendungen.Kritikpunkt 2: Verfahren• Zusagen zum Verfahren wurden nicht eingehalten: z.B. Änderungen/Verschärfungen kennzeichnen und begründen.-Es wird eine gesonderte Synopse erstellt, in der wesentliche Änderungengegenüber den ersetzten Regelwerkstexten kenntlich gemacht und begründetwerden.• Die meisten BMU-Beiträge vom Workshop Dez. 2004 fehlen. -• Kommentare z. T. unvollständig, falsch oder falsch zugeordnet (vgl.Betreiberschreiben vom 2. August 2005).• Die Internetplattform stellt lediglich eine Pseudotransparenz dar (Verschachtelung).• Die Beteiligung der betroffenen Kreise, vor allem der Betreiber, Herstellerund Gutachter, ist ein nachträglich aufgesetztes, rein formalesElement, das keine echte keine Fachdiskussion zulässt. Das bedeutetden Verzicht auf fast die gesamte in Deutschland vorhandene Expertiseund damit auf ein entscheidendes Element der Qualitätssicherung.• Ziel und Anwendungshorizont muss am Anfang definiert werden(vgl. Grundsatzfragen, Kritikpunkt 4)• Verfahren international ohne Beispiel (vgl. atw Mai 2005) :BeispielSchweden späterKritikpunkt 3: Vorhaben ist vereinbarungswidrig(Änderung der Sicherheitsphilosophie) Auszug aus der Vereinbarung mitEine falsche Zuordnung von Kommentaren zu Modulen, was gemäß demSchreiben vom 2. August erfolgt sein soll, wird, sofern dies bei der anfänglichenZuordnung passiert sein sollte, in der Kommentarbeantwortung durchdas jeweilige Team erkannt und korrigiert. In der Kommentarbeantwortung,die Revision A der Module zu Grunde lag, ist dies vollständig erfolgt. Zudemsind seit Herbst 2005 alle eingegangen Kommentare in der Internetplattformabrufbar. Wunschgemäß ist auch in diesen Synopsen die Zuordnung ausschließlichper Organisation erfolgt.--30

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1der Bundesregierung vom 11.06.2001:„III. Betrieb der Anlagen während der Restlaufzeit, 1. Sicherheitsstandard/ Staatliche AufsichtUnbeschadet unterschiedlicher Einschätzungen hinsichtlich der Verantwortbarkeitder Risiken der Kernenergienutzung stimmen beide Seitenüberein, dass die Kernkraftwerke und sonstigen kerntechnischen Anlagenauf einem international gesehen hohen Sicherheitsniveau betrieben werden.Sie bekräftigen ihre Auffassung, dass dieses Sicherheitsniveau weiterhinaufrechterhalten wird.Während der Restlaufzeiten wird der von Recht und Gesetz gefordertehohe Sicherheitsstandard weiter gewährleistet, die Bundesregierung wirdkeine Initiative ergreifen, um diesen Sicherheitsstandard und die diesemzugrunde liegende Sicherheitsphilosophie zu ändern.“Dies bedeutet u. a., dass mit dem Verzicht der Betreiber auf eine zeitlichunbegrenzte Betriebsgenehmigung die Bundesregierung sich im Gegenzugverpflichtet hat, Sicherheitsstandards nur dann zu ändern, wenn denndieses aufgrund von neuen Erkenntnissen geboten ist.Nicht zulässig sind danach Änderungen der Sicherheitsstandards aufgrundeiner neuen Bewertung. Notwendige Änderungen aufgrund neuerErkenntnisse (Forschungsergebnisse, Ereignisse, Neuberechnungen)werden von den Betreibern selbstverständlich akzeptiert.Vgl. oben Kat.A/ Kat.B/ Kat.C Die bisherige Sicherheitsphilosophie spiegeltsich vor allem in den sog. BMI-Sicherheitskriterien und BMI-Störfallleitlinien wieder. Diese behördliche Sicherheitsphilosophie ist seinerzeitauf Bundesebene zentral festgelegt worden, damit das Restrisikoim Bundesgebiet einheitlich bewertet wird(vgl. Schattke atw, 8/9 1988). Es sind gerade die erwähnten Sicherheitskriterienund Störfallleitlinien, die nun geändert werden sollen.Änderung der Sicherheitsphilosophie im Regelwerk nicht nur vereinbarungswidrig,sondern auch aus rechtlichen Gründen unzulässig:• Sicherheitsphilosophie für die bestehenden Anlagen ist konkretisiert inden Genehmigungen auf der Grundlage des bestehenden Regelwerkes;• Bestandsschutz: Durchbrechung dieser Konkretisierung durch Neufestlegungvon Sicherheitsstandards nur bei neuen Erkenntnissen über diedem Sicherheitskonzept zugrunde liegenden technischwissenschaftlichenAnnahmen möglich, nicht aber bei bloßer (d. h. ausanderen Gründen erfolgter) „Änderung der Sicherheitsphilosophie“.-31

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1Änderung der Sicherheitsphilosophie auf den Punkt gebracht:Verschärfungen, ohne dass dies wegen erkannter Fehler notwendig ist.(nach dem Motto: Man hat es sich noch einmal überlegt)Die Entwürfe für das „neue Regelwerk“ enthalten viele Beispiele für solcheVerschärfungen, ohne dass dies wegen erkannter Fehler notwendigund begründet ist (beispielhafte Erläuterung im Workshop). Beispiele:- Anforderungen an die 1. Sicherheitsebene- Anforderungen an die 4. SicherheitsebeneWeiteres anschauliches Beispiel: Auslegung gegen Erdbeben als LastfallC anstelle bisher Lastfall D-Zu den beiden genannten Beispielen:Es ist eines der Grundmerkmale des Gestaffelten Sicherheitskonzepts, dassdie „Verteidigungsvorkehrungen“ auf den jeweiligen Sicherheitsebenenmöglichst unabhängig voneinander ausgebildet sind. Dieses Grundmerkmalist in Modul 1 Ziffer 2.1 (5) formuliert. Aus diesem Merkmal ergeben sichzwangsläufig auch Anforderungen an die Einrichtungen der Sicherheitsebenen1 und 2. In Revision B von Modul 1 sind diesbezüglich allerdings Präzisierungenvorgenommen worden, mit der Zielsetzung, die Vielzahl der Einrichtungen,die auf diesen Sicherheitsebenen vorhanden, jedoch nicht oderkaum von Sicherheitsrelevanz sind, auszusparen.Die in den Modulen formulierten Anforderungen hinsichtlich der Sicherheitsebene4 haben ihren Ursprung in den seit über 20 Jahren geltenden „Sicherheitskriterien“und den Empfehlungen der RSK, die sich im Wesentlichenauf durchgeführte Risikostudien beziehen. In den nun vorliegendenErgebnissen sind die vorliegenden Anforderungen systematisiert und denEbenen des Sicherheitskonzept zugeordnet worden. Eine Verschärfung istnicht vorgenommen worden.Eine Verschärfung gegenüber der bisherigen Praxis ist generell nicht vorgesehen.Auch bisher wurden die Lastfälle B und C für Komponenten angewendet,bei denen auf Grund von funktionellen Anforderungen zur Beherrschungdes Bemessungserdbebens keine Formänderung und Plastifizierungzulässig war. Das Bemessungserdbeben wurde schon immer den„Auslegungsstörfällen“ zugeordnet, für die grundsätzlich weitgehend derLastfall C maßgebend ist. Dies schließt aber nicht aus (siehe Anhang A2 zuModul 3), dass für die Nachweisführung zum Bemessungserdbeben z.B. fürRohrleitungen und Kabeltragkontruktionen, bei denen eine starre und versteifteKonstruktion vermieden werden sollte, auch der Lastfall D zur Anwendungkommen kann.32

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1Kritikpunkt 4: Ungeklärte Grundsatzfragen(1) Inwieweit soll mit dem neuen Regelwerk eine Aussage im Hinblick aufdie erforderliche Schadensvorsorge getroffen werden?(2) Sollen die neuen Regelwerke bei der Ersetzung der Sicherheitskriterienund der Störfallleitlinie die gleiche Bindungswirkung bzw. Wertigkeiterhalten? Wie soll dies erfolgen?(3) Wie soll die Anwendung konkret im Aufsichtsverfahren erfolgen?(4) Stellt die Erfüllung der neuen Anforderungen bei Änderungsgenehmigungeneine Genehmigungsvoraussetzung in Bezug auf die von derÄnderung betroffenen Teile dar?Tatsachen:• Die Sicherheitskriterien und Störfallleitlinien sind nicht unverbindlich.• Die Sicherheitskriterien und Störfallleitlinien sind auch nicht im Indikativverfasst.• Sie definieren die Sicherheitsphilosophie (vgl. Schattke s. o.).• Sie konkretisieren die erforderliche Schadensvorsorge für die nachInkraftsetzung gebauten Anlagen (vgl. diverse Verwaltungsgerichtsentscheidungen,z.B. OVG Lüneburg - 7 OVG A 108/86 -).• Die Sicherheitskriterien und Störfallleitlinien sollten beide von Anfangan die Verweisung in §28(3) StrlSchV (heute §49(1)) ausfüllen.• Die Verweisung in §49(1) StrlSchV ist statisch (auch BMU am24.05.2005).Somit stellen wir die Grundsatzfragen erneut:Inwieweit soll mit dem neuen Regelwerk eine Aussage im Hinblick auf dieerforderliche Schadensvorsorge getroffen werden?(1) Sollen die neuen Regelwerke bei der Ersetzung der Sicherheitskriterienund der Störfallleitlinie die gleiche Bindungswirkung bzw. Wertigkeiterhalten? Wie soll dies erfolgen?Diese Fragen blieben bisher unbeantwortet. Mündlich Aussagen hierzu(und Erläuterungspapier im Internet) sind widersprüchlich.Die Fragen müssen vor Erarbeitung des Regelwerks beantwortetwerden und bestimmen die Zielrichtung.(2) Wie soll die Anwendung konkret im Aufsichtsverfahren erfolgen?Szenarien: - Änderungen- Anfahren nach Revision (neuer Kern)- Sicherheitsüberprüfung-----33

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1(3) Stellt die Erfüllung der neuen Anforderungen bei Änderungsgenehmigungeneine Genehmigungsvoraussetzung in Bezug auf die von derÄnderung betroffenen Teile dar?Szenarien: - Redundanzerhöhung- Digitale Leittechnik- Leistungserhöhung5. Wie kann es weitergehen?• Vergleich mit dem Ausland• Beispiel Schweden• Vorraussetzungen für ein neues Regelwerk in Deutschland• Bewährte Praxis für Sicherheitsverbesserungen in DeutschlandVergleich mit dem Ausland:Übertragung des Vorgehens im Ausland auf deutsche Anlagen ist nurbegrenzt zulässig:• Im Ausland wird die Kerntechnik weiterentwickelt. Mittel- und langfristigwerden neue Kernkraftwerke geplant. Neue Auslegungsstandards werdendaher häufig nur für Neuanlagen gefordert.• Die deutschen Kernkraftwerke haben aufgrund ihrer sicherheitstechnischenAuslegungsmerkmale im präventiven Bereich heute schon eindeutlich höheres Sicherheitsniveau im Auslegungsbereich als die meistenausländischen Anlagen.• Regelwerke haben unterschiedliche Rechtsfolgen. Die gesetzlichenRandbedingungen in den verschiedenen Ländern weichen beträchtlichvoneinander ab. Scharfe Grenzen der „Erforderlichkeit“ wie in Deutschland(„erforderliche Schadensvorsorge“) fehlen oder haben einen anderenStellenwert. Gleiches gilt für die Genehmigungsvoraussetzungen beiÄnderungen.Deutsches Regelwerk im internationalen Vergleich:Generell ist es keinesfalls so, dass im Bezug auf das vorhandene Regelwerkdas Ausland Deutschland weit überholt hat,sondern dass im Gegenteil bisher einige Länder überhaupt kein Regelwerkbesitzen, welches dem deutschen Regelwerk - was Umfang undKonsistenz angeht - vergleichbar ist. Die Situation im Ausland ist eherheterogen:In Schweden wurde z. B. kürzlich ein neues (sehr schlankes) Regelwerkverabschiedet. Neue Auslegungsanforderungen im finnischen Regelwerkbeziehen sich im Wesentlichen auf Neuanlagen. Länder wie Spanien,Großbritannien, Frankreich, Belgien und die Niederlande besitzen prak----34

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1tisch kein konsistentes Regelwerk.siehe atw Mai 2005Beispiel Schweden: In Schweden wurde mit dem Regelwerk gleichzeitigfestgelegt, in welcher Form dies von den bestehenden Anlagen umgesetztwerden soll, so dass dort die oben zitierten grundsätzlichen Fragestellungenobsolet sind.Diese Festlegungen erfolgten nach einem intensiven Dialog mit denBetreibern.WENRA RHWG-Report Jan. 2006, Annex 3: „The General Recommondationson how to interpret the regulations have been issued in direct connectionto the regulation and are incuded in the respective SKIFS publication.“Auf der Informationsveranstaltung (Dez. 2004) wurde jeglicher Ansatz indieser Richtung (z.B. Probeanwendung, um Auswirkungen und Interpretationzu testen) als Kontamination der hehren Ideale abgelehnt.Voraussetzungen für einen neuen, erfolgreichen Ansatz zur Überarbeitungdes Regelwerks:• Verfahren muss neu aufgesetzt werden- neuer Zeitstrahl- neue Zielsetzung, z.B. schlankes Regelwerk bezügl. Sicherheitszieleund keine Detailregelung (diese als KTA-Regeln)- bestehende Entwürfe als Stoffsammlung- Beachtung der ILK-Stellungnahme vom Juli 2005• Anwendungsregularien, d.h.- Verhältnis zum Bestandschutz,- zur „erforderlichen Schadensvorsorge“,- zur zeitlichen Umsetzungmüssen einvernehmlich mit den Betreibern erstellt werden (vergl.Schweden)• Fachliche Einbindung von Gutachtern, Herstellern und Betreiber• Dies bedingt konsensuales VorgehenBewährte Praxis für Sicherheitsverbesserungen in Deutschland:• Diskussion über konkrete sinnvolle sicherheitstechnische Verbesserungen• Einigung über Umsetzung erzielen• Flankierend Randbedingungen festlegen(vgl. Notfallmaßnahmen)35--

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1Mit WENRA ist ein Anlass gegeben, einen solchen Prozess anzustoßen.Der WENRA-Prozess ist hinsichtlich der Erarbeitung von „Reference-Levels“ zu einem vorläufigen Abschluss gekommen. Damit kann eineBewertung der (interpretationsfähigen) Ergebnisse fachlich fundiert beginnen.Zu einem Vergleich der Anlagentechnologie und Betriebsführungmit den WENRA-Reference-Levels sind die Betreiber bereit. Auf Basis derBechmarkergebnisse kann eine Diskussion über konkrete sinnvolle Verbesserungengeführt werden. Ein solches pragmatische Vorgehen führtmit Sicherheit schneller zu sicherheitstechnischen Verbesserungen alsein streitiges Regelwerk. Die Betreiber sind bereit, das Ergebnis desWENRA-Prozesses an ihren Anlagen zu spiegeln:Falls der WENRA-Prozess ergibt, dass bestimmte neue Anforderungeninternational allgemein auch bei Altanlagen umgesetzt werden, sind diedeutschen Betreiber bereit, eine vergleichbare Umsetzung auf freiwilligerBasis durchzuführen. Dabei sollen international übliche Verhältnismäßigkeitserwägungen(erzielbarer Nutzen zu erforderlichem Aufwand) herangezogenwerden. Ebenfalls sollen dabei international übliche Qualitätsstandardsund die im Ausland angewandte Praxis bei der Umsetzungberücksichtigt werden.Mit diesem Angebot gehen die Betreiber deutlich über die Vereinbarungvom 11.06.2001 hinaus, auch wenn dort auf das internationale Sicherheitsniveauverwiesen wird.534 UM BW Kommentare zum Modul 1: Die angestrebte Regelwerkshierarchie (Modul1 als übergeordnetes Modul) wurde im vorliegenden Entwurf nicht erreicht.Die Tiefe der im Modul 1 geregelten Inhalte ist noch sehr unterschiedlich.So werden in einzelnen Bereichen Details geregelt, während inanderen Bereichen nur generelle Anforderungen behandelt werden. Einzelnewesentliche Inhalte (z.B. übergeordnete Ausführungen zum Einzelfehlerkonzept)fehlen ganz. Inhalte aus nach geordneten Modulen werdenim Modul 1 nicht weiter abstrahiert, sondern wurden im Großen und Ganzenwortwörtlich aus den jeweiligen Modulen übernommen. Hier wirdnoch erheblicher Überarbeitungsbedarf für das Gesamtmodul gesehen.(...) [siehe unter Ziffer 8 (7a)](...) [siehe unter Ziffer 8](...) [siehe unter Ziffer 2]---In Revision B von Modul 1 werden gemäß ursprünglichem Text (BMI Sicherheitskriterien)vorhandene Passagen teilweise in die jeweiligen Fachmoduleverlagert.Bereits in Revision A von Modul 1 ist das Einzelfehlerkonzept eingeführt. InRevision B wird dieses noch erweitert und demgegenüber in Modul 10 gekürzt.Eine vollständige Darstellung des Einzelfehlerkonzepts soll jedochauch in Revision B nicht in Modul 1 erfolgen, da u. E. zu detailliert.Es ist u. E. nicht erforderlich, in den zu ersetzenden Regelwerkstexten vorhandeneund sachgerechte Formulierungen auf Grund des Abstraktionsgedankensder Module zu verändern (bspw. abstrahieren). Wenn es dembesseren Verständnis eines Moduls dient, spricht u. E. nichts dagegen,bspw. Anforderungen aus Modul 1 zu wiederholen (Voraussetzung: wortgleich)und auf die bestehende Regel in Modul 1 hinzuweisen. Dies ist dasheute breit praktizierte Vorgehen, bspw. auch in KTA Regeln. Insofernstimmen wir der Bewertung, dass hier erheblicher Überarbeitungsbedarfbesteht, nicht zu (Ausnahme siehe 1. und 2. Absatz dieser Antwort).36

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1580 UM BW Das Umweltministerium Baden-Württemberg begrüßt die Erarbeitungeines zeitgemäßen kerntechnischen Regelwerks, das die Anforderungender erforderlichen Vorsorge gegen Schäden nach dem Stand von Wissenschaftund Technik konkretisiert. Ein systematisches Ausfüllen derRegulierungsebene unterhalb des Atomgesetzes und oberhalb der KTA-Fachregeln kann für ein sachgerechtes Verwaltungshandeln hilfreich sein,auch wenn die Laufzeiten der bestehenden Kernkraftwerke befristet undneue Kernkraftwerke nicht vorgesehen sind.Voraussetzung ist jedoch, dass durch die neue Regulierung ein Mehr anKlarheit und Rechtssicherheit in den atomrechtlichen Verwaltungsverfahrenerreicht wird. Die Anforderungen müssen auf die bestehenden Kernkraftwerkeanwendbar sein und von allen Beteiligten in den atomrechtlichenVerfahren einheitlich interpretiert und verstanden werden. Das Ringenum ein einheitliches Verständnis und das Ausschließen von missverständlichenFormulierungen hat in der Phase der Regelwerkserstellung zuerfolgen. Eine Verlagerung der Diskussionen auf die Anwendung in konkretenVerwaltungsverfahren muss vermieden werden.Das Umweltministerium Baden-Württemberg hat sich an der Workshopreihezur Aktualisierung des kerntechnischen Regelwerks vom 23.1. bis3.2.2006 beteiligt. Nach Abschluss der Workshops werden nun wesentlicheKommentare nochmals schriftlich vorgetragen. Durch diese schriftlicheKommentierung soll es dem das Regelwerk erstellenden Projektermöglicht werden, diese Kommentare sachgerecht zu bewerten und beider Überarbeitung der Regelentwürfe, in der sog. Revision B, zu berücksichtigen.Aufbauend auf dieser Revision B der Regelentwürfe soll dann ein weitergehendesBeteiligungsverfahren zwischen Bund und den Ländern vereinbartwerden. Ziel ist es dabei sicherzustellen, dass das Regelwerk auf derGrundlage eines umfassenden Diskussionsprozesses mit der Fachweltund der Wissenschaft erarbeitet wird. Die nachstehende Kommentierungist noch als ein Bestandteil des vorlaufenden Prozesses der Erarbeitungqualifizierter Regelentwurfsvorlagen zu sehen.Wie im Koalitionsvertrag zwischen CDU/CSU und SPD festgelegt, sollenBund und Länder bei der Atomaufsicht vertrauensvoll zusammenarbeiten.Diese Festlegung wurde mit dem Beschluss des Hauptausschusses vom19.01.2006 aufgenommen und für das Regelwerksvorhaben konkretisiert.Alle weiteren Schritte müssen vor dem Hintergrund dieses Beschlussesgesehen und bewertet werden. Er bildet die Grundlage der Zusammenarbeit.Auf dieser Basis ist das Umweltministerium Baden-Württemberg bereit,37---

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1an der Weiterentwicklung des kerntechnischen Regelwerks in zielführenderWeise mitzuarbeiten. Im Folgenden wird die rechtliche Stellung desRegelwerks nochmals aus hiesiger Sicht dargestellt. Anschließend werdenwesentliche übergeordnete Kommentare, die das gesamte Regelwerkund alle Module betreffen, gegeben.Ergänzende Kommentare zu den einzelnen Modulen sind als Anlagebeigefügt.1. Rechtliche Stellung des neuen RegelwerksDas neue Regelwerk soll u.a. die von § 49 Abs. 1 StrlSchV in Bezuggenommenen Störfallleitlinien und Sicherheitskriterien ersetzen. Da dieVerweisung in § 49 Abs. 1 Satz 3 StrlSchV auf die „veröffentlichten Sicherheitskriterienund Leitlinien für Kernkraftwerke“ als statische Verweisunganzusehen ist, ist § 49 Abs. 1 Satz 3 StrlSchV entsprechend zuändern.Ausgangspunkt bei der Erarbeitung eines neuen kerntechnischen Regelwerksmuss dabei die gegenwärtige Rechtslage sein, nach der eine Genehmigungneuer Kernkraftwerke in Deutschland ausgeschlossen ist. Daskerntechnische Regelwerk hat sich daher vorrangig auf die nach demStand von Wissenschaft und Technik erforderliche Vorsorge gegen Schädendurch den Betrieb sowie durch technische Änderungen der bestehendenAnlagen zu konzentrieren. Das kerntechnische Regelwerk mussein dem Stand von Wissenschaft und Technik entsprechendes Referenzniveaufür die Sicherheit der derzeit betriebenen deutschen Kernkraftwerkeenthalten.Der derzeit vorliegende Entwurf des kerntechnischen Regelwerks weichtin der Darstellung des gestaffelten Sicherheitssystems grundsätzlich vonder bislang geltenden Sicherheitsphilosophie ab, wonach die Sicherheitsebenen1 bis 3 die Schadensvorsorge iSd § 7 Abs.2 Nr.3 AtG umfassenund darstellen, welche Vorsorgemaßnahmen nach dem gegenwärtigenStand von Wissenschaft und Technik erforderlich sind. Ereignisse derSicherheitsebene 4 gehören dagegen zum Restrisiko und liegen damitjenseits der Grenze der praktischen Vernunft, bis zu welcher Schadensvorsorgezu treffen ist. Diese Grundphilosophie der Auslegung deutscherAnlagen sollte beibehalten werden, allenfalls können Einzelereignisse aufGrund neuerer Erkenntnisse von einer Ebene in die andere verschobenwerden. Die Änderung der grundlegenden Sicherheitsphilosophie derdeutschen Kernkraftwerke verstößt gegen die Vereinbarung zwischen derBundesregierung und den Elektrizitätsversorgungsunternehmen vom 14.Juni 2000.38--

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 12. Übergeordnete Kommentare zu den Modulen 1 bis 11 -2.1 Eine Aktualisierung des kerntechnischen Regelwerks muss, wie derHauptausschuss des Länderausschusses für Atomkernenergie festgestellthat, auf der Grundlage eines umfassenden Diskussionsprozessesmit der Fachwelt und der Wissenschaft erarbeitet werden. Nurauf dieser Basis kann die erforderliche Qualität des Regelwerks sichergestelltwerden. Dies ist bisher nur ungenügend erfolgt. Angesichtsdes derzeitigen Reifegrades des gesamten Regelwerksentwurfswie auch der einzelnen Module konnte die Workshop-Reihe nurein Einstieg in die o.g. Fachdiskussion sein.2.2 Die Internationale Länderkommission Kerntechnik (ILK) hat in derStellungnahme Nr. 22 Empfehlungen zu Anforderungen an ein zeitgemäßesAllgemeines Kerntechnisches Regelwerk in Deutschlandausgesprochen. Diesen Anforderungen werden die vorliegenden Modul-Textenoch nicht gerecht.39-Der inhaltliche Sinn der Empfehlung 5.1 der ILK ist im Regelwerksvorhabenumgesetzt. Insbesondere gilt:Die Grundlagen für die Fortschreibung des kerntechnischen Regelwerks imRahmen SR 2475 sind neben der Berücksichtigung internationaler Empfehlungen(Sicherheitsstandards der IAEA und Referenzniveaus der WENRA)und fortgeschrittener Praktiken in anderen Ländern auch die Erfahrungenaus der Anwendung des bestehenden Regelwerks bei Genehmigung undAufsicht in Deutschland. Das neu zu strukturierende kerntechnische Regelwerkorientiert sich am Stand von Wissenschaft und Technik und ist unabhängigvon politischen Projektionen in die Zukunft. In Übereinstimmung mitder Stellungnahme der ILK konzentriert „es sich auf die Festlegung deserforderlichen hohen Standes der Sicherheit der bestehenden Kernkraftwerkein allen Phasen ihres Betriebes. Dabei sind technische Anforderungenan die Anlagen mit ihren Komponenten sowie sicherheitsbezogeneAnforderungen an die Betriebsweise der Anlagen gleichermaßen bedeutsam.In die Arbeiten zur Aktualisierung des kerntechnischen Regelwerkswerden umfassend auch jüngere Mitarbeiter einbezogen. Insofern wirdhiermit auch ein Beitrag zum Transfer kerntechnischen Wissens auf einejüngere Generation von Naturwissenschaftlern und Ingenieuren geleistet.Der Gültigkeitsbereich des zu überarbeitenden Regelwerks ist begrenzt aufortsfeste Leistungsreaktoren. Nicht erfasst ist die Versorgung mit und Entsorgungvon Brennstoff und seinem Transport sowie Stilllegung und Rückbauder Anlagen. Das fortzuschreibende kerntechnische Regelwerk hateinen modularen Aufbau und ist flach gegliedert:• 1. Ebene: Grundlegende Sicherheitsanforderungen (Modul 1)• 2. Ebene: Fachmodule 1 bis 11• 3. Ebene: Regeln des KTADie Anforderungen der Ebenen 1 und 2 sind ausführungsunabhängig. Insofernorientiert sich die Empfehlung 1/5.2 der ILK an den seit September

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1402003 bestehenden Arbeitsgrundlagen im Vorhaben SR 2475. Alle anderen,in der Empfehlung 1/5.2 angegebenen Hinweise betreffen grundlegendeSachverhalte, die bei der Erstellung von Regelwerken zu beachten unddeshalb nicht spezifisch für das kerntechnische Regelwerk sind. SR 2475differenziert nicht, wie in der Empfehlung 2/5.2 angesprochen, zwischenfaktisch bindenden Zielen und Anforderungen sowie nicht bindenden Empfehlungen.Hier wird die behördliche Zuständigkeit tangiert. In SR 2475werden ausschließlich Sicherheitsanforderungen beschrieben, die nachStand von Wissenschaft und Technik für ein erforderliches Sicherheitsniveaunachzuweisen sind. Die behördlichen Zuständigkeiten werden in denRegelwerksmodulen nicht angesprochen. Empfehlung 3/5.2 spricht eine beider Regelwerkserstellung generell zu praktizierende Vorgehensweise an.Auch in SR 2475 ist die Nachvollziehbarkeit aller angegebenen Sicherheitsanforderungensicherzustellen. Hierzu sind synoptische Darstellungen fürdie jeweiligen Regelwerksmodule gewählt worden, die mittels elektronischerHilfsmittel (Internetauftritt) einer breiten Öffentlichkeit verfügbar gemachtwurden. ILK Empfehlung 4/5.2 beschreibt wiederum bei einer Regelwerkserstellunggenerell zu praktizierende Vorgehensweisen. Die Vollständigkeitund Widerspruchsfreiheit aller in den Regelwerksmodulen angegebenenSicherheitsanforderungen ist festgelegtes Arbeitsprinzip bei den Arbeitenzur Regelwerkserstellung in SR 2475. Gemäß Festlegung des BMU sindbisher durch Sicherheitsanforderungen nicht erfasst die Versorgung mit undEntsorgung von Brennstoff und seinem Transport sowie Stilllegung undRückbau der Anlagen. Alle anderen in der ILK Empfehlung 4/5.2 angesprochenenSachverhalte sind in die Module integriert, basierend auf dem systematischenAnsatz des Gestaffelten Sicherheitskonzepts. Insofern erfolgthier keine, wie in der ILK Empfehlung genannt, getrennte Darstellung einessog. Auslegungsbereich von der Sicherheitsebene 4. Wie bereits zu 5.1angemerkt, sind zur Ermittlung des Standes von Wissenschaft und Technikals wesentliche Grundlage die internationalen Empfehlungen heranzuziehen.Dies geschieht nicht selektiv sondern es sind in Bezug u.a. auf dieIAEA die Safety Fundamentals, die Safety Requirements und die SafetyGuides sowie in Bezug auf WENRA alle WENRA Issues auf Anwendbarkeitfür die Übernahme in ein fortzuschreibendes Regelwerk zu prüfen. Damitwird in der ILK Empfehlung 5/5.2 nichts angegeben, was nicht bereits in SR2475 Praxis ist. Die Erläuterungen zur ILK Empfehlung 6/5.2 zielen in weitenBereichen auf behördliche Zuständigkeiten. Wie bereits vorher angesprochenwerden hierzu in den Regelwerksmodulen keine Ausführungengemacht. In den Regelwerksmodulen sind die Sicherheitsanforderungenzusammengestellt, die nach Stand von Wissenschaft und Technik für einerforderliches Sicherheitsniveau zu erfüllen sind. Abweichungen sind hin-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1Z.B. heißt es in Empfehlung 2, das untergesetzliche übergeordneteRegelwerk solle faktisch bindende Ziele und Anforderungen deutlichvon nicht bindenden Empfehlungen trennenund in Empfehlung 3, die technische Basis der Anforderungen sollteerläutert werden. Regelwerksanforderungen müssen nachvollziehbarsein, richtig verstanden und sachgerecht angewendet werden können.Dies wird durch die Formulierung in der sog. „Indikativ-Form“nicht erreicht. Diese Formulierung erlaubt nicht die gestufte Darstellungvon bindenden Anforderungen und nicht bindenden Empfehlungen.Sie verwischt Anforderungen und erläuternde Ausführungen. Sieentspricht auch nicht den im nationalen und internationalen Bereichüblichen Vorgaben zum Aufbau und zur äußeren Form von Regelwerkstexten.41sichtlich der sicherheitstechnischen Bedeutung durch die zuständigen Behördenzu bewerten. Von Anfang an wurde bei der Regelwerkserstellungauf die Einbeziehung von Interessengruppen, wie die aufsichtführendenBehörden, ihre Sachverständigen, die Betreiber und die Hersteller geachtet.Hierzu wurden verschiedene Ebenen in Anwendung gebracht: die direkteBeteiligung an der Regelwerkserstellung, die Teilnahme an den inhaltlichenDiskussionen in den Teams, die Teilnahme und Mitwirkung an einer Informationsveranstaltung,an Workshops und insbesondere an der Kommentierungder im Internet veröffentlichten Regelwerksmodule. Die ILK Empfehlung7/5.2 beschreibt nur solche Sachverhalte, die auch seit AnbeginnGrundlage der Arbeiten in SR 2475 sind. Auch die ILK Empfehlung 8/5.2beschreibt Sachverhalte, die zur geübten Praxis in SR 2475 zu zählen sind.Die Arbeiten zur Regelwerksfortschreibung unterliegen einem umfassendenQualitätssicherungssystem, das eine spezielle Steuerungsgruppe im BMUsowie personelle Verantwortlichkeiten in der GRS einschließt. Die Arbeitenwerden in insgesamt 10 Teams durchgeführt mit 3 bis 5 Teilnehmern proTeam, Team 1 als Vorhabenslenkungsteam umfasst die 10 Teamleiter. Aufweitere Erläuterungen zur Projektdurchführung, wie in der ILK Empfehlungbeschrieben, wird hier nicht eingegangen, da hierzu auf Selbstverständlichkeitenzurückgegriffen wird. ILK Empfehlung 9/5.2 wendet sich ausschließlichan BMU, ILK Empfehlung 10/5.2 wendet sich ausschließlich an BMU.Die Module beschreiben keine „nicht bindenden Empfehlungen“, sondernbeschrieben wird ein Anlagenzustand, der die aus heutiger Sicht erforderlichenVorkehrungen umfasst.Die Module enthalten bewusst keine Erläuterungen zur technischen Basisder Anforderungen. Dies ist u. E. nicht Aufgabe des Regelwerks, bestenfallsder Dokumentationen dazu.Zur Frage des „Indikativ“: Bei der Erstellung der Module bestand zunächstder Anspruch, in den Formulierungen eindeutig zu sein und daher möglichstdurchgehend die Anforderungen in „muss“-Form zu formulieren. SofernAusnahmen von der „muss“ Forderung als sachgerecht erforderlich angesehenwurden, waren Ausnahmebedingungen zu formulieren. Eine andereArt der Differenzierung ist nicht angestrebt worden. Bei den Fällen, in deneneine solche Differenzierung vorgenommen wurde, war diese Differenzierungbei der Übertragung des Textes in die „indikativ“ Formulierung zu übernehmen.Daher geht mit der Umstellung der Texte in die „indikativ“ Form keinVerlust an Informationen einher. Der Vorteil besteht auch darin, dass beieinem nicht unmittelbar rechtsverbindlichen Regelwerk das Wort „muss“eigentlich fehl am Platze ist.

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 12.3 Den übergeordneten Empfehlungen „das Allgemeine KerntechnischeRegelwerk sollte widerspruchsfrei, umfassend und vollständig sein“und „die Präskriptivität des Allgemeinen Kerntechnischen Regelwerkssollte zu Gunsten seiner Zielorientierung zurückgenommen werden“(Empfehlung 4 und 6 der ILK) genügen die vorliegenden Modulenicht. Beispiele hierzu sind in der Anlage enthalten. Die Module müssenunter diesem Gesichtspunkt nochmals überarbeitet werden.2.4 Die vorliegenden Textentwürfe sind im Hinblick auf den Detaillierungsgradder Inhalte noch unausgewogen. Der Umstand, dass zueinzelnen Regulierungsgebieten keine Detailregelungen in Form vonKTA-Regeln existieren, kann nicht Anlass dafür sein, dass in das vorgeseheneRegelwerksvorhaben unangemessene Detailregulierungenaufgenommen werden. Vielmehr sind für diese Gebiete allgemeineAnforderungen festzulegen, die dann später in KTA-Regeln weiterkonkretisiert werden können.2.5 Im übergeordneten kerntechnischen Regelwerk sollten nur Festlegungenvon übergeordneten Sicherheitsanforderungen enthaltensein. Zum Nachweis dieser Anforderungen sollte ein klar strukturierterschutzzielorientierter Ansatz (wie er z.B. im Konzept der Sicherheitsfunktionenin den KTA- Sicherheitsgrundlagen beschrieben wurde)weiterhin zulässig sein. Diese bisher bei Sicherheitsüberprüfungenübliche und bewährte Vorgehensweise wird ohne sicherheitstechnischeBegründung nicht mehr zugelassen.Hierzu siehe an den jeweiligen Textpassagen.Es ist u. E zweitrangig, auf welcher Ebene des Regelwerks notwendigeAnforderungen formuliert werden. Solange es keine KTA Regel zu regelungsbedürftigenSachverhalten gibt, ist es daher sachgerecht, diese Regelungenan anderer Stelle zu formulieren. Es wäre unverständlich, einenermittelten Stand von Wissenschaft und Technik nicht niederzuschreiben,nur weil er detaillierter ist. Eine Hierarchie gibt es zwischen detaillierterenund allgemeineren Anforderungen nicht, soweit sie jeweils zutreffend ermitteltwurden.Der in den KTA Sicherheitsgrundlagen formulierte Ansatz „schutzzielorientierteVorgehensweise“ ist entgegen der Auffassung des Kommentators u.E. nicht klar strukturiert. Die Aufgabenteilung zwischen Deterministik undProbabilistik ist unklar, die Priorität deterministischer Anforderungen ungeregelt.Ein Ansatz wie: „Der Nachweis der Erfüllung der Schutzziele stütztsich auf Sicherheitsfunktionen ab, die im Allgemeinen durch WirksamkeitsundZuverlässigkeitsanforderungen gekennzeichnet sind. Dabei müssen diezur Erfüllung der Sicherheitsfunktionen erforderlichen Systemfunktionennicht ausschließlich auf Sicherheitssystemen aufbauen.“ (KTA Sicherheitsgrundlagen,Ziffer 3.2 (3)) wird nicht dem Gestaffelten Sicherheitskonzeptgerecht. Die Erfahrung mit schutzzielorientierten Bewertungen in diversenPSÜ hat gezeigt, dass auf Grund fehlender Regelungen unterschiedlicheVorgehensweisen mit teilweise nicht nachvollziehbaren Ergebnissen angewendetwurden.42Andererseits bleibt unklar, welche Möglichkeiten für die Art der Nachweisführungvom Kommentator in den Modulen vermisst wird. Sofern unter denin den KTA Sicherheitsgrundlagen genannten „ebenenzugeordneten, ausführungsunabhängigenSchutzzielanforderungen“ die Nachweiskriteriengemäß Modul 3 gemeint sind, ist das in den Modulen beschriebe Nachweisverfahrenhiermit kompatibel (bis auf die in den KTA Sicherheitsgrundlagennicht klar geregelte „Ergänzung“ durch die Probabilistik). Sofern jedochunter den „ebenenzugeordneten, ausführungsunabhängigen Schutzzielanforderungen“etwas anderes zu verstehen ist, kann diesem Vorgehen nichtgefolgt werden, da die Kenntnis darüber, dass damit ein gleichwertiger

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.Kommentator590 Kleen,VENEKommentar Antwort Team 12.6 Die bestehende Sicherheitsphilosophie, die ihre Ausgestaltung in denGenehmigungen der Anlagen erfahren hat, wird in Teilbereichen (z.B.Behandlung der Sicherheitsebene 4, Erweiterung des Einzelfehlerkonzeptes)wesentlich verändert. Dies ist nicht im Einklang mit demBeschluss des Hauptausschusses.2.7 Der Übergang auf ein neues Regelwerk sollte planvoll erfolgen, damitfür die in Betrieb befindlichen Anlagen ein sinnvoller Anschluss andas bestehende Regelwerk möglich wird. Die Anwendung des neuenRegelwerks an Pilotvorhaben vor der Einführung zu testen, wird ausdrücklichbegrüßt.2.8 Eine Anlehnung des neuen Regelwerks an moderne internationaleStandards wird ausdrücklich begrüßt. Anforderungen aus dem internationalenRegelwerk müssen jedoch, vor einer Übernahme in dasnationale Regelwerk, in systematischer Weise bewertet werden. Dabeimuss auch geprüft und dargestellt werden, inwieweit sie mit dergrundlegenden in Deutschland verfolgten Sicherheitsphilosophie vereinbarsind. Dies ist in den bestehenden Entwürfen zumindest in Einzelbereichennicht erfolgt. So macht es einen deutlichen Unterschied,ob ein eher präventiv ausgerichtetes oder ein mitigativ ausgerichtetesSicherheitskonzept verfolgt wird. Ein unreflektiertes Übernehmen voneinzelnen Anforderungen aus unterschiedlichen Regelwerken ist nichtzielführend.Zusammenfassend wird festgestellt, dass die vorliegenden Regelwerksentwürfenoch nicht den Reifegrad besitzen, der für ein Regelwerk erforderlichist. Das Umweltministerium Baden-Württemberg ist bereit, sich imweiteren Verfahren auf der Basis des Beschlusses des Hauptausschusseszu beteiligen und seinen Sachverstand aus der Praxis der atomrechtlichenVerwaltungsverfahren einzubringen.Ich möchte auf Ihre Ausführungen auch noch einmal ansprechen, zumThema „Detaillierungsgrad des Regelwerkes“. Ein Hauptkritikpunkt, denwir wiederholt geäußert haben, ist, dass mit den sehr detaillierten Vorgabenim Grunde genommen nicht deutlich genug zum Ausdruck kommt,die übergeordneten Ziele, die einzuhalten sind. Dabei wehren wir unsnicht dagegen, dass es bestimmte deterministische Anforderungen gibt,die selbstverständlich zu erfüllen sind. Wenn wir aber eine sicherheitstechnischeBewertung einer Anlage machen, dann steht die sicherheits-43Nachweis erbracht werden könnte, nicht vorliegt. Eine solche Kenntnis istjedoch u. E. Voraussetzung für eine Regelungssetzung.Siehe hierzu an den entsprechenden Textpassagen.-Es wird eine gesonderte Synopse erstellt, in der wesentliche Änderungengegenüber den ersetzten Regelwerkstexten kenntlich gemacht und begründetwerden. Dabei wird auch, sofern in Bezug genommen, das Ergebnis derÜbertragbarkeitsprüfung internationaler Regelung dargestellt.-Die Regelungen sollten die übergeordneten Aspekte sowie die erforderlichenDetaillierungen enthalten. Inwieweit dies im Einzelfall in den Modulenerfolgt ist, wird an den jeweiligen Passagen zu diskutieren sein.

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1technische Bewertung eigentlich auf zwei Beinen. Das eine ist das Einhaltenvon sicherheitstechnischen oder deterministischen Mindestanforderungen.Das ist das Thema „Schadensvorsorge“.583 FANP Auf dem Workshop zum BMU-Vorhaben „Revision des Regelwerks“ EndeJanuar/Anfang Febr. 2006 wurde seitens BMU mehrfach dazu aufgefordert,bis zum 28.2.2006 noch weitere Kommentare zu den bisher vorliegendenModul-Texten schriftlich einzureichen. Wir möchten hierzu seitensFramatome ANP GmbH folgendes anmerken:Die bisher vorgelegten 11 Module für ein übergeordnetes untergesetzlichesRegelwerk haben hinsichtlich• der Konsistenz zwischen den Modulen,• der Durchgängigkeit eines für ein übergeordnetes Regelwerk angemessenenDetaillierungsgrades und• des Vermeidens von rein formal abgeleiteten Anforderungen, die ohnerelevanten sicherheitstechnischen Nutzen nur den Aufwand erhöhen,noch nicht wieder den Stand des Projektes KTA 200 im April 2003 erreicht,als dieses Projekt auf Forderung des BMU abgebrochen wurde.(Diese Kritik gilt besonders ausgeprägt für die Module 5, 7, 10.) Wir sehendeshalb unsere bereits zum Ausdruck gebrachte Kritik am Abbruch desProjektes KTA 2000 bestätigt. Ein Abschluss des Projektes KTA 2000 mitBereinigung der im Frühjahr 2003 noch vorhandenen Punkte hätte inerheblichem Umfang Zeit und Aufwand bei allen Beteiligten gespart. Trotzunserer kritischen Haltung gegenüber dem Abbruch hatten wir uns jedoch2005/2006 bemüht, im Rahmen des BMU-Vorhabens „Revision des Regelwerks“unsere Erkenntnisse zu technischen Sachverhalten und unsereErfahrungen in der Anwendung des kerntechnischen Regelwerks erneuteinzubringen (siehe unseren im Bezug genannten Schreiben sowie unserenochmals beigelegten Folien vom Workshop).Wir haben diese Kommentierung zu aus unserer Sicht grundsätzlichensowohl strukturellen als auch inhaltlichen Defiziten der vorgelegten Modulesowie – im Sinne einer beispielhaften Konkretisierung der grundsätzlichenKritik – zu Einzelpunkten in den Modulen vorgenommen, obwohl dieKommentierung durch eine Reihe von Randbedingungen aus unsererSicht erheblich und unnötig erschwert wurde, wie z. B.:• Die Module wurden nicht in Gesamtheit zur Kommentierung verteilt,sondern sukzessive, so dass Zusammenhänge und Bezüge für dieKommentierung teilweise nicht erkennbar waren.• Einige Module wurden nach der ersten Kommentierung in Struktur undInhalt erheblich geändert, so dass darüber hinaus eine Veränderung44-bzw. siehe bereits oben gegebene Antworten.--

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.Kommentatorvon Bezügen gegeben war.Kommentar Antwort Team 1• Vielfach sind Umformulierungen von Anforderungen gegenüber dembisherigen Regelwerk festzustellen, jedoch ohne Kennzeichnung, woeine Erhöhung von Anforderungen beabsichtigt ist, die eine detailliertereinhaltliche Kommentierung erfordern würde. (Diese Kennzeichnungwurde nicht vorgenommen, obwohl auf dem ersten Workshop im Dezember2004 ausdrücklich darum gebeten wurde und dies auch vondem Vorsitzenden der RSK ausdrücklich befürwortet wurde.)• Es gab keine oder zumindest keine ausreichenden Möglichkeiten, inFachgesprächen technische Zusammenhänge mit Blick auf dem aktuellenStand von Wissenschaft und Technik zu erläutern. (Die anscheinendvom BMU dem Regelwerksteam gemachte Vorgabe, jede Anforderungdes bisherigen Regelwerks – wie obsolet auch immer nachdem heutigen Stand von Wissenschaft und Technik – weiterhin mitzunehmen,war in diesem Zusammenhang auch nicht gerade hilfreich fürdas Ziel eines aktualisierten und in sich konsistenten Regelwerks.)• Die Texte der Module wurden lange Zeit nicht im Word-Format zurVerfügung gestellt, was das Eintragen von Kommentaren erleichterthätte, so dass für die Kommentierenden eine unnötige Erhöhung desAufwands gegeben war.Allerdings sehen wir eine weitere Kommentierung der bisher vorliegendenModul-Texte, wozu seitens BMU aufgefordert wurde, zum gegenwärtigenZeitpunkten aus folgenden Gründen als nicht effektiv undnicht zumutbar waren:- Auf dem Workshop wurde mangels entsprechender, hinreichendklare Aussagen seitens BMU oder des Redaktionsteams für unsnicht erkennbar, ob und - wenn ja - wie weit unsere grundsätzlichenund übergreifenden Kommentare bei einer Überarbeitung berücksichtigtwerden sollen. Damit blieb unklar, wozu wir im Einzelnenweitere Kommentare erarbeiten sollten.- Insgesamt ist auf dem Workshop nur erkennbar geworden, dass diebisher vorliegenden Modul-Texte noch in erheblichem Umfang geändertwerden sollen, wobei jedoch unklar blieb, wo und in welchemUmfang die von vielen Seiten vorgetragene umfangreiche und substanzielleKritik berücksichtigt werden soll. (Selbst bei der so genannten„Indikativ -Formulierung“, die einstimmig von Landesbehörden,TÜV-Organisationen, Betreibern und Herstellern heftig kritisiertwurde und die auch von Mitarbeitern des beauftragten Teams als45Es wird eine gesonderte Synopse erstellt, in der wesentliche Änderungengegenüber den ersetzten Regelwerkstexten kenntlich gemacht und begründetwerden.-Eine Vorgabe des BMU dem Regelwerksteam gegenüber, jede Anforderungdes bisherigen Regelwerks weiterhin mitzunehmen, besteht und bestandnicht. Allerdings waren und sind diesbezügliche Änderungen (Ergänzungenund Streichungen) zu begründen.---

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1„vom BMU aufgezwungen“ bezeichnet wurde, wurde seitens BMUkeine Zusage für eine Korrektur gemacht.)In dieser Situation ist für uns nicht erkennbar, ob und wo weiterer Aufwandfür die Ausarbeitung von Detailkritik nutzbringend sein könnte undnicht ins Leere läuft. Wir verweisen deshalb auf unsere bisher vorgebrachtegrundsätzliche Kritik, die zur Konkretisierung mit Beispielen inEinzelpunkten ergänzt wurde, um die zu beachtenden Zusammenhängedeutlich zu machen.Sobald die Module in einer überarbeiteten Form vorliegen, so dass erkennbarwird, wo und in welchem Umfang (noch) Kommentierung erforderlichist, werden wir uns erneut um weitere Kommentierung bemühen.Ihr Einverständnis voraussetzend senden wir Kopien dieses Schreibensmit Anlagen auch an die anderen Beteiligten auf dem Workshop.600 NUM Stellungnahme zu den in der Workshopreihe des BMU im Januar 2006zur Aktualisierung des kerntechnischen Regelwerks behandelten ModulenVorbemerkung: Das Niedersächsische Umweltministerium hat zu allenWorkshops der oben genannten Workshopreihe Vertreter und Vertreterinnenentsandt und sich damit intensiv an der Diskussion zu den obenbezeichneten Modulen beteiligt. Auf die im Rahmen der Workshops abgegebenendetaillierten Stellungnahmen wird verwiesen; von einer Wiederholungder zur Aufzeichnung freigegebenen Stellungnahmen an dieserStelle muss schon aus Gründen der Arbeitsökonomie abgesehen werden.Aus Gründen der Arbeitsökonomie mussten und müssen auch weiterhinStellungnahmen und Kommentare im Wesentlichen auf Grundsätzliches,Allgemeingültiges bzw. Exemplarisches der Module fokussiert werden;aus einer Nichtkommentierung einzelner Aspekte der Module kann dahernicht auf die Zustimmung zu den entsprechenden Passagen der Modulegeschlossen werden. Der Länderausschuss für Atomkernenergie hat inseiner Sondersitzung am 19. Januar 2006 unter anderem einstimmigbeschlossen, dass das Regelwerk auf der Grundlage eines umfassendenDiskussionsprozesses mit der Fachwelt und der Wissenschaft erarbeitetwird und dass dazu auf der Grundlage des bisherigen Verfahrens imAnschluss an den hier in Rede stehenden Workshop ein Beteiligungsverfahrenzwischen Bund und Ländern vereinbart wird. Dieser Beschluss istMaßstab und Leitfaden für die Beteiligung des Niedersächsischen Umweltministeriumsan dem weiteren Verfahren zur Aktualisierung des kerntechnischenRegelwerks. In meinem Eingangsstatement im Workshop am23. Januar 2006 habe ich dieses näher ausgeführt. Aus dem Beschlusshaben sich naturgemäß auch Konsequenzen für das konkrete Vorgehenim Rahmen des Workshops und auch für die weitere Kommentierung der46--

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1Module ergeben. Auf die Konsequenzen im Einzelnen bin ich meinengrundsätzlichen Anmerkungen im Workshop am 23. Januar 2006 bereitsnäher eingegangen. Darauf wird wegen der Einzelheiten verwiesen. Allerdingssei an dieser Stelle zur Erleichterung des Verständnisses für dienachfolgende Stellungnahme noch einmal auf die zentrale Konsequenzhingewiesen:Alle Diskussionsbeiträge und Kommentierungen des NiedersächsischenUmweltministeriums sind unter der Prämisse zu sehen, dass es aufGrund des Beschlusses des Länderausschusses für Atomkernenergie beider Diskussion um die vorliegende Module um die Schaffung von Grundlagenfür eine Aktualisierung des Regelwerks geht und nicht um die konkreteAusgestaltung und Formulierung des Regelwerks selbst. Dieses –die Erarbeitung des Regelwerks selbst - wird erst in den Gremien desLänderausschusses auf der Grundlage des noch zwischen Bund undLändern abzustimmenden Beteiligungsprozesses der Wissenschaft undFachwelt erfolgen. Der Beschluss hat somit die Grundlinien der weiterenArbeiten zur Regelwerkerstellung vorgezeichnet. Er bildet zugleich dieGrundlage der Zusammenarbeit zwischen Bund und Ländern. Auf diegemeinsamen Schreiben der für die Atomaufsicht in den Ländern Bayern,Baden-Württemberg, Hessen und Niedersachsen zuständigen oberstenLandesbehörden vom 15. und 21. Februar 2006 zu dem weiteren Vorgehenund dem Beteiligungsverfahren wird verwiesen.Diese Vorbemerkung vorangestellt, wird zu den in der Workshopreihe desBMU im Januar 2006 zur Aktualisierung des kerntechnischen Regelwerksbehandelten Modulen wie folgt Stellung genommen:STELLUNGNAHMEI.Die vorliegenden Module sind ursprünglich als Aktualisierung bzw. Ersatzder Ebene des untergesetzlichen kerntechnischen Regelwerks konzipiertworden, die im Wesentlichen durch die Sicherheitskriterien für Kernkraftwerkedes BMI, die Störfallleitlinien des BMI und die RSK-Leitlinien fürDruckwasserreaktoren abgedeckt wird. Die vorliegenden Module sindhierfür nicht geeignet. Maßgeblich für diese Bewertung sind im Wesentlicheninhaltliche Gründe - sowohl konzeptioneller Art als auch wegen desfehlenden Reifegrades - und Verfahrensgründe in der Folge eines nichtalle maßgeblichen Anforderungen abdeckenden Erstellungsprozesses.II.Es geht jetzt darum, auf der Grundlage des Beschlusses des Länderaus-47----

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1schusses für Atomkernenergie einen Prozess zu organisieren, in dem aufder Basis der mit den Modulen geleisteten Vorarbeiten die Bausteineeines aktualisierten Regelwerks erstellt werden können. Dabei wird eseine Aufgabe von zentraler Bedeutung sein, die Einhaltung der vom Länderausschussfür Atomkernenergie gestellten Anforderungen im Einzelnenzu prüfen. Hierbei werden unter anderem folgende Fragen im Vordergrundstehen müssen:- die Frage des jeweiligen Beitrages der vorliegenden Vorstellungenund Vorschläge zur Vorsorge gegen Schäden,- die Frage der Kompatibilität der vorliegenden Vorstellungen und Vorschlägemit dem Sicherheitskonzept der Auslegung der deutschenAnlagen,- die Frage, inwieweit die Bandbreite der Wissenschaft bei den vorliegendenVorstellungen und Vorschlägen bereits hinreichend Berücksichtigunggefunden hat,- die Frage der Angemessenheit der mit den vorliegenden Vorstellungenund Vorschlägen verbundenen Behandlungstiefe.Die Diskussion im Rahmen des Workshops hat gezeigt, dass für alleModule zu diesen Fragen noch ein erheblicher Prüf- und Diskussionsbedarfbesteht. Auf die dortigen Einzelbeiträge wird verwiesen.III.Eine weitere grundsätzliche Fragestellung betrifft ebenso alle vorliegendenModule:Die Frage, ob die grundlegende Anforderung eingehalten ist, derzufolgedas untergesetzliche Regelwerk ausschließlich der Konkretisierung dergesetzlichen Vorschriften des Atomgesetzes und der darauf beruhendenVerordnungen dienen kann und durch den damit abgesteckten gesetzlichenRahmen beschränkt ist. Es ist nicht möglich, in dem untergesetzlichenRegelwerk über den gesetzlichen Rahmen hinauszugehen, auchdann nicht, wenn internationale Anforderungen hierzu vorliegen. DieseBeschränkung könnte nur durch eine entsprechende Änderung des A-tomgesetzes und der Verordnungen aufgehoben werden. Die Diskussionim Rahmen des Workshops hat gezeigt, dass die in den Modulen gegenüberdem bisherigen Stand vorgenommenen Änderungen und Erweiterungenvon Anforderungen nicht durchgängig aus den rechtlichen Grundlagenheraus abgeleitet und begründet worden sind und deshalb hierzunoch ein erheblicher Prüf- und Diskussionsbedarf besteht. Auf die dortigenEinzelbeiträge wird verwiesen. Insbesondere sind aus den genanntenGründen Anforderungen an die Ebenen 1 und 4, soweit sie regelfähigsind, entsprechend abgestuft zu formulieren. Dieses ist in allen in Frage48-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1kommenden vorliegenden Modulen noch nicht ausreichend berücksichtigtworden.IV.Die vorliegenden Module werfen insgesamt eine weitere grundsätzlicheFrage auf. Nach den Prinzipien der Eindeutigkeit und Klarheit sollten dieRegelungen nicht in Konkurrenz zueinander erstellt werden. Doppelungenvon Regelungen an verschiedenen Stellen des Regelwerks sind zu vermeiden.Diese grundsätzliche Anforderung gilt es nicht nur innerhalb derModule zu beachten, sondern auch gegenüber bereits bestehenden Regelungenin Bekanntmachungen des BMU, insbesondere den Richtliniendes BMU. Die Diskussion im Rahmen des Workshops hat gezeigt, dassdiese Anforderung in den vorliegenden Modulen durchgängig noch nichthinreichend beachtet worden ist. Auf die dortigen Einzelbeiträge wirdverwiesen. Auch zu diesem Fragenkomplex besteht noch ein erheblicherPrüf- und Diskussionsbedarf.V.Ein weiteres übergreifendes Thema für weitere Prüfungen und Diskussionenist die Frage der angemessenen Behandlungstiefe der Regelungen inden Modulen und in dem untergesetzlichen Regelwerk, das auf derGrundlage der Module zu erstellen ist. Eine Leitlinie für die Behandlungstiefeeiner Regel lässt sich aus dem Gesamtbild des Regelwerks ableiten.Ingesamt gesehen bildet das deutsche Regelwerk eine hierarchisch strukturiertePyramide. Es ist sicher angemessen, die Behandlungstiefe einerRegel entsprechend ihrer Einordnung in dieser Pyramide zu wählen: jehöher die Einordnung der Regel, umso geringer die Behandlungstiefe,und umgekehrt.Die Module und das auf deren Grundlage zu erstellende Regelwerk sindin der hierarchisch strukturierten Regelwerkspyramide oberhalb der KTA-Regeln, die als Fachregeln weiter bestehen bleiben sollen, anzusiedeln.Daraus folgt nach dem erläuterten Prinzip, dass die Module eine geringereBehandlungstiefe als die KTA-Regeln aufweisen sollten. Wenn diesesnicht beachtet wird, entstehen vielfältige Probleme. So entstehen Abgrenzungsproblemeinnerhalb der Regelpyramide selbst mit der möglichenFolge unklarer Vorgaben. Zu detaillierte Module und daraus entwickelteRegeln verengen u.U. zudem den notwendigen Raum für sinnvolle KTA-Regeln. Außerdem ist die Organisation des Diskussionsprozesses für dasauf der Grundlage der Module zu entwickelnde Regelwerk nach Art, Umfangund Aufwand sicher nicht auf die Erstellung mit großem, etwa mitKTA-Regeln vergleichbarem fachlichem Tiefgang angelegt.49Es ist u. E. erforderlich, die Wirkungskette der Anforderungen, beginnendmit Modul 1, in den Anforderungen deutlich zu machen. Dies dient sowohleinem besseren Verständnis, insbesondere aber auch der Darstellung dertechnischen Zusammenhänge. In diesen Fällen spricht daher u. E. nicht nurnichts dagegen, bspw. Anforderungen aus Modul 1 in anderen Modulen zuwiederholen, sondern ist dies zu empfehlen. Die Verfahrensweise, die inRevision B diesbezüglich umgesetzt ist, ist: die Wiederholungen sind wortgleichvorzunehmen und es ist auf die entsprechende Ziffer in anderenModulen hinzuweisen.Als Abgrenzungsmerkmale für die in den Modulen 2-11 zu formulierendenTexten gegenüber KTA Regeln dienten zum Einen die bestehenden, zuersetzenden Texte, sofern keine entsprechenden KTA Texte vorliegen. InEinzelfällen sind, sofern keine Regelungen in KTA Regeln vorliegen, neueRegelungen in den Modulen aufgenommen worden, die hinsichtlich desumgesetzten Abstraktions- und Detaillierungsgrad auch in eine KTA Regelüberführt werden könnten. Als grobe Orientierung diente zudem die Prüffrage,inwieweit erwartet werden kann, dass die zu formulierenden Regelungenfür einen deutlich längeren Zeitraum unverändert Bestand haben werden,als die Überprüfungsfristen der KTA Regeln.In Anwendung des o. g. Ansatzes wurde die Behandlungstiefe der Moduleerarbeitet. Sofern für u. E. regelungsbedürftige Sachverhalte keine KTARegeln vorliegen, ist es u. E zunächst zweitrangig, auf welcher Ebene desRegelwerks notwendige Anforderungen formuliert werden. Solange es keineKTA Regel zu regelungsbedürftigen Sachverhalten gibt, ist es daher sachgerechtdiese Regelungen an anderer Stelle zu formulieren. Es wäre unverständlich,einen ermittelten Stand von Wissenschaft und Technik nicht niederzuschreiben,nur weil er detaillierter ist. Eine Hierarchie gibt es zwischendetaillierteren und allgemeineren Anforderungen nicht, soweit sie jeweilszutreffend ermittelt wurden.

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1Schließlich birgt eine nicht mehr angemessen vertiefte Behandlungstiefeauch die Gefahr der Überregulierung mit nachteiligen Folgen, wie derBehinderung weiterer Entwicklungen der Sicherheit durch die Anwenderder Regel. Die Diskussion im Rahmen des Workshops hat gezeigt, dassdiese Anforderung in den vorliegenden Modulen nicht durchgängig hinreichendbeachtet worden ist. Auf die dortigen Einzelbeiträge wird verwiesen.Dieser Fragenkomplex bedarf im weiteren Verfahren noch weitererPrüfungen und Diskussionen.VI.Das Niedersächsische Umweltministerium ist der Auffassung, dass beider Erstellung des Regelwerks auf der Grundlage der vorliegenden Modulekeine Beschränkung auf die „Indikativform“ erfolgen soll, sondern vielmehrdie Ausdrucksmöglichkeiten der deutschen Sprache in vollem Umfanggenutzt werden sollen. Dabei sind selbstredend die hoch entwickeltenAnforderungen an die Erstellung von Regeln (z.B. DIN, KTA) zu beachten.Die Diskussion im Rahmen des Workshops hat meines Erachtensdiese Auffassung des Niedersächsischen Umweltministeriums voll bestätigt.Auf die dortigen Einzelbeiträge wird verwiesen.VII.Das Niedersächsische Umweltministerium ist der Überzeugung, dass esmit einem geeigneten Diskussionsprozess bei Beachtung der vorstehendengrundsätzlichen Anmerkungen gelingen sollte, dem Beschluss desLänderausschusses für Atomkernenergie entsprechend eine zielführendeAktualisierung des Kerntechnischen Regelwerks auf der Grundlage derModule des bisherigen Verfahrens zu erarbeiten. Die Vertreter undVertreterinnen des Niedersächsischen Umweltministeriums sehen sich indieser Einschätzung auch durch die vielen fruchtbaren Gespräche imRahmen und am Rande des o.a. Workshops bestärkt. Die Atomaufsichtsbehördender Ländern Bayern, Baden- Württemberg, Hessen und Niedersachsenhaben mit einem gemeinsamen Schreiben vom 21. Februar2006 eine Vereinbarung über ein Beteiligungsverfahren vorgeschlagen,das ein Erfolgspfad bei der Aktualisierung des kerntechnischen Regelwerkswerden könnte.501 FANP Stand von Wissenschaft und Technik oder die nach SvWuT erforderlicheVorsorge?> Anlass: Bewertung, ob in bestehender Anlage Armaturen aus sicherheits-technischenGründen ausgetauscht werden sollen50Beispiele für „nicht mehr angemessen vertiefte Behandlungstiefe“ in denModulen sind hier nicht genannt. Sofern vorhanden, siehe hierzu die Diskussionzu den jeweiligen Ziffern.Bei der Erstellung der Module bestand zunächst der Anspruch in den Formulierungeneindeutig zu sein und daher möglichst durchgehend die Anforderungenin „muss“-Form zu formulieren. Sofern Ausnahmen von der„muss“ Forderung als sachgerecht erforderlich angesehen wurden, warenAusnahmebedingungen zu formulieren. Eine andere Art der Differenzierungist nicht angestrebt worden. Bei den Fällen, in denen eine solche Differenzierungvorgenommen wurde, war diese Differenzierung bei der Übertragungdes Textes in die „indikativ“ Formulierung zu übernehmen. Daher gehtmit der Umstellung der Texte in die „indikativ“ Form kein Verlust an Informationeneinher. Der Vorteil besteht auch darin, dass bei einem nicht unmittelbarrechtsverbindlichen Regelwerk das Wort „muss“ eigentlich fehl am Platzeist.--

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1> Gutachterforderung: Antriebe für Sumpfarmaturen austauschen, danicht für Umgebungsbedingungen bei Leckstörfall im Ringraum ausgelegt> Einwand: Bei Leck im RR dürfen Sumpfarmaturen nicht verfahrenwerden! Warum soll Funktion sichergestellt werden für Fälle, in denenFunktion sicherheitstechnisch falsch wäre?> Gutachterbegründung: Bei Konvoi wurden Armaturen eingebaut, diefür diese Umgebungsbedingungen qualifiziert sind. Also ist dasSvWuT.> Einwand: Bei Errichtung Konvoi wurden Armaturen neu gekauft. BeiNeukauf ist Kostenunterschied für verschiedene Umgebungsqualifikationengering, daher pauschaler Einkauf ohne tiefere Begründung.Verweis auf Konvoi deshalb zur Begründung von Nachrüstungen ungeeignet.Das technisch unkritische, nicht die nach SvWuT erforderliche Vorsorgesuchende Zusammenschreiben von Dingen, die es technisch gibt („Standvon Wissenschaft und Technik“), führt zu erheblichem, sicherheitstechnischnutzlosem bürokratischen Aufwand für Antragsteller, Landesbehördeund –gutachter (Begründungszwang, warum Anforderungen sicherheitstechnischirrelevant sind).501 FANP Ermessensausübung ohne Vorschlag von technischen Sachverständigen?BMU: Ermessensausübung/Bewertung der Verhältnismäßigkeit sind Sacheder Behörden, nicht des technisch Sachverständigen oder des Regelwerks(Begründung für „Indikativ-Formulierung“)Erwiderung:- Richtig ist, dass die Behörden letztlich die Verantwortung dafür tragen,dass der jeweilige Sachverhalt im erforderlichen Umfang ermittelt wirdund Entscheidungen den Anforderungen des AtG entsprechen und willkürfreiund angemessen getroffen werden.- Ebenso richtig ist aber, dass die Behörden überfordert wären, wenn sieohne Vorermittlung und Vorschlag durch technisch Sachverständigeoder das technische Regelwerk nachvollziehbar und begründet entscheidenmüssten, was- erforderliche Vorsorge,- zusätzliche Maßnahmen im Rahmen des Ermessens- oder sicherheitstechnisch nicht relevant ist.Unbeschadet der abschließenden Verantwortung der Behörde für einewillkürfreie Entscheidung ist es für ein transparentes Verfahren sinnvoll51-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar Antwort Team 1und notwendig, dass das Regelwerk „Vorschläge“ macht, welche technischenMaßnahmen der erforderlichen Vorsorge zuzuordnen sind undwelche nicht. Dies wird mit der „Indikativ- Formulierung verhindert.52

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. Antwort Ziffer (Neu) Textvorschlag Modul 1 (Rev. B)Grundlegende SicherheitsanforderungenGrundlegende SicherheitsanforderungenGrundsatzDie Verantwortung für die Gewährleistungder Sicherheit trägt derbeim Betreiber. Die Sicherheit hatVorrang vor allen anderen Unternehmenszielen.Sie wird durch die BereicheMensch, Technik und Organisationsowie dem Zusammenwirken dieserBereiche bestimmt.473 RSK Der Ansatz, Zusammenwirken Mensch –Technik – Organisation, wie die RSK diesenforderte, ist nicht zu finden. Der Ansatz,diesen Aspekt in den einzelnen Modulenaufzunehmen, ist nach Durchsicht der anderenModule nicht einmal ansatzweise gelungen.Einzelne Hinweise sind Bruchstückeund geben keinen geschlossenen Anforderungsansatz.(...) Durch einen Vorspann imModul 1 sollte der ganzheitliche Ansatz beschriebenwerden. (K2)Im Modul 1 bzw. im Vorwort zum Regelwerkist folgende Formulierung aufzunehmen:„Das angemessene Zusammenwirken vonMensch-Technik-Organisation entsprichtdem heutigen Verständnis für einen sicherenBetrieb von kerntechnischen Anlagen. Diesedrei Teilsysteme stehen gleichberechtigtnebeneinander und müssen konsequent inallen Funktionsbereichen ganzheitlich miteinandervernetzt werden.“ (K1)Team 1: Vorschlag mit textlichen Anpassungenumgesetzt.GrundsäatzeDie Verantwortung für die Gewährleistungder Sicherheit trägt der beimBetreiber. Er gibt der Einhaltung derSicherheitsziele Vorrang vor der Einhaltunganderer betrieblicher Ziele. DieSicherheit hat Vorrang vor allen anderenUnternehmenszielen.Die Grundlage für einen sicheren Betriebvon Kernkraftwerken ist das sicherheitsgerichteteZusammenwirkentechnischer, organisatorischer undpersoneller Faktoren (Mensch-Technik-Organisation). Diese drei gleichgewichtigenBereiche sind in allenFunktionsbereichen des Kernkraftwerksganzheitlich miteinander vernetzt. Siewird durch die Bereiche Mensch,Technik und Organisation sowie demZusammenwirken dieser Bereichebestimmt.Auch bei einem hohen Automatisierungsgradder Technik haben dieFähigkeiten und Handlungen des Personalseine hohe Bedeutung für dieSicherheit des Kernkraftwerks. Dieorganisatorischen Bedingungen sindderart, dass sicherheitsgerichtetesHandeln gefordert und gefördert wird.Dies erfordert eine hohe Sicherheitskultur,die das gesamte Unternehmendurchdringt und deren stetige Verbesserungangestrebt wird.1. Organisatorische Anforderungen 1. Organisatorische Grundlagen derSicherheit Anforderungen1.1 Sicherheitsmanagement 1.1 Sicherheitsmanagement53

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. Antwort Ziffer (Neu) Textvorschlag Modul 1 (Rev. B)622 Noack,RWE PowerWir haben uns schon oft mit Gutachtern inverschiedenen Kreisen über Sicherheitsmanagementunterhalten. Ich denke, wir habenein Sicherheitsmanagement. Der VGB hat inseinen Leitfäden zum Sicherheitsmanagementda einige Veröffentlichungen getätigt.Wir waren auch die Ersten, die veröffentlichthaben. Wir haben uns sehr intensiv mit demIAEA-Regelwerk auseinander gesetzt. Wirhaben in der Interpretation einige Dissenzen.Und wichtig ist, die Anwendung im Aufsichtsverfahren.Das hängt stark von denTexten ab, wie man diese Anwendung sieht.Wenn sich handelnde Person unterhaltenaufseiten der Gutachter und von uns, dannist man nicht weit auseinander. Aber dieseTexte, die hier aufgeschrieben sind, sindganz anders interpretierbar, als wir die IAEAinterpretieren, was ich auch oft im Gesprächhöre. Wie das dann im Aufsichtsverfahren,bei organisatorischen Fragen zu gestaltenist, steht noch völlig offen. Also ehe man soetwas, was fachlich noch nicht gründlichdiskutiert ist, was die Gesamtorganisationder Kraftwerke betrifft, in ein übergeordnetesRegelwerk überführt, sollten doch praktischeErfahrungen vorliegen. Und da sind nocheinige Diskussionen nötig. Ich denke, das istzu früh, das Sicherheitsmanagement aufeiner so hohen Stelle zu verankern. Wiegesagt, generell gegen eine Regelung habenwir nichts.Team 8: Das IAEA-Regelwerk wird z. Z.noch weiter entwickelt. Dies ist insbesonderean DS 338 „Management System“ und dendarauf aufbauenden Guides festzumachen.In den Modulen wurden die übergeordnetenAspekte aus den IAEA Regelungen berücksichtigt.Das Fachgebiet ist sicherlich nichtso „gefestigt“ wie dies die klassischen Gebietedes Regelwerks sind. Dies sollte jedoch54

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. Antwort Ziffer (Neu) Textvorschlag Modul 1 (Rev. B)nicht dazu führen, dass ein Regelwerk aufdiesem Gebiet nicht erstellt wird, sonderndazu, dass diese Regelungen nach einergewissen Anwendungsdauer kritisch überprüftund gegebenenfalls verbessert werdensollten.1.1 (1) Festlegung der SicherheitspolitikDie Sicherheitspolitik wird als integralerBestandteil der gesamtenUnternehmenspolitik des Betreibersbetrachtet und beinhaltetmindestens folgende Zielsetzungen:- Die Sicherheit hat Vorrang vorallen anderen Unternehmenszielenwie Unternehmensgewinn,Produktivität und Termineinhaltung.- Die Sicherheit der Anlage ist zujedem Zeitpunkt nachgewiesen.Bei unklarer Sachverhaltslagebzw. Sachverhaltsbewertungwird sicherheitsgerichtet entschieden.- Die Anlage wird in Übereinstimmungmit den gesetzlich und behördlichvorgegebenen Anforderungenbetrieben.- Der sichere Betrieb wird entsprechenddem Stand von Wissenschaftund Technik weiterentwickelt.- Ausreichende Ressourcen einschließlicheiner angemessenenAnzahl und Qualifikation aller internenund externen Mitarbeitersind sichergestellt.- Eine hohe Sicherheitskultur wirdgefördert, sie durchdringt dasgesamte Unternehmen und ihre524606MSGV SHVerwendung des Begriffs "gesetzlich undbehördlich vorgegebenen Anforderungen":Der Begriff in seinem Abstraktionsgrad istzwar richtig, aber wenig konkret. Hier sollteder Bezug auf die für die jeweilige Anlagebestehenden Genehmigungen deutlich erkennbarhergestellt und die Formulierungentsprechend ergänzt werden. Unter 1.1 (1)würde es dann heißen: Die Anlage wird inÜbereinstimmung mit der Genehmigung undden gesetzlich und behördlich vorgegebenenAnforderungen betriebenTeam 8: Durch die Kürzung von Ziffer 1.1(1)in Modul 1 entfällt der Anknüpfungspunkt fürdie vorgeschlagene Änderung. Die gekürztenTexte werden nur noch in Modul 8 aufgeführt.1.1 (1) Festlegung der SicherheitspolitikDie Sicherheitspolitik wird als integralerBestandteil der gesamten Unternehmenspolitikdes Betreibers betrachtetund beinhaltet mindestensfolgende Zielsetzungen:-Die Sicherheit hat Vorrang vor allenanderen Unternehmenszielen wieUnternehmensgewinn, Produktivitätund Termineinhaltung.-Die Sicherheit der Anlage ist zu jedemZeitpunkt nachgewiesen. Bei unklarerSachverhaltslage bzw. Sachverhaltsbewertungwird sicherheitsgerichtetentschieden.-Die Anlage wird in Übereinstimmungmit den gesetzlich und behördlichvorgegebenen Anforderungen betrieben.-Der sichere Betrieb wird entsprechenddem Stand von Wissenschaft undTechnik weiterentwickelt.-Ausreichende Ressourcen einschließlicheiner angemessenen Anzahl undQualifikation aller internen und externenMitarbeiter sind sichergestellt.-Eine hohe Sicherheitskultur wird gefördert,sie durchdringt das gesamteUnternehmen und ihre ständige Verbesserungwird angestrebt.-Das Sicherheitsbewusstsein, dasselbstkritische Verhalten und die kritischhinterfragende Grundhaltungaller Mitarbeiter auf allen Ebenen55

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. Antwort Ziffer (Neu) Textvorschlag Modul 1 (Rev. B)ständige Verbesserung wird angestrebt.- Das Sicherheitsbewusstsein, dasselbstkritische Verhalten und diekritisch hinterfragende Grundhaltungaller Mitarbeiter auf allenEbenen des Unternehmens wirdgefordert und gefördert.- In allen Bereichen des Unternehmenswerden ein vertrauensvollerUmgang und eine offeneKommunikation gepflegt und eineKultur gefördert, die den Austauschsicherheitsrelevanter Informationenfordert und unterstützt.- Zur Förderung und Umsetzungeines sicherheitsgerichteten Betriebsder Anlage wird einetransparente, angemessene Organisationgeschaffen, erhaltenund ggf. weiterentwickelt.- Alle Prozesse des Sicherheitsmanagementsystemssind qualitätsgesichert.- Interne und externe Betriebserfahrungen,Änderungen desStandes von Wissenschaft undTechnik, Entwicklungen der internationalenSicherheitsstandardsund sonstige neue Erkenntnissewerden ausgewertet,um zum Erhalt und zur kontinuierlichenVerbesserung der Sicherheitbeizutragen.- Das Unternehmen pflegt einkonstruktives Verhältnis mit denzuständigen Behörden und denvon den Behörden ggf. hinzugezogenenSachverständigendurch transparentes Handeln, indesUnternehmens wird gefordertund gefördert.-In allen Bereichen des Unternehmenswerden ein vertrauensvoller Umgangund eine offene Kommunikation gepflegtund eine Kultur gefördert, dieden Austausch sicherheitsrelevanterInformationen fordert und unterstützt.-Zur Förderung und Umsetzung einessicherheitsgerichteten Betriebs derAnlage wird eine transparente, angemesseneOrganisation geschaffen,erhalten und ggf. weiterentwickelt.-Alle Prozesse des Sicherheitsmanagementsystemssind qualitätsgesichert.-Interne und externe Betriebserfahrungen,Änderungen des Standes vonWissenschaft und Technik, Entwicklungender internationalen Sicherheitsstandardsund sonstige neueErkenntnisse werden ausgewertet,um zum Erhalt und zur kontinuierlichenVerbesserung der Sicherheitbeizutragen.-Das Unternehmen pflegt ein konstruktivesVerhältnis mit den zuständigenBehörden und den von den Behördenggf. hinzugezogenen Sachverständigendurch transparentes Handeln,intensiven Austausch und offeneKommunikation.- Die Öffentlichkeit wird angemesseninformiert.56

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. Antwort Ziffer (Neu) Textvorschlag Modul 1 (Rev. B)tensiven Austausch und offeneKommunikation.- Die Öffentlichkeit wird angemesseninformiert.525606MSGV SHModul 1, Begriff "Betreiber", Modul 8, Begriff"Unternehmen": Im Rahmen der Organisationsanforderungensollte der Bezug bei Verantwortlichkeitenund Zuordnungen klar aufden Genehmigungsinhaber abgestellt werden.Derzeit wird der Begriff "Betreiber" bzw."Unternehmen" verwendet, ohne dass aufdie Begrifflichkeiten aus dem Atomgesetz,wie "Antragsteller", "Genehmigungsinhaber"aufgebaut wird. Schon im "Grundsatz" (Mod.1) wird die Verantwortung zur Gewährleistungder Sicherheit dem "Betreiber" zugeordnet.Bei der Frage, wer denn der "Betreiber"bzw. das "Unternehmen" ist, wird auchüber die "Begriffsdefinitionen" kein direkterHinweis auf den Genehmigungsinhaber bzw.die nach AtG verantwortlichen Personengegeben. Für aufsichtliche Belange ist beiden EVU`s, die mit ihren Organisationseinheitenz.B. an verschiedenen Standortenvertreten sind, die Zuordnung von Verantwortlichkeitenund Zuständigkeiten jedochvon Bedeutung. Dies betrifft insbesonderedie Festlegung, wer die im Rahmen derGenehmigung für die "Leitung und Beaufsichtigungdes Betriebes" (§7AtG, (2), 1) derjeweiligen Anlage verantwortlichen Personensind und wo diese tätig werden. Vor diesemHintergrund sollten die Anforderungen imModul 1 und 8 hinsichtlich der Begrifflichkeit"Betreiber", "Genehmigungsinhaber" und"Verantwortliche" bzw. "verantwortliche Personen"konkretisiert werden. Dies könnte ausunserer Sicht in den Modulen selbst oderallgemeingültig in den Begriffsdefinitionen für"Betreiber" bzw. "Unternehmen" entspre-1.1 (1) Unternehmen mit hoher Sicherheitskulturbetreiben ein Sicherheitsmanagement,das die Ziele und Aktivitäten allerUnternehmensbereiche zur Gewährleistungeines sicheren Betriebs zusammenfasst.Das Sicherheitsmanagement umfasstdie Gesamtheit der Tätigkeiten zursachgerechten Planung, Organisation,Leitung und Kontrolle von Personenund Arbeitsaktivitäten. Die Zielsetzungendes Sicherheitsmanagements sinddie- Gewährleistung der Sicherheit, die- stetige Verbesserung der Sicherheit,sowie die- Förderung der Sicherheitskultur.Dies erfordert die Gewährleistung einerhohen Qualität der sicherheitsrelevantenInfrastruktur, Prozesse und Tätigkeiten.57

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. Antwort Ziffer (Neu) Textvorschlag Modul 1 (Rev. B)chend ergänzt werden.Team 8: Die Begriffe „Unternehmen“ und„Betreiber“ wurden im Modul 8 auf Grundfolgender Überlegungen bewusst gewählt:− Auch im Falle mehrerer Genehmigungsinhabersollen die Anforderungen an dasSM durch die Person oder Personengesellschaftwahrgenommen werden, dieauch die Betreiberverantwortung wahrnimmt,da diese den direkten Bezug zumBetrieb der Anlage aufweisen.− Der Begriff Unternehmen steht entsprechendden Ausführungen in den Begriffsdefinitionenin direktem Bezug zumBetreiber („das Unternehmen, dessen InhaberBetreiber des Kernkraftwerks ist,“).„Unternehmen“ wurde dann verwendet,wenn besonders hervorzuheben ist, dass„die zum Betrieb des Kernkraftwerks erforderlichenPersonen, sächlichen Mittelund Rechte, einschließlich der Anlageselbst und der Organisation“ mit einer Anforderungadressiert werden.Team 8 ist bewusst, dass mit diesen Begrifflichkeitenvon den im AtG gebräuchlichenAdressaten „Genehmigungsinhaber“ und„verantwortliche Person“ abgewichen wird.Zur Klärung der Verantwortlichkeiten im SMwurden diese Abweichungen jedoch fürnotwendig erachtet.1.1 (2a) Wesentliche Zielsetzung des Sicherheitsmanagementsist dassichere Organisieren aller Prozesse,die direkt oder mittelbar Einflussauf die Sicherheit habenkönnen (sicherheitsrelevantenProzesse), sowie die stetige Verbesserungder Sicherheit.Alle für das Sicherheitsmanage-Team 8 Straffung und sprachliche Überarbeitung 1.1 (2a) Zur Realisierung des Sicherheitsmanagementswird ein Sicherheitsmanagementsystemeingerichtet, das alle Festlegungen,Regelungen und organisatorischenHilfsmittel zur Abwicklung sicherheitsrelevanterTätigkeiten undProzesse zusammenfasst, das auf allenEbenen des gestaffelten Sicherheitskonzeptsgemäß Ziffer 2.1 (1) wirkt.58

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)ment erforderlichen organisatorischenStrukturen, Abläufe, Vorkehrungenund Maßnahmen fasst derBetreiber in einem Sicherheitsmanagementsystemzusammen, dasauf allen Ebenen des gestaffeltenSicherheitskonzepts gemäß Ziffer2.1 (1) wirkt.1.1 (2b) Die Abgrenzungen und die Schnittstellensowie das Zusammenwirkenund die Wechselwirkungendes Sicherheitsmanagementsystemsmit anderen Managementsystemendes Unternehmens unterBerücksichtigung der Priorität derSicherheit sind festgelegt undgeregelt. In entsprechender Weiseist das Verhältnis zu externenOrganisationen geregelt.1.1 (3) a) Ziel des Sicherheitsmanagementsystemsist es, einen sicherenBetrieb zu gewährleistenund eine stetige Verbesserungder Sicherheit und des Sicherheitsbewusstseinsder Mitarbeiterherbeizuführen. Hierzu wirddas Unternehmen als selbstlernendesSystem organisiert.b) Das Sicherheitsmanagementsystemist geeignet, frühzeitigHinweise auf mögliche Beeinträchtigungender Sicherheit zuKomm.Nr.KommentatorKommentar bzw. Antwort Ziffer (Neu) Textvorschlag Modul 1 (Rev. B)59Wesentliche Zielsetzung des Sicherheitsmanagementsist das sichereOrganisieren aller Prozesse, die direktoder mittelbar Einfluss auf die Sicherheithaben können (sicherheitsrelevantenProzesse), sowie die stetige Verbesserungder Sicherheit.Alle für das Sicherheitsmanagementerforderlichen organisatorischen Strukturen,Abläufe, Vorkehrungen undMaßnahmen fasst der Betreiber ineinem Sicherheitsmanagementsystemzusammen, das auf allen Ebenen desgestaffelten Sicherheitskonzepts gemäßZiffer 2.1 (1) wirkt.Team 8 Zu Ziffer 1 (3) verschoben 1.1 (2b) Die Abgrenzungen und die Schnittstellensowie das Zusammenwirken unddie Wechselwirkungen des Sicherheitsmanagementsystemsmit anderenManagementsystemen des Unternehmensunter Berücksichtigung der Prioritätder Sicherheit sind festgelegt undgeregelt. In entsprechender Weise istdas Verhältnis zu externen Organisationengeregelt.Team 8 Straffung und sprachliche Überarbeitung 1.1 (3) Die Abgrenzungen und die Schnittstellensowie das Zusammenwirkenund die Wechselwirkungen des Sicherheitsmanagementsystemsmit anderenManagementsystemen des Unternehmenssind so festgelegt und geregelt,dass Sicherheitsziele nicht durchandere Unternehmensziele beeinträchtigtwerden. In entsprechender Weiseist das Verhältnis zu externen Organisationengeregelt.Um die Zielsetzungen des Sicherheitsmanagementszu erreichen, ist das

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. Antwort Ziffer (Neu) Textvorschlag Modul 1 (Rev. B)geben.c) Das Sicherheitsmanagementsystemdeckt folgende Aspekteab:- Definition der Sicherheitspolitik,- Identifikation der erforderlichenRessourcen und Aktivitäten,- Festlegung der Organisationsstruktur,- Maßnahmen, die sicherstellen,dass die erforderlichen Aktivitätensicher durchgeführt werden,- Überwachung von Sicherheitsmanagementprozessen,- Verbesserungen der Sicherheitauf der Basis interner und externerErfahrungen.d) Das Sicherheitsmanagementsystemist als „geschlossener Managementzyklus“gestaltet. Dergeschlossene Managementzykluswird auf alle Tätigkeiten,Prozesse und Elemente des Sicherheitsmanagementsystemsangewendet. Auch auf das Sicherheitsmanagementsystemals Ganzes wird der Managementzyklusangewendet.Unternehmen als selbst lernendesSystem organisiert.Das Sicherheitsmanagementsystem istgeeignet, frühzeitig Hinweise auf einemögliche Beeinträchtigung der Sicherheitzu geben.Das Sicherheitsmanagementsystem istals „geschlossener Managementzyklus“gestaltet. Dieser wird auch auf alleTätigkeiten, Prozesse und Elementedes Sicherheitsmanagementsystemsangewendet.a) Ziel des Sicherheitsmanagementsystemsist es, einen sicheren Betriebzu gewährleisten und eine stetigeVerbesserung der Sicherheitund des Sicherheitsbewusstseinsder Mitarbeiter herbeizuführen.Hierzu wird das Unternehmen alsselbstlernendes System organisiert.b) Das Sicherheitsmanagementsystemist geeignet, frühzeitig Hinweise aufmögliche Beeinträchtigungen derSicherheit zu geben.c) Das Sicherheitsmanagementsystemdeckt folgende Aspekte ab:-Definition der Sicherheitspolitik,-Identifikation der erforderlichen Ressourcenund Aktivitäten,-Festlegung der Organisationsstruktur,-Maßnahmen, die sicherstellen, dassdie erforderlichen Aktivitäten sicherdurchgeführt werden,-Überwachung von Sicherheitsmanagementprozessen,-Verbesserungen der Sicherheit auf derBasis interner und externer Erfahrungen.d) Das Sicherheitsmanagementsystem60

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. Antwort Ziffer (Neu) Textvorschlag Modul 1 (Rev. B)ist als „geschlossener Managementzyklus“gestaltet. Der geschlosseneManagementzyklus wirdauf alle Tätigkeiten, Prozesse undElemente des Sicherheitsmanagementsystemsangewendet. Auch aufdas Sicherheitsmanagementsystemals Ganzes wird der Managementzyklusangewendet.1.1 (4) Die Prinzipien des Sicherheitsmanagementswerden umfassend aufallen Ebenen der Organisation undexterner Organisationen, die Aufgabenim Auftrag des Betreibersdurchführen, angewendet. DasSicherheitsmanagementsystemerfüllt hierzu folgende Anforderungen:a) Die Sicherheitspolitik demonstriertdas Bekenntnis des Betreiberszu einer hohen Sicherheitsleistungund wird durch definierteSicherheitsstandards, dieEntwicklung von Sicherheitszielenund die Bereitstellung dernotwendigen Ressourcen unterstützt.Sie stellt den Vorrang derSicherheit vor allen anderen Unternehmenszielenheraus.b) Es werden ausreichend materielle,personelle und finanzielleRessourcen zum Erreichen derTeam 8 Straffung und sprachliche Überarbeitung 1.1 (4) Das Sicherheitsmanagementsystemerfüllt folgende Anforderungen: DiePrinzipien des Sicherheitsmanagementswerden umfassend auf allenEbenen der Organisation und externerOrganisationen, die Aufgaben im Auftragdes Betreibers durchführen, angewendet.Das Sicherheitsmanagementsystemerfüllt hierzu folgendeAnforderungen:Team 8 sprachliche Überarbeitung a) Die Sicherheitspolitik demonstriertdas Bekenntnis des Betreibers zueiner hohen Sicherheitskultur. leistungund wird durch definierte Sicherheitsstandards,die Entwicklungvon Sicherheitszielen und die Bereitstellungder notwendigen Ressourcenunterstützt. Sie stellt denVorrang der Sicherheit vor allen anderenUnternehmenszielen heraus.Zur Umsetzung der Sicherheitspolitikwerden eindeutige messbareund widerspruchsfreie Sicherheitszieleentwickelt sowie die Maßnahmenzur Erreichung dieser Zieleabgeleitet.Team 8 sprachliche Überarbeitung b) Die erforderlichen Es werden ausreichendmateriellen, personellenund finanziellen Ressourcen zum61

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. Antwort Ziffer (Neu) Textvorschlag Modul 1 (Rev. B)Sicherheitsziele bereitgestellt.Diese Ressourcen umfassen:- -die Infrastruktur einschließlichder sicher zu betreibenden Anlage(gemäß den Anforderungender nachfolgenden Abschnitte),- eine ausreichende Anzahl vongeeignetem und qualifiziertenPersonal mit der erforderlichenFachkunde und Zuverlässigkeit,wobei die Fachkunde durch Ausbildung,Schulung und Weiterbildunggewährleistet ist,- ausreichende Finanzmittel, umdie Sicherheit des Kernkraftwerksüber die gesamte Betriebsdauerzu gewährleisten,und- ergonomisch angemesseneArbeitumgebung und Arbeitsbedingungen,und- geregelte Zusammenarbeit mitexternen Organisationen.Erreichen der Sicherheitsziele sindbereitgestellt. Diese Ressourcenumfassen:- die Infrastruktur einschließlichder sicher zu betreibenden Anlage(gemäß den Anforderungender nachfolgenden Abschnitte),- eine ausreichende Anzahl vongeeignetenm und qualifiziertenPersonenal mit der erforderlichenFachkunde, Erfahrung und Zuverlässigkeit;,wobei die Entwicklungder Fachkunde durch Ausbildung,Schulung und Weiterbildungwird gewährleistet ist,- ausreichende Finanzmittel, umdie Sicherheit des Kernkraftwerksüber die gesamte Betriebsdauerzu gewährleisten,und- ergonomisch angemessene Arbeitumgebungund Arbeitsbedingungen,und- die geregelte Zusammenarbeitmit externen Organisationen.c) Aufgaben, Verantwortung undBefugnisse (Entscheidungs- undWeisungsbefugnisse) innerhalbdes Unternehmens sind bis herunterauf die Ausführungsebeneeindeutig zugeordnet, mit denBetroffenen abgestimmt sowiebekannt gemacht und umgesetzt.c) Aufgaben, Verantwortung und Befugnisse(Entscheidungs- und Weisungsbefugnisse)innerhalb des Unternehmenssind bis herunter aufdie Ausführungsebene eindeutigzugeordnet, mit den Betroffenenabgestimmt sowie bekannt gemachtund umgesetzt.d) Alle sicherheitsrelevanten Prozessewerden qualitätsgesichertgeplant, durchgeführt, überwachtund gegebenenfalls verbessert.Die Schnittstellen zwi-Team 8 sprachliche Überarbeitung d) Alle sicherheitsrelevanten Prozessewerden mit hoher Qualität qualitätsgesichertgeplant, durchgeführt,überwacht und gegebenenfalls verbessert.Die Schnittstellen zwischen62

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. Antwort Ziffer (Neu) Textvorschlag Modul 1 (Rev. B)schen den Prozessen sind festgelegt.den Prozessen sind festgelegt.Team 1 Präzisierende Ergänzung. e) Es ist sichergestellt, dass sicherheitsrelevanteTätigkeiten nur durchhierfür geeignetes Personal durchgeführtwerden.Hinweis Die sicherheitsrelevanten Prozesseumfassen sowohl betriebliche Prozesseals auch Prozesse des Sicherheitsmanagementsystemsselbst, zum Beispielfolgende wesentliche Tätigkeiten:Betreiben der Anlage, Betriebsbereithaltungder Anlage (einschließlichInstandhaltung und Änderungsmaßnahmen),Bereitstellen von Brennelementen,Behandlung radioaktiver Abfälleals Kernprozesse, Unternehmensziele,Alterungsmanagement, Wissensmanagement,Unternehmenskommunikationals Führungsprozesse sowieAnlagenüberwachung, Personalauswahlund -ausbildung, Ereignismeldungund -analyse, Dokumentenhandhabung,Beschaffung und Lagerung alsUnterstützungsprozesse.e) Die Dokumentation stellt dar, wiedie Forderungen an das Sicherheitsmanagementsystemsowieder Managementzyklus erreichtund umgesetzt werdenTeam 8 Wird nach Modul 8 verschoben Hinweis Die sicherheitsrelevanten Prozesseumfassen sowohl betriebliche Prozesseals auch Prozesse des Sicherheitsmanagementsystemsselbst, zum Beispielfolgende wesentliche Tätigkeiten:Betreiben der Anlage, Betriebsbereithaltungder Anlage (einschließlich Instandhaltungund Änderungsmaßnahmen),Bereitstellen von Brennelementen,Behandlung radioaktiver Abfälle alsKernprozesse, Unternehmensziele, Alterungsmanagement,Wissensmanagement,Unternehmenskommunikationals Führungsprozesse sowie Anlagenüberwachung,Personalauswahl und -ausbildung, Ereignismeldung und -analyse, Dokumentenhandhabung, Beschaffungund Lagerung als Unterstützungsprozesse.Team 8Wird in Modul 8 detailliert beschrieben, allgemeineAnforderungen an die Dokumentationwerden in Modul 6 behandelt.e) Die Dokumentation stellt dar, wie dieForderungen an das Sicherheitsmanagementsystemsowie der Managementzykluserreicht und umgesetztwerden1.1 (5) Das Sicherheitsmanagementsystemwird in geeigneten Abständensowie bei sicherheitstechnischrelevanten Änderungen und beiVorliegen wesentlicher neuer Erkenntnisseüberprüft und gegebenenfallsfortgeschrieben.Team 8Streichung, da abgedeckt durch „Vorliegenneuer Erkenntnisse“.1.1 (5) Das Sicherheitsmanagementsystemwird in geeigneten Abständen sowiebei sicherheitstechnisch relevantenÄnderungen und bei Vorliegen wesentlicherneuer Erkenntnisse überprüftund gegebenenfalls verbessert. fortgeschrieben.1.1 (6) Die Planung, Durchführung, Überprüfungund Verbesserung desSicherheitsmanagementsystems631.1 (6) Die Planung, Durchführung, Überprüfungund Verbesserung des Sicherheitsmanagementsystemswerden ist

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)ist systematisch und nachvollziehbardokumentiert.Komm.Nr.Kommentator1.2 Qualitätssicherung Team 8 Streichung, da vom Detaillierungsgrad her inModul 8 besser platziert.Kommentar bzw. Antwort Ziffer (Neu) Textvorschlag Modul 1 (Rev. B)systematisch und nachvollziehbardokumentiert.1.2 Qualitätssicherung1.2 (1) Die Qualitätssicherung ist wesentlicherBestandteil des Sicherheitsmanagements.Sie wird bei allenAktivitäten, die die Sicherheit derAnlage betreffen können, angewendet.Um dies zu gewährleisten,entwickelt der Betreiber ein umfassendes,dokumentiertes Qualitätssicherungssystem,führt es ein undpflegt es.Es ist darauf ausgerichtet, entsprechendden Zielen des Sicherheitsmanagementsdie kerntechnischeSicherheit durch kontinuierlicheVerbesserung der betrieblichenAktivitäten und Methoden zuerhöhen.1.2 (2) Das Qualitätssicherungssystemumfasst alle sicherheitsrelevantenAktivitäten, Maßnahmen und technischenEinrichtungen der Anlageund ist für alle internen Mitarbeiter,Lieferanten, Auftragnehmer undServicefirmen, die sicherheitsrelevanteArbeiten ausführen, verpflichtend.Es stellt sicher, dass dieQualitätssicherung bei allen Managementprozessenund betrieblichenAktivitäten sowie bei derÜberprüfung der Managementprozesseund der Angemessenheitder Betriebsführung zur Anwendungkommt.Das Qualitätssicherungssystemberücksichtigt die Zustände auf641.2 (1) Die Qualitätssicherung ist wesentlicherBestandteil des Sicherheitsmanagements.Sie wird bei allen Aktivitäten,die die Sicherheit der Anlage betreffenkönnen, angewendet. Um dies zugewährleisten, entwickelt der Betreiberein umfassendes, dokumentiertesQualitätssicherungssystem, führt esein und pflegt es.Es ist darauf ausgerichtet, entsprechendden Zielen des Sicherheitsmanagementsdie kerntechnische Sicherheitdurch kontinuierliche Verbesserungder betrieblichen Aktivitäten undMethoden zu erhöhen.1.2 (2) Das Qualitätssicherungssystem umfasstalle sicherheitsrelevanten Aktivitäten,Maßnahmen und technischenEinrichtungen der Anlage und ist füralle internen Mitarbeiter, Lieferanten,Auftragnehmer und Servicefirmen, diesicherheitsrelevante Arbeiten ausführen,verpflichtend. Es stellt sicher,dass die Qualitätssicherung bei allenManagementprozessen und betrieblichenAktivitäten sowie bei der Überprüfungder Managementprozesse undder Angemessenheit der Betriebsführungzur Anwendung kommt.Das Qualitätssicherungssystem berücksichtigtdie Zustände auf allenEbenen des gestaffelten Sicherheitskonzeptsgemäß Ziffer 2.1 (1). Sämtli-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. Antwort Ziffer (Neu) Textvorschlag Modul 1 (Rev. B)allen Ebenen des gestaffeltenSicherheitskonzepts gemäß Ziffer2.1 (1). Sämtliche Ziele, Grundsätze,Systeme und Methoden derQualitätssicherung stehen im Einklangmit den Zielen, Grundsätzen,Systemen und Methoden des Sicherheitsmanagementsystems.che Ziele, Grundsätze, Systeme undMethoden der Qualitätssicherungstehen im Einklang mit den Zielen,Grundsätzen, Systemen und Methodendes Sicherheitsmanagementsystems.1.2 (3) Die Anforderungen an die Qualitätssicherungsmaßnahmensind sogestaffelt, dass sie die sicherheitstechnischeBedeutung aller Einrichtungen,Maßnahmen und Prozessewiderspiegeln.1.2 (3) Die Anforderungen an die Qualitätssicherungsmaßnahmensind so gestaffelt,dass sie die sicherheitstechnischeBedeutung aller Einrichtungen, Maßnahmenund Prozesse widerspiegeln.1.2 (4) Die Prozesse zur Prüfung undSicherung der Qualität im Qualitätssicherungssystemerfüllenfolgende Anforderungen:- Systematische Ableitung derQualitätssicherungsmaßnahmenaus den Qualitätszielen,- zuverlässige Überwachung derBetriebszustände,- Qualitätsprüfung durch unabhängigeMaßnahmen und währendder Durchführung der Aufgabesowie- Festlegung der Vorgehensweisebei erkannten Abweichungen vonden Qualitätsanforderungen einschließlichder Sicherung derQualität sicherheitsrelevanter Arbeitenexterner Auftragnehmerund Lieferanten.1.2 (4) Die Prozesse zur Prüfung und Sicherungder Qualität im Qualitätssicherungssystemerfüllen folgende Anforderungen:-Systematische Ableitung der Qualitätssicherungsmaßnahmenaus denQualitätszielen,-zuverlässige Überwachung der Betriebszustände,-Qualitätsprüfung durch unabhängigeMaßnahmen und während derDurchführung der Aufgabe sowie- Festlegung der Vorgehensweise beierkannten Abweichungen von denQualitätsanforderungen einschließlichder Sicherung der Qualität sicherheitsrelevanterArbeiten externerAuftragnehmer und Lieferanten.1.3 Auswertung von Betriebserfahrungenund anderen Erkenntnissen,Erfahrungsrückfluss undInformationsaustauschTeam 8Streichung, da vom Detaillierungsgrad her inModul 8 besser platziert.1.3 Auswertung von Betriebserfahrungenund anderen Erkenntnissen,Erfahrungsrückfluss und Informationsaustausch65

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. Antwort Ziffer (Neu) Textvorschlag Modul 1 (Rev. B)1.3 (1) Zum Erhalt und zur Verbesserungder Sicherheit der Anlage stellt derBetreiber sicher, dass Ereignisseund sonstige Betriebserfahrungen,Änderungen des Standes vonWissenschaft und Technik sowieder internationalen Sicherheitsstandardsauf systematische Weisenach den Vorgaben seinesSicherheitsmanagementsystemsgesammelt, gesichtet, ausgewertet,dokumentiert und gegebenenfallsumgesetzt werden.1.3 (1) Zum Erhalt und zur Verbesserung derSicherheit der Anlage stellt der Betreibersicher, dass Ereignisse und sonstigeBetriebserfahrungen, Änderungendes Standes von Wissenschaft undTechnik sowie der internationalenSicherheitsstandards auf systematischeWeise nach den Vorgaben seinesSicherheitsmanagementsystemsgesammelt, gesichtet, ausgewertet,dokumentiert und gegebenenfallsumgesetzt werden.1.3 (2) Der Betreiber überprüft Betrieb undZustand seiner Anlage aufgrundder Auswertung eigener und externerBetriebserfahrungen sowiewesentlicher Erkenntnisse. DerBetreiber wertet meldepflichtigeEreignisse anderer Anlagen imRahmen seines Programms zurSammlung und Analyse von Betriebserfahrungenaus. Insbesonderegeht er entsprechenden behördlichveranlassten Informationennach. Behördliche Empfehlungenfür das weitere Vorgehenwerden im Hinblick auf die Übertragbarkeitauf die jeweilige Anlageüberprüft und ggf. entsprechendbehördlicher Vorgaben in einer dersicherheitstechnischen Bedeutungangemessenen Zeit umgesetzt.Der Betreiber informiert die zuständigenBehörden umfassendüber die abgeleiteten Ergebnisseund Maßnahmen.1.3 (2) Der Betreiber überprüft Betrieb undZustand seiner Anlage aufgrund derAuswertung eigener und externerBetriebserfahrungen sowie wesentlicherErkenntnisse. Der Betreiber wertetmeldepflichtige Ereignisse andererAnlagen im Rahmen seines Programmszur Sammlung und Analysevon Betriebserfahrungen aus. Insbesonderegeht er entsprechenden behördlichveranlassten Informationennach. Behördliche Empfehlungen fürdas weitere Vorgehen werden im Hinblickauf die Übertragbarkeit auf diejeweilige Anlage überprüft und ggf.entsprechend behördlicher Vorgabenin einer der sicherheitstechnischenBedeutung angemessenen Zeit umgesetzt.Der Betreiber informiert diezuständigen Behörden umfassendüber die abgeleiteten Ergebnisse undMaßnahmen.1.3 (3) Der Betreiber entwickelt Prozesse,um meldepflichtige Ereignisse undsonstige sicherheitstechnisch wich-1.3 (3) Der Betreiber entwickelt Prozesse, ummeldepflichtige Ereignisse und sonstigesicherheitstechnisch wichtige Be-66

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)tige Betriebserfahrungen und Erkenntnisseden zuständigen staatlichenStellen mitzuteilen sowie mitanderen Betreibern, Betreiberorganisationen,Sachverständigenorganisationenund internationalenGremien auszutauschen.Komm.Nr.KommentatorKommentar bzw. Antwort Ziffer (Neu) Textvorschlag Modul 1 (Rev. B)triebserfahrungen und Erkenntnisseden zuständigen staatlichen Stellenmitzuteilen sowie mit anderen Betreibern,Betreiberorganisationen, Sachverständigenorganisationenund internationalenGremien auszutauschen.2. Technisches Sicherheitskonzept 2. Technisches Sicherheitskonzept2.1 Konzept der gestaffelten SicherheitsebenenTeam 1 2 (1) Zum sicheren Einschluss der im Kernkraftwerkvorhandenen radioaktivenStoffe ist ein Sicherheitskonzept realisiert,welches die Einhaltung der radiologischenSicherheitsziele (siehe Ziffern2.4) verbindet mit dem mehrfachenEinschluss der radioaktiven Stoffedurch Barrieren, unterstützt durchRückhaltefunktionen, (siehe Ziffern 2.2)und dem Schutz der Barrieren undRückhaltefunktionen durch Maßnahmenund Einrichtungen auf mehrerengestaffelten Sicherheitsebenen (sieheZiffern 2.1).2.1 Konzept der gestaffelten SicherheitsebenenEinschub zu den übergeordneten Kommentaren, das gestaffelte Sicherheitskonzept betreffend:Komm.Nr.Kommentator489 Nagel(RSK AST)Team 1 -67KommentarAnmerkungen zum Modul 1, Kap. 2 und 3.1Allgemeines: Der derzeitige Status bedarf in vielen Punkten im Detail noch der Überarbeitung; insbesondere auch um möglichst kompatibel mit dembisherigen Regelwerk zu sein und um eine Kompatibilität mit den weiteren Modulen sicherzustellen.Begriffe: Es ist unbegründet, warum Begriffe und Begriffsdefinitionen vom bisherigen Regelwerk geändert werden sollen. Einige Beispiele:

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorTeam 1Team 1Team 1Team 168Kommentar- Der Begriff „Störfall“ ist in der StrlSchV definiert und müsste also zunächst in dieser geändert werden.Die in den Begriffsdefinitionen gewählte Definition des Begriffs „Störfall“ ist aus der Definition in der StrlSchV abgeleitet worden, wobei die Inhalteder StrlSchV erhalten geblieben sind. Ein inhaltlicher Konflikt ist hier u. E. nicht gegeben, ebenso nicht ein akuter Anpassungsbedarf in derStrlSchV.- Die Anlagenteile entsprechend der Sicherheitskriterien sollen nun Einrichtungen genannt werden.Der Begriff „Einrichtung“ wird als Synonym für „Anlagenteil“ verwendet (siehe Begriffsdefinitionen). Dies entspricht u. E. der heutigen Praxis.- Der Begriff „Sicherheitsfunktion“ war als eine der übergeordneten Anforderungen mit dem PSÜ-Leitfaden definiert worden. Nun ist in etwa das wasim PSÜ-Leitfaden mit Schutzziel bezeichnet wurde, mit dem Begriff „Sicherheitsfunktion“ belegt worden, ohne dieses in den Begriffsdefinitionen zudefinieren.Der Begriff „Grundlegende Sicherheitsfunktion“ wird in Revision B durch „Schutzziel“ ersetzt (siehe auch Begriffsdefinitionen).- Die Sicherheitsebene 5 wurde in den Begriffsdefinitionen nicht eingeführt.In den Begriffsdefinitionen ist der Begriff „Katastrophenschutzmaßnahme“ definiert und in diesem Zusammenhang die Sicherheitsebene 5 eingeführt.517 Vattenfall Stichwort: Zielsetzung der sicherheitstechnischen Auslegung nicht formuliert: Im Unterschied zum international anerkannten kerntechnischen Regelwerkder IAEA fehlt im vorgesehenen Regelwerk des BMU eine übergeordnete Formulierung der Zielsetzungen, die mit den im Regelwerk gestelltendetaillierten Anforderungen erreicht werden soll. Bei der IAEA ist die übergeordnete Zielsetzung (Safety Objectives), die mit den nachgeordneten Safety-Functionserreicht werden soll, wie folgt formuliert (IAEA NS-R-1):2.2 "General Nuclear Safety Objective": To protect individuals, society and the environment from harm by establishing and maintaining in nuclear installationseffective defences against radiological hazards.Team 1Team 1Team 1Diese Zielsetzung ist u. E. mit Ziffer 2.1 (1) von Modul 1 ausreichend und an herausgehobener Stelle erfasst.2.4 Radiation Protection Objective": To ensure that in all operational states radiation exposure within the installation or due to any planned release ofradioactive material from the installation is kept below limits and as low as reasonable achievable, and to ensure mitigation of the radiological consequencesof any accidents.Diese Zielsetzung ist u. E. mit Ziffern 2.2 (1) und 2.4 (1) von Modul 1 ausreichend und ebenfalls an adäquater Stelle erfasst.2.5 "Technical Safety Objective": To take all reasonable practicable measures to prevent accidents in nuclear installations and to mitigate their consequencesshould they occur; to ensure with a high level of confidence that, for all possible accidents taken into account in the design of the installation,including those of very low probability, any radiological consequences would be minor and below prescribed limits; and to ensure that likelihood of accidentswith serious radiological consequences is extremely low.Diese Zielsetzung ist u. E. mit Ziffer 2.1 (3) von Modul 1 ausreichend erfasst.Ausgehend von dieser Formulierung sind die gestellten Anforderungen des IAEA-Regelwerkes nachvollziehbar begründbar oder auch selbsterklärend.Die Bewertung unterschiedlicher technischer Lösungsansätze gelingt mit einer derartigen Formulierung des Regelwerkes unter Nutzung der nach demStand von Wissenschaft und Technik gestellten Anforderungen und Analysemethoden.

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorTeam 1 -Team 1590 Tietze,TÜV NordTeam 1590 Wieland,TÜV Nord69KommentarDem gegenüber erfüllt die Indikativ-Version des BMU nicht die aus heutiger Sicht zu stellenden Anforderungen an die Begründetheit und die allgemeingültige Anwendbarkeit eines Regelwerkes, insbesondere im Hinblick auf die Beurteilung unterschiedlicher technischer Lösungswege. Es handelt sichdabei vielmehr um die Formulierung einer Ausführungsbestimmung, deren übergeordneter Sinn sich nicht erschließt. Die Aufnahme einer übergeordnetenZielsetzung im Sinne der IAEA Safety Objectives ist deshalb zwingend erforderlich und international üblich.Wie bereits ausgeführt, sind die Zielsetzungen, wie bei der IAEA benannt, in Modul 1 vorhanden. Im Detaillierungsgrad von Modul 1 gibt es keinenBedarf für Regelungen zu technisch unterschiedlichen Lösungen. Diesbezügliche Regelungen sind eher Gegenstand von KTA Regeln. Zur Frage derIndikativ-Formulierung siehe bspw. Antwort zu Kommentar 600 (übergeordneter Kommentar).Wir haben diese Anregung zur Unterteilung der Sicherheitsebenen 2 bzw. 3 auch gegeben, schon vor der RSK- Empfehlung. Mit gutem Grund, weil wirja immer wieder in Diskussion hinein laufen. Sie kennen das schon aus dem KTA-2000: 3a, 3b. Ein „beliebter“ Fall ist auch immer: Was ist der Ausfallder Hauptwärmesenke? Die Fragestellung, was ist anormaler Betrieb, gehört der nun in die Klasse oder Ebene 2 oder 3 hinein? Das war sicherlichauch der Grund warum die RSK die von Ihnen zitierte Stellungnahme schlussendlich erstellt hat. Insbesondere im Hinblick auf das Ziel, was wir mitdem Regelwerk verbunden ist, nämlich Klassifizierungen von Anforderungen, in diesem Fall nach Sicherheitsebenen, Eindeutigkeit und Handhabbarkeitdieser Anforderungen, ist mir das mit dem Hinweis auf die internationale Vergleichbarkeit nicht so ganz nachvollziehbar. Einesteils sagen Sie inIhren Kommentaren die Regelwerksentwürfe sind mit dem internationalen Stand vergleichbar. Sie betonen in den einzelnen Kommentaren auch IhreKompatibilität zu dem RSK-Papier, zu der Stellungnahme und der Empfehlung die da vorliegt. Dann müsste ja alles in sich auch kompatibel sein. Dashätte ich gerne noch einmal eine Erläuterung zu. Und zu dem Aspekt Handhabbarkeit. Das RSK-Papier zeichnet sich ja schon durch eine gewisseLogik, Stringenz und vor allen Transparenz der Anforderungen aus. Ich denke, das wird sich dann im allgemeinen Sprachgebrauch auch niederschlagen.Und dann haben wir schon wieder so eine Abweichung zwischen Regelwerk auf der einen Seite und tatsächlichem Umgang und Handhabbarkeitauf der anderen Seite. Weil, die Differenzierung nehmen wir ja im Prinzip schon alle vor, um die es hier geht. Okay. Aber zu dem Internationalen wirdes dann noch einen kurzen Replik (geben).Eine Aufteilung der Sicherheitsebenen 2 und 3 in die Unterebenen a und b ist u. E. nicht geeignet, da ein solcher Ansatz nicht kompatibel mit deminternationalen Vorgehen ist, nicht dem Gestaffelten Sicherheitskonzept nachkommt sowie letztlich auch die Diskussionen verkompliziert. Insbesonderebei der Beschreibung der Grundmerkmale des Sicherheitskonzepts, wie in Modul 1 der Fall, wäre eine solche Einteilung fehl am Platz. Mit dem GestaffeltenSicherheitskonzept sowie der Einteilung der Ereignisse in Modul 3 ist u. E. hierzu der Ansatz zu ausreichender Klarheit geschaffen. Sofern fürbestimmte Ereignisse der Ebene 3 (z.B. großes Leck) oder Ebene 2 (Ereignisse mit Anforderung von Sicherheitseinrichtungen der Ebene 3) Besonderheitenzum Tragen kommen sind diese eindeutig geregelt (z.B, in den Ereignislisten von Modul 3 oder durch Ziffer 2.1(7) in Modul 1).Zum Aspekt der Kompatibilität der Anforderungen in den Modulen mit dem RSK Papier: In inhaltlich-materieller Hinsicht sind die Anforderungen in denModulen u. E. kompatibel mit dem RSK Papier, bis auf wenige Passagen, an denen wir den RSK Formulierungen nicht folgen (hierzu siehe die entsprechendeDokumentation zum RSK Papier).Der wesentliche Punkt der Unterteilung lag in der Sicherheitsebene 2. Deswegen ist die RSK- Stellungnahme so erstellt worden. Nicht hinsichtlich Probabilistiksondern hinsichtlich der Anforderungen in den unterschiedlichen Stufen. Das heißt, bei der Einsortierung von Ereignissen muss man immerGenehmigungsstand und Praxis sehen, die sehr unterschiedlich in den einzelnen Ländern und bei den einzelnen Anlagen sind. Die Gefahr, wenn manalles in eine Ebene 2 packt, und jetzt aber auch Ereignisse, die früher einmal in der Sicherheitsebene 3 untergebracht waren, wie Notstromfall undähnliches, dann spricht man auch von gleichen Anforderungen für bisher unterschiedliche Fälle. Das heißt, einmal hatte man hier eine Begrenzungsebenegehabt, wo man gesagt hat, man will in Vorhalt gehen zu Ereignissen, die in der Störfallebene lagen und anders ehemalige Störfälle, wie siebehandelt werden. Ich hatte auch so bei Herrn Liemersdorf verstanden, dass er diesen Dingen Rechnung tragen will. Also, sachlich und inhaltlich.Wenn man dann aber dies nicht deutlich macht, sagen wir einmal, übergeordnet, dass es zwei verschiedene Anforderungen eben gibt, kann das natür-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorTeam 1Kommentarlich verwischen, das heißt, man findet es dann nur im Modul 3 wieder. Ob das günstig ist sehe ich so nicht, weil es nachher in der Transparenz schwierigwird, dass nachzuvollziehen.Im Unterschied zur Ebene 3 müssen bei allen Ereignissen der Ebene 2 insbesondere die wesentlich schärferen radiologischen Sicherheitsziele desBetriebs eingehalten werden. Eine generelle Verschiebung von Ereignissen von 3 nach 2 ist nicht erfolgt. Es trifft zu, dass die Genehmigungspraxisuneinheitlich ist. Gerade deshalb ist eine einheitliche Regelung jetzt angebracht. Der zitierte Notstromfall ist aber schon immer als anomaler Betrieb(Ebene 2) eingeordnet worden. Das wesentliche Unterscheidungsmerkmal der Ereignisse innerhalb der Ebene 2 ist, dass bei einigen wenigen Ereignisseneine Reaktorschnellabschaltung und ggf. weitere Sicherheitseinrichtungen, die üblicherweise zur Beherrschung von Ereignissen der Ebene 3vorgesehen sind, zum Einsatz kommen. Dies ist durch Ziffer 2.1 (7) in Modul 1 geregelt. Im Einklang mit der internationalen Praxis sehen wir eine formaleUnterteilung der Ebene 2 als nicht zielführend an.594 Bandholz,RSKTeam 1Wenn die Anforderungen in den Modulen gegenüber gestellt werden, dann ist zum Beispiel nach dem Modul 5 auch in der Ebene 4c definiert worden,dass konkurrierende Maßnahmen des anlageninternen Notfallschutzes Vorrang vor Reaktorschutz haben. Gleichzeitig habe ich hier die Anforderung,dass sich alles sozusagen eben auch, hinsichtlich der sicherheitstechnischen Bedeutung immer daran orientieren soll. Und diese ganzen Anforderungenund das Übereinanderlegen der Ebene 4c, die Vorrang vor dem Schutz haben soll, also auch Leittechnikfunktion der Kategorie A, da kommen mireben Zweifel, ob die ganzen Vorgaben aus Modul 1, Modul 7 und Modul 5 sich tatsächlich auch übereinander falten lassen.Die Kompatibilität der Texte der betroffenen Module wurde überprüft. Änderungen sind in die Rev. B eingeflossen (Ziffer 3.2 (5) in Modul 1). Von derSache her ist sicherzustellen, dass bei anlageninternen Notfallmaßnahmen (Ebenen 4b und 4c) zielführende Eingriffe bei allen Leittechnikfunktionender Kategorie A, einschl. Reaktorschutz, möglich und zulässig sind.Und da sind meine großen Bedenken, dass hier zu viele abstrakte Begriffe sind, dass man in der Sicherheitsebene 2 so zuverlässig sein muss, dassdie Ebene 3 nicht in Anspruch genommen wird, das ist natürlich auch eine Anforderung. Das würde bedeuten, dass die Kategorie B in der Leittechnikzuverlässiger sein muss als die Kategorie A. Als ganz generelle Folgen, das steht hier so wörtlich drin, dass Sie in der Ebene 2 so zuverlässig einrichtenund aufbauen müssen, dass Sie Ebene 3 nicht erreichen. Modul 5 wird einfach überladen mit all diesen allgemeinen Anforderungen aus Modul 1und auch aus anderen Modulen. Das ist meine große Sorge.Team 1Die Formulierung in Ziffer 2.1 (3) Modul 1 ist, dass das Eintreten von Störfällen vermieden wird. Diese Formulierung ist bewusst gewählt und bedeutetnicht, dass die Sicherheitsebene 3 „nicht in Anspruch genommen wird“. Es besteht die Anforderung, dass (gemäß Planung) Störungen grundsätzlichmit den Einrichtungen der Sicherheitsebene 2 beherrscht werden, ebenso wie Störfälle mit denen der Sicherheitsebene 3. Der im Kommentar gezogeneSchluss, dass „die Kategorie B in der Leittechnik zuverlässiger sein muss als die Kategorie A“ ist daraus u. E. nicht ableitbar.Zum Zweiten komme ich eben dazu und sage, ich habe in Modul 3 auf der Sicherheitsebene 2 Ereignisse definiert, die das Sicherheitssystem anfordern,bspw. Ausfall der Hauptwärmesenke. Da gibt es Mehrere davon. Diese Ereignisse fordern also Einrichtungen der Ebene 3 an, nicht der Ebene 2und auch nicht die Kategorie A und nicht die Kategorie B. Das passt aber nicht zusammen mit den Anforderungen aus Modul 1, dass sie ebenenweiseauch die Einhaltung der Schutzziele oder der Sicherheitsanforderungen auf der einzelnen Ebene sicherstellen müssen. Und deswegen muss das Modul5 sich an der Stelle, meines Erachtens nach, einfach als „Mittler zwischen diesen Modulen“ verstehen, in dem darauf hingewiesen wird, dass dieSicherheitsebenenzuordnung aus dem Modul 3 und die Anforderung aus Modul 1 sich natürlich hier irgendwo in einem System auslegen lassen müssen.Sie haben echte Schwierigkeiten, diese Anforderungen so übereinander zu falten, dass Sie das auch umsetzen können. Insofern hat das Modul 5da auch an manchen Stellen einfach die Führungskappe aufzusetzen, um vielleicht das Modul 1 an vielen Stellen zu korrigieren. Es lässt sich so nichtauslegen, wenn Sie die Anforderungen aus den drei Modulen übereinander falten.Team 1Ziffer 2.1 (7) Modul 1 regelt die Bedingungen, unter denen Einrichtungen der Sicherheitsebene 3 bei Ereignissen der Ebene 2 in der Analyse herangezogenwerden können. Eine Inkonsistenz zu den in Modul 3 definierten Ereignissen bzw. den Anforderungen in Modul 5 besteht u. E. nicht.70

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.Kommentator622 Wildermann,UMBWTeam 1590 Noack,RWE PowerTeam 1622 Noack,RWE PowerTeam 171KommentarDie Ausbildung der Sicherheitsebenen war nicht Grundlage der Auslegung. Ich denke, da sind wir alle der gleichen Meinung. Diesen Satz kann man sostehen lassen, der ist richtig. Das Sicherheitsebenen-Konzept ist ein Konzept, das man nachträglich – wenn man so will – ausgebildet hat und nachträglichauf die Anlagen draufgesetzt hat. Es ist kein Konzept, was bei der Auslegung schon bestanden hat und was eventuell in den Genehmigungsunterlagenauch schon vollständig beschrieben ist. So ist es nicht. Ist es auch nicht vollständig beschrieben. Nach meinem Kenntnisstand gibt es keineGenehmigungsunterlagen, in der dieses Konzept definitiv beschrieben worden ist. Wo man ganz klar gesagt hat: Dieses Sicherheitsebenen-Konzept istBasis der Auslegung der Anlagen und wo man ganz klar zugeordnet hat eine Komponente zum Beispiel, ein System, gehört dazu. Die Einteilung dieserSicherheitsebenen war ja maßgeblich eigentlich durch die Ereignisse bestimmt. Also, man ist eher den Weg gegangen, zu sagen, es gibt bestimmteEreignisse, die gehören im Prinzip aufgrund ihrer Wahrscheinlichkeit oder von ihren Auswirkungen zu einer bestimmten Ebene. Und ist dann hergegangenund hat gesagt: für die Beherrschung dieser Ereignisse sind bestimmte Systeme und Komponenten erforderlich und die gehören damit auch zudieser Ebene. Diese Logik ist man gegangen, im Prinzip. Und diese Logik ist man eigentlich stringent nur für die Ebene 3 und in Teilen für die Ebene 2gegangen. Deswegen ist das, was man jetzt drauf setzt von 1 bis 4, etwas anderes, als das was man ursprünglich für 2 und 3 im Genehmigungsverfahreneigentlich hatte. Und ich denke, insoweit ist die Kritik, das war nicht Bestandteil der Genehmigungsvariante, berechtigt. Und es stellt insoweit eineweitergehende Anforderung dar, als die, die man ursprünglich in der Genehmigung hatte.Es gibt in den Genehmigungsunterlagen keine definitiven Aussagen: diese Systeme gehören definitiv zur Sicherheitsebene 2 oder gehören definitiv zurSicherheitsebene 1. Diese Aussagen finden Sie dort nicht. Sie finden klare Präzisierungen für die der Ebene 3. Diese sind klar definiert und auch klarpräzisiert. Aber in den Schnittstellen 1/2 und 2/3, da ist das so genau und so klar in den Unterlagen, zumindest in unserem Verfahren, vielleicht gibt esbessere Verfahren, nicht geregelt. Dementsprechend muss man sich bewusst sein, wenn man ein solches Konzept jetzt neu anwendet, dass man dazu Neudefinition kommen muss. Diese Neudefinitionen hängen dann ganz maßgeblich von der Einstufung, von dem, welche Ereignisse Sie welchenSicherheitsebenen zuordnen, ab.Beschrieben wird ein Anlagenzustand, der die aus heutiger Sicht erforderlichen Vorkehrungen, unter Berücksichtigung der in den deutschen Anlagenrealisierten Konzeption, den Stand der Technik sowie die in internationalen Anforderungen festgelegten Vorgaben umfasst. Eine alleinige Orientierungan dem, was „in den Genehmigungsunterlagen schon vollständig beschrieben ist“ war und konnte nicht Grundlage der Regelwerkserstellung sein.Also, mir ist bis jetzt noch nicht transparent geworden, wie ich nachvollziehbar in einem Aufsichtsverfahren dem Gutachter gegenüber in die Sicherheitsebenen1 und zwei 2 differenzieren kann. Oder welche Kriterien denen zu Grunde liegen? Ich habe hier noch das Beispiel von Herrn Waas „Ausfallder Fülleinrichtungen der Kühlturmtasse“. Das ist ja auch kein normaler Betrieb. Ist das dann anormaler Betrieb? Wo sehe ich denn hier genau, wennEreignisse, die nicht dem normalen Betrieb zugehören, die sicherheitstechnische Relevanz auf der Sicherheitsebene 2 haben? Das hat sich mir nochnicht erschlossen. Vielleicht können Sie mir das morgen erklären?Die Unterschiede der Sicherheitsebenen 1 und 2 sind bereits in den Definitionen enthalten (Ebene 1: Vermeiden von Störungen; Ebene 2: Störungenbeherrschen sowie Vermeiden von Störfällen). Genauere Definitionen sind in den Begriffsdefinitionen zu finden. Zudem kann auf die Anlage 1 zumErgebnisprotokoll der 385. Sitzung der RSK am 20./21.07. 2005 hingewiesen werden, wonach Abweichungen in Betriebssystemen oder Betriebsweisenvom Normalzustand, die nicht zur Einschränkung der im Normalbetrieb gemäß BHB vorgesehenen Fahrweisen oder zur Einschränkung des Leistungsbetriebesführen, ebenfalls als Normalbetrieb einzustufen sind.Wenn man das IAEA-Papier „Assessment of defence in-depth", IAEA Safety Series No 46, welches sich genau mit der Bewertung der Sicherheitsebenenbefasst, ansieht, dann sieht man, dass dieses Papier die Sicherheitsebenen von Ereignissen heraus definiert. Da wird geschaut: Welche Ereignissesind zu betrachten? Welche Komponenten benötige ich, um in diesen Ereignissen zu bleiben? Von diesem Ereignisansatz aus werden dann Komponentendefiniert. Wir gehen jetzt sofort vom Komponentenansatz aus.Auch in den Modulen werden Ereignisse definiert und den Sicherheitsebenen zugeordnet (Modul 3). Die zur Beherrschung dieser Ereignisse benötigtenEinrichtungen (Komponenten) sind damit auch den jeweiligen Ebenen zugeordnet. Die Aussage im Kommentar, dass in Modul 1 von einem „Kompo-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentarnentenansatz“ ausgegangen werde, ist insofern nicht verständlich.Besondere Schwierigkeiten sehen wir mit den Sicherheitsebenen 1 und 2, mit dieser Differenzierung. Das ist nicht klar genug, welche Komponenten zueinem anormalen Betrieb führen können, was noch anormaler Betrieb ist. Das können nur die Anlagenbereiche sein, die etwas mit der Sicherheit desKraftwerkes zu tun haben. Wir haben sehr viele Komponenten, die konventioneller Art sind: im Maschinenhaus, im Turbinenbereich.Team 1Das in Modul 1 formulierte Gestaffelte Sicherheitskonzept hat die in Ziffer 2.1 (1) genannte übergeordnete Zielsetzung. Sofern diese Zielsetzung durchStörungen in Einrichtungen nicht betroffen ist, gelten die Anforderungen des Gestaffelten Konzepts nicht. Zur Differenzierung zwischen den Sicherheitsebenen1 und 2 siehe Antwort auf Kommentar 590 zu dieser Textstelle.Generell etwas wieder zur Zielorientierung: Es fehlt eigentlich der Ansatz, die Anlagensicherheit durch die Erfüllung von Schutzzielen nachzuweisen.Dieser IAEA-Report, ich sage es noch einmal, der heißt: "Assessment of defence in-depth". Da finden Sie an vielen Stellen ein prägnantes Zitat: "forNPP the safety objectives are ensured by fulfilling the three fundamental safety functions". Also da sind diese Sicherheitsziele, diese Schutzziele, sindfür jede Ebene definiert. Anhand dieser Schutzziel-Erfüllung werden die Komponenten-Anforderungen abgeleitet. Das wäre aus unserer Sicht der zielführendeAnsatz im Modul 1 zur Definition der Sicherheitsebenen.Team 1Siehe hierzu Antwort oben sowie auf Kommentar 498 zu Beginn dieser synoptischen Darstellung.Ziffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)2.1 (1) Der Einschluss der im Kernkraftwerkbefindlichen radioaktivenStoffe ist sichergestellt.Zur Erreichung dieses Ziels ist einSicherheitskonzept umgesetzt, beidem gestaffelte Maßnahmen undtechnische Einrichtungen Sicherheitsebenenbilden, welche durchdie folgenden Anlagenzuständecharakterisiert sind:- Sicherheitsebene 1: Normalbetrieb(Bestimmungsgemäßer Betrieb)- Sicherheitsebene 2: anomalerBetrieb (BestimmungsgemäßerBetrieb)- Sicherheitsebene 3: Störfälle- Sicherheitsebene 4a: sehr selteneEreignisse- Sicherheitsebene 4b: Ereignisse489 Nagel(RSK AST)Da auf der Sicherheitsebene 4 keine zahlenmäßigeBeschränkung der Strahlenexpositionfestgelegt ist sollte der 1. Satz mitBezug auf die Strahlenschutzverordnungerweitert werden. Der Einschluss der imKernkraftwerk befindlichen Stoffe ist gemäßden Vorschriften der StrlSchV sicherzustellen.Team 1: Die Aufgabenstellung des Sicherheitskonzeptsist u. E. die in Modul 1 gewählteFormulierung. Diese Aufgabenstellungbesteht unabhängig von den Vorschriftender StrlSchV.2.1 (1) Der Einschluss der im Kernkraftwerkbefindlichen radioaktiven Stoffe istsichergestellt.Zur Erreichung dieses Ziels ist einSicherheitskonzept umgesetzt, beidem gestaffelte Maßnahmen undtechnische Einrichtungen Sicherheitsebenenbilden, welche durch die folgendenAnlagenzustände charakterisiertsind:- Sicherheitsebene 1: Normalbetrieb(Bestimmungsgemäßer Betrieb)- Sicherheitsebene 2: anomaler Betrieb(Bestimmungsgemäßer Betrieb)- Sicherheitsebene 3: Störfälle- Sicherheitsebene 4a: sehr selteneEreignisse- Sicherheitsebene 4b: Ereignisse mitMehrfachversagen von Sicherheitseinrichtungen72

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)mit Mehrfachversagen von Sicherheitseinrichtungen- Sicherheitsebene 4c: Unfälle mitschweren Kernschäden, bei denender Einschluss der radioaktivenStoffe soweit als möglich aufrechterhalten bleibt.- Sicherheitsebene 4c: Unfälle mitschweren Kernschäden (, Ziel hierbeiist es, denen der Einschluss derradioaktiven Stoffe soweit als möglichaufrecht zu erhalten bleib)t.590 Schwarz,EnKKDiese fehlende Zuordnung und die stureFesthaltung an dem, was international gekommenist, trägt in keinster Weise den unterschiedlichenAnlagenkonzeptionen Rechnung.Gerade, wenn man das Internationaleanschaut, dann gibt es dort keine Sicherheitsebene2 oder nur in sehr geringem Maße.Gerade aber die Sicherheitsebene 2 isteine ganz dominante Sicherheitsebene beiuns, die nämlich insbesondere verhindernsoll, dass Störfälle eintreten. Insofern istdieses Festhalten an den Ereignissen, dievom Internationalen herkommen, einfachfalsch. Das führt auch dazu, dass Dinge diebeim Genehmigungsverfahren selbst beimKonvoi in Sicherheitsebene 3 waren, jetzt inSicherheitsebene 2 gerutscht sind. Da gibt esaus meiner Sicht überhaupt keinen Grunddafür. Hier ist man wohl sehr einfach vorgegangen.Die Probleme werden sich späternoch ergeben, wenn es um zusätzliche Ausfällevon irgendwelchen Einrichtungen gehtund das dann immer noch in Sicherheitsebene2 oder Sicherheitsebene 3 bleiben soll.Dann wird es schwierig. Ich halte hier diesenVerzicht auf die probabilistischen ergänzendenEinstufungskriterien, für völlig falsch.Team 1: Die Sicherheitsebene 2 ist im internationalenRegelwerk verankert und hat ihrewesentliche Bedeutung in der Prevention zurVermeidung von Störfällen, auch wenn sieinternational in unterschiedlichem Umfangrealisiert ist. Da das internationale Regelwerk73

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)unterschiedlichen Anlagenkonzeptionengerecht werden muss, kommen dort allgemeineZuordnungskriterien für Ereignissezum Tragen. Da das deutsche Regelwerk füreine begrenzte Anzahl bekannter Anlagenkonzepteerstellt wird, ist es zielführender, indiesem Regelwerk konkrete Zuordnungenvorzunehmen. Damit wird auch ein einheitlichesVorgehen im Genehmigungs- und Aufsichtsverfahrenerreicht. Die in Modul 3 vorgenommeneZuordnung von Ereignissen indie Ebenen 2, 3 und 4a entspricht grundsätzlichder Genehmigungspraxis der meistendeutschen Anlagen. Eine Ausweitung erfolgtelediglich durch die Einbeziehung von Ereignissenbei abgeschalteter Anlage, diebisher nicht systematisch betrachtet wurden.Die Berücksichtigung des Einzelfehlerkonzeptsbei der Auslegung und bei Nachweisenzur Beherrschung von Ereignissen, sowiesonstiger Ausfallpostulate wird in Modul 1bzw. 10 deterministisch geregelt, da diesesKonzept und die Postulate in der deterministischenBetrachtungsweise ihren Ursprunghaben und in einer probabilistischen Betrachtungsweisekeinen Sinn machen. Im Kernfordert der Kommentar aber die Einbeziehungprobabilistscher Zuordnungskriterien.Quantitative Kriterien sind hierzu aber nichtzielführend, da die Ermittlung von Häufigkeitenfür Ereignisse/Kombinationen zumindestauf Basis der derzeit vorhandenen Datennicht mit der notwendigen Aussagesicherheitmöglich ist und eine Vermischung von deterministischenund probabilistischen Kriterienerhebliche Verfahrensprobleme (was giltletztlich?) aufwerfen würde.590 Wildermann,UM BWIch würde auch noch einmal auf das Themahinweisen mit der Botschaft, dass ich dieseEntscheidung der Abgrenzung der einzelnen74

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Sicherheitsebenen durch probabilistischeKriterien in gewisser Weise für sinnvoll finde,aus zwei Gründen: Erstens: Die Kriterien, indie sie in 7.1 angegeben haben, Ereignisse,die während der Laufzeit einer Anlage zurerwarten sind, die können Sie im Prinzipproblemlos in probabilistische Kriterien umrechnen.Das ist ja eigentlich nichts anderes,was da steht. Das sind probabilistische Kriterien.Dann sollte man auch den Mut haben,das hier hinzuschreiben. Und Zweitens:Wenn Sie neue Ereignisse haben, die Siedefinieren oder erkennen, dann müssen Siedie auch in irgendeiner Weise einer Sicherheitsebenezuordnen. Und dabei ist dieseEinstufung oder diese Einschätzung derprobabilistischen Betrachtungsweise ebenfallssehr hilfreich. Dort, wo Sie schon bestehendeEinstufungen haben, können Sie diesmit der Deterministik relativ leicht machen.Aber da, wo Sie keine bestehenden Einstufungenhaben, sollte man schon eine Mischungaus deterministischen Kriterien undprobabilistischen Kriterien haben, um dieseEreignisse richtig einzustufen. Deshalb würdeich anregen, dass man da noch einmaldarüber nachdenkt.Team 1: Siehe Antwort auf vorhergehendenKommentar.2.1 (2) Darüber hinausgehend sind fürUnfälle mit erheblichen Freisetzungenradioaktiver Stoffe in die UmgebungMaßnahmen des Katastrophenschutzesgeplant, Sicherheitsebene5.2.1 (2) Darüber hinausgehend sind für Unfällemit schweren Kernschäden, bei denensich mit erheblichen Freisetzungenradioaktiver Stoffe in die Umgebungmit den Maßnahmen des anlageninternenNotfallschutzes nicht vermeidenoder begrenzen lassen, Maßnahmendes Katastrophenschutzes geplant,Sicherheitsebene 5.2.1 (3) Das Sicherheitskonzept ist präventivgestaltet. Es sind Maßnahmen489 NagelRSK AST)2.1 (3a) Das Sicherheitskonzept ist präventivgestaltet. Es sind Maßnahmen undzum 1. Spiegelstrich: Auf der Sicherheitsebene1 soll nicht nur das Eintreten von75

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)und Einrichtungen vorgesehen, die- auf der Sicherheitsebene 1• das Eintreten von Störungenvermeiden,- auf der Sicherheitsebene 2• eintretende Störungen beherrschensowie• das Eintreten von Störfällenvermeiden,- auf der Sicherheitsebene 3• Störfälle beherrschen sowie• das Eintreten von Anlagenzuständenmit Mehrfachversagenvon Sicherheitseinrichtungenverhindern;- auf der Sicherheitsebene 4a• Auswirkungen von sehrseltenen Ereignissen beherrschen;- auf der Sicherheitsebene 4b• bei Ereignissen mit Mehrfachversagenvon SicherheitseinrichtungenschwereKernschäden vermeiden(präventive anlageninterneNotfallmaßnahmen);Störungen sondern auch das Eintreten vonStörfällen vermieden werden.zum 4. Spiegelstrich: Bei seltenen Ereignissender Ebene 4a wird eine Strahlenexpositionoberhalb der Grenzwerte der StrSchVzugelassen. Insofern werden diese Ereignissenicht derart beherrscht wie Störfälleder Ebene 3. Vorschlag: schwere Auswirkungenvon sehr seltenen Ereignissen verhindern.Team 1: zum 1. Spiegelstrich: dem Kommentarwird gefolgt. Es ist allerdings daraufhinzuweisen, dass mit Ziffer 2.1 (3), welchedas Konzept einführt, nicht alle Aufgabenstellungbereits umfassend beschriebenwerden sollen. Dies muss im Zusammenwirkenaller Anforderungen von Abschnitt2.1 erfolgen.zum 4. Spiegelstrich: der Bezug auf dieStrlSchV ist auch auf den anderen Sicherheitsebenennicht alleine maßgebend. Zudemwäre mit „schwere“ Auswirkungen einu. E. nicht hilfreicher unbestimmter Begriffeingeführt. Auf eine Präzisierung der Auswirkungenan dieser Stelle kann u. E. verzichtetwerden, da dies in den weitergehendenRegelungen zur Sicherheitsebene 4a(insbesondere Modul 3) erfolgt.Einrichtungen vorgesehen, die- auf der Sicherheitsebene 1• das Eintreten von Störungen,Störfällen oder Ereignissen mitMehrfachversagen von Sicherheitseinrichtungenvermeiden,- auf der Sicherheitsebene 2• eintretende Störungen beherrschensowie• das Eintreten von Störfällen oderEreignissen mit Mehrfachversagenvon Sicherheitseinrichtungenvermeiden,- auf der Sicherheitsebene 3• Störfälle beherrschen sowie• das Eintreten von Ereignissen Anlagenzuständenmit Mehrfachversagenvon Sicherheitseinrichtungenverhindern;- auf der Sicherheitsebene 4a• Auswirkungen von sehr seltenenEreignissen beherrschen;- auf der Sicherheitsebene 4b• bei Ereignissen mit Mehrfachversagenvon Sicherheitseinrichtungenschwere Kernschäden vermeiden(präventive Maßnahmendes anlageninternen Notfallschutzesmaßnahmen).;- auf der Sicherheitsebene 4c• bei Unfällen mit schwerenKernschäden zu einer Begrenzungder Auswirkungenführen (mitigative anlageninterneNotfallmaßnahmen).2.1 (3b) Aauf der Sicherheitsebene 4c sindMaßnahmen des anlageninternen Notfallschutzesvorgesehen, die bei Unfällenmit schweren Kernschäden dieFreisetzungen radioaktiver Stoffe in dieUmgebung so weit wie möglich begrenzenzu einer Begrenzung der Auswirkungenführen (mitigative MaßnahmenanlageninterneNotfallmaßnahmen).622 Schwarz,EnKKWas wir kritisiert haben, ist jetzt die Abkehrvom Präventiven zum Mitigativen, nämlich76

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)durch die Einführung der Sicherheitsebene4c. Das ist etwas ganz Neues. Das haben wirbisher nicht betrachtet. Wir haben zwei Sündenfällebegangen. Das war das Venting unddas waren die Rekombinatoren. Wie die zuStande gekommen sind, das ist, denke ich,allen bekannt, die hier in diesem Raum sitzen.Das heißt aber nicht, dass man deswegengleich eine Sicherheitsebene 4c einführenmuss. Ich möchte hier auch gleich sagen,dass auch nichts damit zu tun, dass man einLevel-2-PSA macht. Es ist aus meiner Sichtauch nicht zwingend notwendig, dass mandeswegen über eine konsequente Einführungder Sicherheitsebene 4c redet. Ich möchtehier noch einmal darauf hinweisen, dassunsere Anlagen, insbesondere unter dempräventiven Charakter ausgelegt sind. Dapassen die Sicherheitsebenen 4a und 4beben auch zu. Das sind alles präventiveMaßnahmen, die dazu führen sollten, dassman eben nicht in den Zustand kommt, derdurch die Sicherheitsebene 4c beschriebenist. Hier sind wir der Meinung, dass die bisherigeAnlagenkonzeption eben hiervontangiert ist und dass das es hier über diebisherige Anlagenkonzeption und Betrachtungsweiseweit hinaus geht und wir uns mitDingen beschäftigen müssen, nicht nur probabilistisch,mit den entsprechenden Unsicherheiten,sondern ganz konkret im Nachweisverfahren,möglicherweise in Prozeduren,wo es nicht mehr um irgendeinen wahrscheinlichenAblauf geht, sondern um ganzkonkrete Beschreibung. Das ist etwas ganzNeues, was wir hier in dem Regelwerk wiederfinden und das ist für uns eine Abkehrder Philosophie. Das mit den Maßnahmenbeschreibungengeht in die gleiche Richtung.Also ich habe mir das spaßeshalber aucheinmal angeguckt, wie die SAMGs dann77

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)aussehen. Da sind auf der Sicherheitsebene4c die Maßnahmen wiederholt, die auchSicherheitsebene 4b schon drin sind. Ichkann mir überhaupt nicht vorstellen, dassman mit diesem Verfahren in unserer Landschaftdamit durchkommt. Dass wir das einfachzweimal hinschreiben und sagen:„Wenn es vorne schon nicht funktioniert hat,dann wird es hinten schon funktionieren“.Insofern teile ich die Befürchtung von HerrnBandholz, dass unsere Kreativität unendlichwird und wir uns dann fantastische Maßnahmenuns einfallen lassen, was man hier nochalles tun könnte.Team 7: Präventive und mitigative Maßnahmensind Bestandteil der 4. Sicherheitsebeneim Gestaffelten Sicherheitskonzept(vgl. IAEA). Verschiedene präventive undmitigative Maßnahmen sind in den deutschenAnlagen bereits umgesetzt. Entsprechendder in Modul 7 weiter präzisiertenRegelungen bleiben die im Rahmen desanlageninternen Notfallschutzes bereitsvorgesehenen Maßnahmen erhalten. DerEinsatz der bereits implementierten Maßnahmensoll für ein erweitertes Ereignisspektrumgeprüft werden. Hinzu kommen –dem internationalen Stand folgend – Handlungsempfehlungen(SAMG). Die Handlungsempfehlungenberücksichtigen dieNutzung aller verfügbaren Systeme, Komponenten,Ressourcen und baulichen Gegebenheiten.Handlungsempfehlungenwerden erstellt, um die Entscheidungsfindungdes anlageninternen Krisenstabs zuunterstützen, wenn keine Notfallmaßnahmenvorgesehen oder diese nicht wirksamsind. Notfallmaßnahmen und Handlungsempfehlungensind gleichermaßen auf denSicherheitsebenen 4b und 4c vorgesehen(siehe Modul 7 Revision B). Die Trennung78

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)der Sicherheitsebenen 4b und 4c folgt ausden unterschiedlichen Zielsetzungen. DieÜberarbeitung der Regelungen zum anlageninternenNotfallschutz erfolgte auf derGrundlage des diesbezüglichen Kommentarsder RSK. Die dort vorgeschlagenenBegriffe, die Struktur und der Detaillierungsgradwurden übernommen.622 Bandholz,RSKIch denke, hier müsste man sich auch malmit dem beschäftigen, was wir in den Anlageninstalliert haben. Ich sehe ein bisschendie Gefahr dadurch, dass es den internationalenAnsatz mit 4a, 4b, 4c und 5 sogar gibt,und man dem hier allgemein folgt. Man kannaber ein gut funktionierendes System durchdas Aufteilen in neue Klassen auch gegebenenfallsgefährden. Denn nach dieser Lesartwäre es auch möglich, dass Maßnahmen, diein den derzeitigen Notfall-Handbüchern verankertsind, die auch der Praxis entsprechen,die auch den Übungen entsprechen, dieauch dem Kenntnisstand entsprechen, denwir auf den Anlagen installieren können, alsonicht dem wissenschaftlichen Ansatz, sonderneben auch dem praktischen Ansatzdurchaus folgen können, was in der Ebene4b und 4c sicherlich auch sehr wichtig ist,dass wir dies künstlich auseinander dividieren.Das mag im Ausland, die eine solcheKonstellation zur Zeit nicht haben, also auchso ein komprimiertes Notfall-Gesamtkonzept,vielleicht nicht haben, mag es zur Entwicklungeines solches Konzepts vielleicht nützlichsein. Die Frage ist nur, ob wir ein bestehendesSystem durch die Einteilung gegebenenfallsauch in der Funktionsfähigkeit einschränkenkönnen. Ich bitte einfach zu bedenken,dass es ja ohne ein Regelwerk,ohne ein solches Regelwerk zumindest, dochzu einer auf Betreiber-, Gutachter- und auch79

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Behördenseite Konstellation geführt hat,dass die Notfallmaßnahmen relativ gut strukturiert,gut beschrieben und auch in gewissemMaße, soweit möglich, evaluiert wordensind. Insofern, ich weiß nicht, ob durch dieEinteilung nicht die Gefahr besteht, dassman gegebenenfalls ein funktionierendesSystem auch etwas aushebeln könnte.Team 7: Siehe Antwort auf vorhergehendenKommentar.622 Noack,RWE PowerIch möchte darauf hinweisen, dass wir beider Sicherheitsebene 4c beim Kernschmelzeneine für das Kraftwerk völlig neue Weltbetreten. Es geht los mit völlig neuen Ereignissen,die beim Kernschmelzen auftreten:Wir haben Wasserstoffbildung, wir habenSchmelzeverlagerung, wir haben Poolbildung,wir haben Verlagerung der Schmelzein den unteren RDB-Boden, wir haben einDurchschmelzen des RDBs, wir haben einePenetration von Schmelze beim Durchschmelzendes RDBs, wir haben Schmelze-Beton-Wechselwirkung. Ein breites Feld. DasRegelwerk fordert, unsere Betriebsmannschaftzu diesem breiten Feld zu schulen.Wenn man alle diese sehr spezifischen Phänomene,die alle mit großen Kenntnisunsicherheitenbelastet sind, den Mitarbeiternbeibringt, tritt natürlich die normale Störfallbeherrschungim Wissen in den Hintergrund.Die Leute haben nur eine gewisse Kapazität,Sachen aufzunehmen. Deshalb sehe ich dieSache, in dem Punkt von Herrn Bandholz,durchaus als gerechtfertigt an, dass diesesehr detaillierten Forderungen, die wir dannnoch in Modul 7 finden werden, schon einegewisse Gefahr für die Beherrschung derEbenen 1 bis 3 ausbilden.Wenn ich mir vorstelle, ich würde diesesRegelwerk anwenden und mit der Sicher-80

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)heitsebene 4c in das Aufsichts- und Genehmigungsverfahrengehen. Das wäre ja derpraktische Fall. Dann würde ich etwas vorlegenzu Ereignisabläufen, zu Umgebungsbedingung.Der Gutachter müsste das prüfen.Ich kann da nur darauf hinweisen, auf dieArbeiten, die im Forschungsbereich laufen,und es ist leider zu konstatieren, dass beiallen gängigen Codes für die Sicherheitsebene4c eine sehr hohe Benutzerabhängigkeitauftritt. Der Kenntnisstand von Wissenschaftund Technik ist da noch so gering undso diffus, dass das Ganze nicht regelungsfähigist, aus meiner Sicht, und auch nicht fürdas übliche deutsche Aufsichtsverfahrengeeignet ist. Das können wir in deutschenAufsichtsverfahren nicht handhaben.Team 7: Der Sachverhalt wird in Modul 7,Revision B präzisiert: Für die Planung vonNotfallstrategien, Notfallmaßnahmen undHandlungsempfehlungen der Sicherheitsebene4c wird ein Ereignisspektrum zuGrunde gelegt, das die für den betreffendenAnlagentyp relevante Phänomene und Anlagenzuständebei Unfällen mit schwerenKernschäden berücksichtigt, die nach Standvon Wissenschaft und Technik hinreichenderforscht sind.2.1 (4) Das gestaffelte Sicherheitskonzeptist für alle während der Betriebsdauereines Kernkraftwerkes auftretendenBetriebsphasen unterBerücksichtigung der jeweiligenBesonderheiten der verschiedenenBetriebsphasen umgesetzt.2.1 (4) Das gestaffelte Sicherheitskonzept istfür alle während der Betriebsdauereines Kernkraftwerkes auftretendenBetriebsphasen unter Berücksichtigungder jeweiligen Besonderheitender verschiedenen Betriebsphasenumgesetzt.2.1 (5) Auf den Sicherheitsebenen 1 bis 3sind jeweils Maßnahmen und technischeEinrichtungen derart vorgesehen,dass beim Versagen von489 Nagel(RSK AST)Der 1. Satz wird von mir derart interpretiert,dass Ereignisse auf der Ebene 1 durchMaßnahmen oder Einrichtungen der Ebene2 beherrscht werden sollen. Dieses wäre2.1 (5) Auf den Sicherheitsebenen 2 und 1 bis3 sind jeweils Maßnahmen und technischeEinrichtungen derart vorgesehen,dass beim Versagen von Maßnahmen81

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Maßnahmen oder Einrichtungenauf der Ebene 1 oder 2 die Maßnahmenund Einrichtungen auf dernachfolgenden Sicherheitsebeneeigenständig den sicherheitstechnischgeforderten Zustand derAnlage herstellen.Maßnahmen und Einrichtungen, dieübergreifend auf allen oder mehrerendieser Sicherheitsebenen wirksamsein müssen, wie z. B. dasBrennstabhüllrohr oder die druckführendeUmschließung, sind fürdie aus diesen Ebenen resultierendenEinwirkungen sowie gemäßden für diese Ebenen geltendenAnforderungen ausgelegt.auch in dem Entwurf mit dem Punkt 2.1 (3),1. Spiegelstrich kompatibel. Störfälle könnenaber auch auf der Ebene 1 auftreten(dieses sind die üblichen definierten Auslegungsstörfälle)und sollen nicht auf dernachfolgenden Ebene sondern erst auf derEbene 3 beherrscht werden.Team 1: Per Definition können Störfälleu. E. nicht auf der Sicherheitsebene 1 auftreten.Sofern Störfälle eintreten, haben i. d.R. Maßnahmen oder Einrichtungen derSicherheitsebenen 1 und 2 versagt (bspw.WKP, Leckageüberwachungen, Leckerkennung).oder Einrichtungen auf denr Ebenen 1oder 2 die Maßnahmen und Einrichtungenauf der nachfolgenden Sicherheitsebeneeigenständig den sicherheitstechnischgeforderten Zustandder Anlage herstellen.Maßnahmen und Einrichtungen, dieübergreifend auf allen oder mehrerendieser Sicherheitsebenen wirksamsein müssen, wie z. B. das Brennstabhüllrohroder die druckführende Umschließung,sind für die aus diesenEbenen resultierenden Einwirkungensowie gemäß den für diese Ebenengeltenden Anforderungen ausgelegt.502 FANP Modul 1 Details - Erhöhung von Anforderungen?2.1 (5): Heißt das, dass alle Störungen miteventueller sicherheitstechnischer Bedeutungauf der Sicherheitsebene 1 automatischabgefangen werden?Team 1: Störungen sind definiert (sieheBegriffsdefinitionen) bzw. aufgelistet (sieheModul 3). Störungen müssen nicht mit automatischenMaßnahmen abgefangen werden.Störungen müssen gemäß Modul 1nicht auf der Sicherheitsebene 1 abgefangenwerden, sondern auf der Ebene 2.622 Waas,FANPSo wie es jetzt hier aber formuliert ist, bedeutetdies: jede Störung oder jeder Ausfall, denich auf der Sicherheitsebene 1 habe, mussich durch automatische Maßnahmen auf derSicherheitsebene 2 auffangen. Und dieses istUnfug.Team 1: Siehe Antwort auf vorausgehendenKommentar. In Modul 1 Ziffer 2.1 (5) ist u. E.kein Unfug beschrieben, sondern eines der82

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Grundmerkmale des Gestaffelten Sicherheitskonzepts.622 Kleen,VENEIch glaube, unser Hauptkritikpunkt richtetsich da an die Forderung der unabhängigenAusbildung der Sicherheitsebenen. Und dawird eher etwas gefordert als Regel, was ausmeiner Sicht fast eine Ausnahme darstellt.Wir haben eine Vielzahl an Systemen undKomponenten in den Anlagen, wo wir Anforderungenformuliert haben, wenn Sie Rohrleitungssystemoder Stützungen nehmen. Dasind Anforderungen definiert in den Sicherheitsebenen1 bis 4 durchgängig. Aber diesind nicht unabhängig. Die Unabhängigkeitfinden wir gerade mal in Teilen der Instrumentierungsbereiche.Aber bei der überwiegendenAnlagenauslegung sind Anforderungenin Sicherheitsebenen formuliert, aberkeine Unabhängigkeit. In vielen oder in denmeisten Fällen ist eine solche Formulierungenaus meiner Sicht auch nicht sinnvollsind. Also, nehmen Sie eine Rohrleitungsauslegung.Dann habe ich eine Anforderungder Sicherheitsebene 1: das ist Qualität. Unddann habe ich eine Anforderung der Sicherheitsebene2: sie möge Transienten beherrschen.Ich habe Anforderungen in der Sicherheitsebene3: da möchte ich auch nochBruchlast-Fälle beherrschen und ich habeAnforderungen in der Sicherheitsebene 4: woich möglichst auch einen Folgebruch nochnicht auslösen mag. Das kann man aus meinerSicht sinnvoll nicht anders formulieren.Team 1: Die Unabhängigkeit der Sicherheitsebenenist eines der Grundmerkmale desGestaffelten Sicherheitskonzepts (sieheIAEA Anforderungen). Es besteht u. E: keinAnlass, dieses Grundmerkmal aufzugeben,weil bestimmte Anlagenteile auf allen Sicherheitsebenenwirksam sein müssen, selbst83

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)wenn dies für eine Vielzahl von Anlagenteilender Fall ist. In diesen Fällen ist die Unabhängigkeitüber die ebenenspezifischen Anforderungenan die Auslegung und Instandhaltungdieser Anlagenteile realisiert.2.1 (6) Es ist sichergestellt, dass ein technischesVersagen oder menschlichesFehlverhalten auf einer derSicherheitsebenen 1 bis 3 odereine zu unterstellende Kombinationvon Fehlern auf mehr als einerdieser Sicherheitsebenen die Wirksamkeitund Zuverlässigkeit derMaßnahmen und Einrichtungen dernächsten Ebenen nicht gefährdet.489 Nagel(RSK AST)Dieser Entwurfspunkt ist so mit dem bisherigenSicherheitskonzept nicht verträglich.1. Ein Störfall (technisches Versagen) aufder Sicherheitsebene 1 kann die Zuverlässigkeitvon Maßnahmen und Einrichtungender nächsten Ebene d. h. der E-bene 2 gefährden. Der Störfall muss aberdurch Maßnahmen und Einrichtungen derEbene 3 beherrscht werden.2. Die zu unterstellende Kombination vontechnischem Versagen und menschlichemFehlverhalten auf mehr als einerSicherheitsebene ist unklar und auch inweiteren Punkten des Regelwerkentwurfs– abgesehen vom Einzelfehlerkonzept -nicht konkretisiert.3. Eine zu unterstellende Kombination vonStörfall (technisches Versagen) auf derEbene 1 und ein Einzelfehler (menschlichesFehlverhalten) auf der Ebene 3 darfauch die Zuverlässigkeit der zur Störfallbeherrschungerforderlichen Maßnahmenund Einrichtungen der Ebene 3 nicht gefährden.Team 1: Zu 1.: Per Definition kann ein Störfallnicht auf der Sicherheitsebene 1 eintreten.Sofern Störfälle eintreten, haben i. d. R.Maßnahmen oder Einrichtungen der Sicherheitsebenen1 und 2 versagt (bspw. Qualitätssicherung,WKP, Leckageüberwachungen,Leckerkennung). Ziffer 2.1(6) fordert, dass gegen Einzelereignisse, diedie Vorkehrungen mehrerer oder gar allerSicherheitsebenen unwirksam werden lassenkönnen, Vorsorge getroffen ist.2.1 (6) Es ist sichergestellt, dass ein einzelnestechnisches Versagen odermenschliches Fehlverhalten auf einerder Sicherheitsebenen 1 bis 3 odereine zu unterstellende Kombinationvon Fehlern auf mehr als einer dieserSicherheitsebenen die Wirksamkeitund Zuverlässigkeit der Maßnahmenund Einrichtungen der nächsten Ebenennicht gefährdet.84

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Zu 2.: Dieser Hinweis ist berechtigt. Hintergrundfür diese Anforderung ist IAEA „Assessmentof defence in depth for NPPs”,Dec. 2003, 2.1. Ebenenübergreifende Ausfälle,sprich die in Ziffer 2.1 (6) angesprochenenKombinationen sind gemäß derAnforderung nach Unabhängigkeit der Sicherheitsebenendurch entsprechende Vorsorgeauszuschließen. Daher wird dieserHalbsatz in Revision B gestrichen.Zu 3.: Die einzelfehlerfeste Beherrschungvon Störfällen ist an anderer Stelle geregelt.In Ziffer 2.1 (6) ist diesbezüglich eine zusätzlicheAnforderung formuliert.502 FANP Modul 1 Details - Erhöhung von Anforderungen?Was bedeutet das? Wie will man nachweisen,dass z.B. Wartungsfehler nicht einzelneStränge von Sicherheitssystemen vorübergehendstören können? Warum dürftedas nicht sein? Gestaffeltes Sicherheitskonzeptdeckt dies doch ab?Team 1: Es ist Vorsorge zu treffen, dass indiesem Fall eine „vorübergehende Störung“eine Beeinträchtigung, aber keine Gefährdungder Wirksamkeit und Zuverlässigkeitder Maßnahmen und Einrichtungen bedeutet.Ansonsten wäre das Gestaffelte Sicherheitskonzeptunwirksam.622 Waas, FANP Menschliches Fehlverhalten auf der Sicherheitsebene1: dazu gehört auch, dass dieLeute natürlich Instandhaltung und Wartungmachen müssen. Das bedeutet natürlich, dieFälle hat es ja gegeben, dass bei Instandhaltungoder Wartung auch von Sicherheitseinrichtungenirgendein Mensch mal einen Fehlermacht. Jetzt soll hier nachgewiesen werden,dass das nicht zu einem Ausfall derRedundanz dieses Sicherheitssystem führen85

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)kann. Das geht natürlich überhaupt gar nicht.Von daher kommt ja auch das gestaffelteSicherheitskonzept, dass man sagt: das sollja bewusst eben Fehler verzeihend angelegtsein, dass es durchaus auf der SicherheitsebeneFehler geben kann, die Störungenverursachen oder auch Unverfügbarkeitenverursachen, die aber in der Gesamtkombinationaufgefangen werden.Team 1: Siehe Antwort auf vorausgehendenKommentar.622 Schwarz,EnKKEs fehlen einfach die Informationen, was hierden Sicherheitsebenen zuzuordnen ist. HerrPiljugin hat es gesagt. In der Leittechnik, daist es sehr fein ausgeprägt, da kann man eswiederfinden. Bei den einzelnen Komponentennicht. Wenn hier die Feststellung getroffenwird, die Sicherheitsebene 2 ist ausgeprägtim Ausland, in dem Sinne, wie hier.Das bestätigt eigentlich nur meine Meinung,hier fehlen noch sehr viele Informationen, umsagen zu können, es ist ausgeprägt odernicht. Es ist in der Tat so, dass auf der Sicherheitsebene1 die Anforderungen zumgroßen Teil viel höher sind als auf den anderenSicherheitsebenen und dann dafür anforderungsbestimmendsind. Es gibt aber auchEinrichtungen und Maßnahmen, wo es genauanders herum ist. Dann muss man dochhier einmal definieren: Was ist es? Wasgehört denn zu den sicherheitstechnischenEinrichtungen? Der Gipfel ist, wenn hier nochFehlhandlungen dazukommen. Das habe ichim internationalen Text jetzt nicht gefunden,aber das macht das Ganze noch verwirrender.Meiner Meinung nach, wenn man hierdie Ausprägung nach Sicherheitsebenenwirklich sinnvoll machen will, dann muss manauch ein bisschen mehr aufschreiben, als nurdie Regelungen und Anforderungen dazu.86

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Team 1: Die Zuordnung von Einrichtungenund Maßnahmen zu Sicherheitsebenen istprimär über die Erfordernisse bei der Ereignisbeherrschungdefiniert. Die jeweiligenEreignisse sind in Modul 3 aufgelistet. Diesschließt nicht aus, dass Einrichtungen derEbene 3 (Sicherheitssystem) auch in denEbenen 2 und 4 zum Einsatz kommen dürfen.Dazu gibt es Regelungen. Insofern sindu. E. alle erforderlich Informationen gegeben.Hinsichtlich der Fehlhandlungen verweisenwir auf IAEA „Assessment of defence indepth for NPPs”, Dec. 2003, Ziffer 2.1: Thegeneral objective of defence in depth is toensure that a single failure, whether equipmentfailure or human failure, at one level ofdefence, and even combinations of failures atmore than one level of defence, would notpropagate to jeopardize defence in depth atsubsequent levels. The independence ofdifferent levels of defence is a key element inmeeting this objective.”2.1 (7) Eine Inanspruchnahme von Maßnahmenund Einrichtungen derSicherheitsebene 3 beim Nachweisder Erfüllung von Anforderungenvorgelagerter Sicherheitsebenen istdann zulässig, wenn- andere technische Lösungennicht technisch sinnvoll sind,- nachteilige Auswirkungen auf dieZuverlässigkeit und Wirksamkeitder in Anspruch genommenenMaßnahmen und Einrichtungenfür die Störfallbeherrschung ausgeschlossensind und- bei den zu unterstellenden Ausfällenhinsichtlich der in Anspruchgenommenen Maßnahmen undEinrichtungen die Einhaltung der622 Bandholz,RSKIm Kurzfristbereich habe ich dieselben Notstromdiesel.Betrachte ich sie bis zu einergewissen Zeitgrenze, in der Ebene 3, habeich noch einmal die Notstromdiesel. Da habensie dann Merkmale, wie die Zuverlässigkeit,die sich die Diesel dann plötzlich aneignen,weil sie längerfristig laufen müssen.Daran erkennt man schon einmal, in welcheSchwierigkeiten wir geraten. Man muss dazunoch sagen, dass in beiden Fällen dieselbenSicherungen, dieselbe Schaltanlagen, dieselbenKabel benutzt werden, die auch in derEbene 1. Insofern habe ich hier eine Verknüpfungder Funktionalitäten und als wesentlicheAnforderung sehe ich im Grundegenommen nur, dass, wenn ich über dieZuverlässigkeitsbetrachtungen zu einzelnenKomponenten, wenn ich über die Betriebser-2.1 (7) Eine Inanspruchnahme von Maßnahmenund Einrichtungen der Sicherheitsebene3 beim Nachweis der Erfüllungvon Anforderungen vorgelagerterSicherheitsebenen ist dann zulässig,wenn- andere technische Lösungen nichttechnisch sinnvoll sind,- nachteilige Auswirkungen auf dieZuverlässigkeit und Wirksamkeit derin Anspruch genommenen Maßnahmenund Einrichtungen für dieStörfallbeherrschung (Sicherheitsebene3) ausgeschlossen sind und- bei den zu unterstellenden Ausfällenhinsichtlich der in Anspruch genommenenMaßnahmen und Einrichtungendie Einhaltung der sicherheits-87

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)sicherheitstechnischen Nachweiskriteriender Sicherheitsebene3 gewährleistet ist.fahrungen nachweisen kann, dass sie überlange Zeiträume hinweg auch im Normalbetriebstörungsfrei gelaufen sind, eine Annahme,dass sie in einem Störfall ausfallen sollten,anders zu bewerten ist, als Einrichtungen,die ich in wiederkehrendem Prüfumfang,vielleicht mehr oder weniger schlecht anforderungsgerechtgeprüft, alle Dreivierteljahroder alle halbe Jahr oder alle drei Monateeinmal sehe. Insofern ist die Qualität, inwieweitdie Anforderungen auch zuverlässigerfüllt werden, für mich eigentlich ein Maß,dass diese Unabhängigkeit parallel gestelltwerden muss. Denn ich kann sie nicht einfachdurchsetzen. Ich habe einfach zu vieletechnische Einrichtungen, die ich auch nichtbeliebig ändern kann. Es ist nicht so, dassman sagen kann, ich könnte sie anders bauen.Es ist natürlich auch technologisch vongroßem Nachteil, wenn ich Komponentenaus der Betriebsbeobachtung entlasse, umdann Aussagen zu treffen, dass sie in einemStörfall zuverlässig funktionieren sollen.Insofern diese Kopplung der Sicherheitsebenenist ein sehr schwieriges Thema. Ichwürde sagen, man sollte die Zuverlässigkeitder Einrichtungen durchaus mit einem hohenStellenwert versehen, denn die Definition istzum Teil sehr künstlich. Was man am Notstromfallsehr schön sieht.Team 1: Da die Notstromdiesel auch beiStörfällen benötigt werden, müssen sie insbesondereauch die Qualitätsmerkmale derEbene 3 erfüllen. Konzeptionelle Schwierigkeiten,wie im Kommentar gesehen, ergebensich hieraus u. E: nicht.technischen Nachweiskriterien derSicherheitsebene 3 gewährleistet ist.2.1 (8) Auf der Sicherheitsebene 4 könnenneben den eigens auf dieser Ebenevorgesehenen Maßnahmen undEinrichtungen auch Maßnahmen882.1 (8) Für die Auf der Sicherheitsebene 4werden können neben den eigens aufdieser Ebene vorgesehenen Maßnahmenund Einrichtungen auch Maßnah-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)und Einrichtungen der vorgelagertenSicherheitsebenen genutzt werden.men und Einrichtungen der vorgelagertenSicherheitsebenen 1 bis 3 genutztwerden.2.1 (9) Die eigens für den anlageninternenNotfallschutz vorgesehenen Maßnahmenund Einrichtungen werdenzur Einhaltung der jeweiligen Anforderungenauf den anderen Sicherheitsebenennicht herangezogen.592 Bandholz /RSKIm Modul 1, Abs. 2.1 steht hier wörtlich drin:„Die eigens für den anlageninternen Notfallschutzvorgesehenen Maßnahmen und Einrichtungendürfen zur Einhaltung der jeweiligenAnforderung aus den anderen Sicherheitsebenennicht herangezogen werden.“Das widerspricht meines Erachtens der Aussage,dass Sie die Einrichtungen aller Sicherheitsebenenauf der Ebene 4 benutzen,wenn es geplante Maßnahmen sind. Wennes geplante Maßnahmen sind, dann heißtdas ganz klar, dass Sie die auf den anderenEbenen nicht einsetzen dürfen, das sagt dasModul eindeutig an der Stelle.Team 1: Gemeint ist, dass diese Maßnahmennicht auf den Ebenen 1-3 herangezogenwerden. Dies ist durch die Wortwahl „Maßnahmendes anlageninternen Notfallschutzes“u. E. ausreichend eindeutig formuliert.Hinsichtlich der Sicherheitsebene 4 gilt 2.1(8).2.1 (9) Die auf den Sicherheitsebenen 4b und4c eigens für den anlageninternenNotfallschutz vorgesehenen Maßnahmenund Einrichtungen werden zurEinhaltung der jeweiligen Anforderungenauf den anderen Sicherheitsebenennicht herangezogen.2.1 (10) Die von den Maßnahmen und Einrichtungendes Kernkraftwerkes zuerfüllenden Anforderungen hinsichtlichQualität und Zuverlässigkeitentsprechen ihrer sicherheitstechnischenBedeutung.Alle sicherheitstechnisch relevantenEinrichtungen sind hinsichtlich ihrersicherheitstechnischen Bedeutungfür die Erfüllung der sicherheitstechnischenZielsetzungen im gestaffeltenSicherheitskonzept klassifiziert.- In eine Klasse höchster Anforderungensind eingeordnet:534 UM BW Der grundlegende Sicherheitsansatz, der imModul 1 verfolgt wird, ist das Konzept dergestaffelten Sicherheitsebenen. Dieser Ansatzwird international dazu verwendet, abhängigvon der Eintrittshäufigkeit von Zuständenoder Ereignisabläufen Anforderungenzu formulieren. Die im Modul 1 versuchteAnwendung dieses Konzepts auf die Klassifizierungvon Strukturen, Systemen und Komponentenist noch mit vielen Fragestellungenverbunden. Die bisher im atomrechtlichenVerfahren verwendete Klassifizierung anhandder sicherheitstechnischen Bedeutungwird als sinnvoll und ausreichend erachtet.Team 1: An der Beachtung des Gestaffelten892.1 (10) Qualität und Zuverlässigkeit aller Dievon den Maßnahmen und Einrichtungendes Kernkraftwerkes zu erfüllendenAnforderungen hinsichtlich Qualität undZuverlässigkeit entsprechen ihrer sicherheitstechnischenBedeutung.Alle sicherheitstechnisch relevantenEinrichtungen sind hinsichtlich ihrersicherheitstechnischen Bedeutung fürdie Erfüllung der sicherheitstechnischenZielsetzungen im Gestaffelten Sicherheitskonzeptklassifiziert.- In eine Klasse höchster sicherheitstechnischerBedeutung Anforderun-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)• Einrichtungen, deren Versagenzu einer nicht beherrschbarenVerletzungvon Barrieren oder von Sicherheitsebenenführenund• Einrichtungen der Sicherheitsebene3, die zur wirksamenund zuverlässigenStörfallbeherrschung, einschließlichder notwendigenHilfs- und Versorgungseinrichtungen,erforderlichsind.- In weitere Klassen abgestufterAnforderungen sind eingeordnet:• Einrichtungen der Sicherheitsebene2, die zur wirksamenund zuverlässigen Störfallvermeidung,einschließlich dernotwendigen Hilfs- und Versorgungseinrichtungen,erforderlichsind.• Einrichtungen zur• Einhaltung festgelegter radiologischerWerte, insbesonderedurch Aufrechterhaltungder erforderlichenWirksamkeit von Barrierensowie Rückhaltefunktionen,• Sicherstellung der für denBetrieb der Anlage erforderlichenAufgaben mit sicherheitstechnischerBedeutung,die nicht den vorgenanntenKlassen zugeordnetsind, einschließlich Ü-berwachungsaufgaben.Sicherheitskonzepts samt seinen Sicherheitsebenengeht kein Weg mehr vorbei,wenn man sich am Stand von Wissenschaftund Technik orientieren will. Eine Klassifizierungohne Bezugnahmen der Sicherheitsebenenentspräche damit u. E: nicht demStand von Wissenschaft und Technik. Die inZiffer 2.1 (10) Modul 1 formulierten Anforderungenan die Klassifizierung sind u. E. praktikabel.gen sind eingeordnet:• Einrichtungen, deren Versagen zueiner nicht beherrschbaren Verletzungvon Barrieren oder vonSicherheitsebenen führten und• Einrichtungen der Sicherheitsebene3, die zur wirksamen undzuverlässigen Störfallbeherrschungerforderlich sind, einschließlichder notwendigen HilfsundVersorgungseinrichtungen,erforderlich sind.- In weitere Klassen abgestufter sicherheitstechnischerBedeutung Anforderungensind eingeordnet:• Einrichtungen der Sicherheitsebene2, die zur wirksamen undzuverlässigen Störfallvermeidungerforderlich sind, einschließlichder notwendigen Hilfs- und Versorgungseinrichtungen,erforderlichsind.• Einrichtungen zur• Einhaltung festgelegter radiologischerWerte, insbesonderedurch Aufrechterhaltung der erforderlichenWirksamkeit vonBarrieren und sowie Rückhaltefunktionen,• Durchführung Sicherstellungder für den Betrieb der Anlageerforderlichen Aufgaben mit sicherheitstechnischerBedeutunggemäß Ziffer 2.1 (3), dienicht den vorgenannten Klassenzugeordnet sind, einschließlichÜberwachungsaufgaben.590 Waas,FANPMan sollte das einmal an einem konkretenBeispiel diskutieren. Wenn Sie sagen, die90

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)sicherheitstechnische Bedeutung ist durchZuordnung nach Sicherheitsebenen definiert.Das ist ein Aspekt. Der ist aber mit Sicherheitnicht ausreichend. Es gibt in dem Punkt2.1 (10) gewisse Betrachtungen darüber, estauchte einmal auf, die zur Störfallbeherrschungerforderlich sind. Den Unterschiedkönnen Sie da sehen. Wenn Sie zwei Einrichtungennehmen, die eindeutig der Sicherheitsebene3 zugeordnet sind: das Sicherheits-Einspeisesystem und das Absaugsystemder Containment-Durchführung.Das ist in dem Punkt mein Lieblingsbeispiel.Wenn es das Sicherheits-Einspeisesystemnicht tut, dann haben Sie bei einem kleinenLeck nicht die Chance, diesen Störfall zubeherrschen. Wenn es das Absaug-Systemfür die Durchführung des Containments nichttut, das merken Sie noch nicht einmal in denAnalysen. Also es ist offensichtlich, obwohlbeides der Sicherheitsebene 3 zugeordnetund dafür vorgesehen ist, ist die sicherheitstechnischeBedeutung eine deutlich andere.Diese Überlegung ist eigentlich in diesenAnforderungen hier nicht abgebildet. Wenneiner also versucht, wirklich nach technischerLogik, festzustellen, was ist wie sicherheitstechnischbedeutsam, dann kommt er mitdiesem Regelwerk nicht klar.Team 1: Gemäß den in Ziffer 2.1 (10) Modul1 formulierten Bedingungen ist eine differenzierteKlassifizierung hinsichtlich der sicherheitstechnischenBedeutung gefordert. DieseBedingungen erfassen auch das im Kommentargenannte Beispiel (Einrichtungen zuEinhaltung radiologischer Werte). Inwiefernhier Unklarheiten bestehen ist nicht nachvollziehbar.590 Rauscher,UM BWVorhin wurde gesagt, das die Einrichtungender Sicherheitsebene 3 diejenigen sind, die91

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)zur wirksamen Störfallbeherrschung notwendigsind etc. Die in weiteren Klassen abgestufteAnforderung lese ich so: das sind dieEinrichtungen der Sicherheitsebene 2, diezur wirksamen und zuverlässigen Störfallvermeidungerforderlich sind. Jetzt habe ichaber dann zwei Klassifizierungen. Ich habeeinmal diese der Ebenen 1 bis 3. Und dannselektiere ich daraus noch einmal besondereMaßnahmen unter dem Gesichtspunkt ihrersicherheitstechnischen Bedeutung. Ich überblickedas jetzt nicht so richtig, aber ich habeden Eindruck hier führt es zur Verwirrung undmöchte zu bedenken geben, ob der Ansatzwirklich so richtig ist.Team 1: Eine alleinige Klassifizierung gemäßden Sicherheitsebenen ist u. E. insofernnicht sachgerecht (siehe hierzu bspw.den vorhergehenden Kommentar). Insofernbeschreibt u. E. Ziffer 2.1 (10) die Aufgabenstellungder Anforderung sachgerecht.590 Andrzejczak,TÜV ET BWIch wollte nur dringend appellieren, innerhalbder Sicherheitsebenen-Gruppen, sozusagenkeine Untergruppen einzuführen, denn icherinnere mich, das ist so ähnlich wie mit derSicherheitsklassifizierung: Entweder einSystem ist in einer Sicherheitsklasse, isteiner Sicherheitsklasse zugeordnet oder esist nicht zugeordnet. Wenn es also hier indieses Kriterium fällt, wäre es die Frage, obes zur Sicherheitsebene 3 gehört. Um daKlarheit zu haben, würde ich also wirklichdringend bitten, keine Untergliederung! Entwederes ist in der Sicherheitsebene oder esist nicht in der Sicherheitsebene. Ich habedas damals mitgemacht, mit der Sicherheitsklassifizierungund ich sage Ihnen, es gibtheute noch Systeme da diskutiert man heutenoch, ob diese sicherheitstechnische Bedeutunghaben oder nicht. Und deswegen muss92

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)hier Klarheit sein, auch für die Gutachter.Team 1: Siehe Antwort auf den vorhergehendenKommentar. Die in der heutigenBegutachtungspraxis vorgenommene Klassifizierungdifferenziert sehr wohl auch innerhalbeiner Ebene. Dabei geht es um unterschiedlicheAufgaben: z.B. hohe Klassifizierunghinsichtlich Integrität, geringe Klassifizierunghinsichtlich Funktionalität auf Grundder Bedeutung bei der Beherrschung vonEreignissen.2.1 (11) Die Maßnahmen und Einrichtungenaller vier Sicherheitsebenen sindentsprechend den spezifiziertenAnforderungen für die unterschiedlichenBetriebsphasen grundsätzlichjederzeit verfügbar. Unverfügbarkeitensind in Abhängigkeit ihrer sicherheitstechnischenAuswirkungenbefristet, die dabei einzuhaltendenBedingungen sind spezifiziert.474 Lauer (RSK) Hier wird die Sicherheitsebene 4 wie dieSicherheitsebene 3 behandelt.Die Verfügbarkeit von Einrichtungen derSicherheitsebene 4b und 4c gehört jedochnicht zur erforderlichen Vorsorge gegenSchäden. Die geforderte Spezifikation vonBedingungen für die Unverfügbarkeit vonSicherheitseinrichtungen sollte deshalb nichtauf Einrichtungen der Sicherheitsebenen 4bund 4c ausgeweitet werden.Team 1: Dieser Kommentar ist inhaltlichidentisch mit dem Kommentar 313 zu Revision12a Ziffer 2.1 (6). Der unterstrichene Satzist gegenüber Kommentar 313 hinzugefügt.Wie dort bereits ausgeführt, fordert nachAuffassung von Team 1 das GestaffelteSicherheitskonzept grundsätzlich die Verfügbarkeitaller Ebenen. In der Realisierung derVerfügbarkeitsbedingungen kann in der Praxiszwischen Sicherheitsebene 3 und 4 unterschiedenwerden, was sich in unterschiedlichlangen zulässigen Zeiten von Unverfügbarkeitenetc. umsetzen kann.2.1 (11) Die gemäß Ziffer 2.1 (10) klassifiziertenMaßnahmen und Einrichtungen allervier Sicherheitsebenen sind entsprechendden spezifizierten Anforderungenfür die unterschiedlichen Betriebsphasengrundsätzlich jederzeit verfügbar.Unverfügbarkeiten sind in Abhängigkeitihrer sicherheitstechnischen Auswirkungenbefristet, die dabei einzuhaltendenBedingungen sind spezifiziert.489 Nagel(RSK AST)Für sicherheitstechnisch nicht wichtige Einrichtungenwerden Unverfügbarkeiten nichtspezifiziert.Team 1: Modul 1 stellt keine Anforderungen93

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)an nicht sicherheitstechnisch wichtige Einrichtungen,da diese Einrichtungen hinsichtlichder Zielsetzung von Ziffer 2.1 (1) unbedeutendsind und somit nicht Gegenstandvon Modul 1.534 UM BW Die für den Bereich der Sicherheitsebene 1zu stellenden Anforderungen sollten klarerauf den Bereich der sicherheitstechnischrelevanten Systeme und Komponentenbeschränkt werden. Die im Entwurf hierzuenthaltenen pauschalen Ausführungen (z.B.im Kapitel 2.1 (11)) sollten diesbezüglichkonkretisiert werden.Team 1: Das in Modul 1 formulierte GestaffelteSicherheitskonzept hat die in Ziffer 2.1(1) genannte übergeordnete Zielsetzung.Sofern diese Zielsetzung durch Einrichtungennicht betroffen ist, gelten die Anforderungendes Gestaffelten Konzepts und damitauch Ziffer 2.1 (11) nicht. Zur Abgrenzungwird der Bezug zu den klassifizierten Einrichtungenhergestellt.590 Waas,FANPWenn man diesen Absatz einmal komplettliest, der da jetzt nur sehr unvollständig angesprochenist, da sind so viele Weichmacherdrin in diesem 2.1 (11). Ich habe daauch länger drüber gebrütet und gesagt: Eskommt darauf an, in welchen Umfeld der ist.Den kann man vernünftig anwenden undweniger vernünftig anwenden. Aber daseigentliche Problem ist dabei, sie dehnen esja auf alle 4 Sicherheitsebenen aus. DasProblem ist die Sicherheitsebene 1. Was hierjetzt drin steht, wenn sie zum Beispiel füreine Einrichtung wie die Kühlturmzusatzwasser-Aufbereitungnicht verfügbar ist, müssenwir jetzt damit angefangen, Zeiträume zuspezifizieren, wie lange die außer Betriebsein darf? Auf der Sicherheitsebene 4c, da94

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)haben sie eine Hand voll Einrichtungen, umdie es geht, darüber kann man ja diskutieren.Auf der Sicherheitsebene 1, da haben wirtausende von Einrichtungen. Also, da ist einAnspruch formuliert, ich würde einmal sagendas ist genauso ein Beispiel, was ich in meinemeinleitenden Vortrag gesagt habe, woman aus der Schönheit der philosophischenund einheitlichen Formulierung etwas aufschreibt,was praktisch einfach nicht mehrvernünftig umsetzbar ist.Team 1: Das in Modul 1 formulierte GestaffelteSicherheitskonzept hat die in Ziffer 2.1(1) genannte übergeordnete Zielsetzung.Sofern diese Zielsetzung durch Einrichtungennicht betroffen ist, gelten die Anforderungendes Gestaffelten Konzepts und damitauch Ziffer 2.1 (11) nicht.590 Rubbel,NUMEs ist ja so, nach den bisherigen Konzepten,die ich angesprochen habe, dass natürlichnicht zwangsweise die in der Sicherheitsebene1 eingeordneten, für den optimalenBetrieb der Anlage sicherlich vernünftigenEinrichtungen rund um die Uhr jederzeitverfügbar sein müssen, oder dass Nachweisedazu im Einzelnen vorliegen müssen. Weildas von dem Konzept der Anlage, um einenBeitrag für die Sicherheit dann eben andersabgeschichtet war. Das sind Grundfragen. Esist auch so, dass nicht durchgängig alle Ebenenbesetzt sind, sondern aus den Anlagenkonzeptionenheraus ganz bewusst einigeEbenen auch nicht besetzt sind.Team 1: Siehe hierzu Antworten zu denvorhergehenden Kommentaren.2.1 (12) Die Maßnahmen und Einrichtungender Sicherheitsebenen 1 bis 2 erfüllendie hohen Anforderungen ana) die Auslegung,489 Nagel(RSK AST)Hier wurde die Ebene 3 ausgelassen. DieMaßnahmen und Einrichtungen der Sicherheitsebene3 müssen ebenfalls die hohenAnforderungen erfüllen.2.1 (12) Die Maßnahmen und Einrichtungen derSicherheitsebenen 1 bis 32 erfüllen diehohen Anforderungen ana) die Auslegung,95

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)b) die Qualität und Zuverlässigkeitsowiec) die Qualifikation (Fachkundeund Zuverlässigkeit) desPersonalsunter Beachtung der Anforderungengemäß Ziffer 3.1 (1).Team 1: Dem Kommentar wird gefolgt.ab) die Qualität und Zuverlässigkeit beiAuslegung, Fertigung, Errichtungund Betrieb sowiebc) die Qualifikation (Fachkunde undZuverlässigkeit) des Personals.unter Beachtung der Anforderungengemäß Ziffer 3.1 (1).2.1 (13) Die Maßnahmen und Einrichtungender Sicherheitsebene 3 sind gemäßden Anforderungen der Ziffer 3.1 (2)ausreichend zuverlässig ausgelegt.502 FANP Modul 1 Details - Durchgängigkeit2.1 (12), 2.1 (13): Warum diese Dopplungzu 3.1??Team 1: Dem Kommentar wird gefolgt undder Halbsatz in Ziffer 2.1 (12) sowie Ziffer 2.1(13) komplett gestrichen.2.1 (13) Die Maßnahmen und Einrichtungen derSicherheitsebene 3 sind gemäß denAnforderungen der Ziffer 3.1 (2) ausreichendzuverlässig ausgelegt.2.1 (14) Zur Unterstützung des Katastrophenschutzessind organisatorischeund technische Maßnahmen innerhalbund außerhalb der Anlagevorgesehen, um die Folgen vonUnfällen mit zu besorgenden odereingetretenen Freisetzungen festzustellenund ihre Auswirkungen aufMensch und Umwelt zu verhindernoder zu beschränken.Die im Notfall zu ergreifenden Maßnahmenwerden regelmäßig erprobt.Neben der behördlichen Katastrophenschutzplanungstellt der Betreibereigene Vorsorge- und Schutzmaßnahmenauf, die in den Betriebsvorschriftender Anlage erfasstsind.489 Nagel(RSK AST)Änderungsvorschlag: Dieses ist m. E. keinRegelwerk für behördliche Tätigkeiten. Diebehördliche Katastrophenschutzplanungsollte deshalb nicht erwähnt werden.Team 1: Die hier formulierten Anforderungenbetreffen ausschließlich vom Betreiber zuerfüllende Aufgaben und nicht behördlicheTätigkeiten.2.1 (134) Zur Unterstützung des Katastrophenschutzessind organisatorische undtechnische Maßnahmen innerhalb undaußerhalb der Anlage vorgesehen, umdie Folgen von Unfällen mit potenziellenzu besorgenden oder tatsächlicheingetretenen Freisetzungen radioaktiverStoffe in die Umgebung festzustellenund ihre Auswirkungen auf Menschund Umwelt soweit wie möglich zuvermhindern oder zu beschränken(Sicherheitsebene 5).Die im Notfall zu ergreifenden Maßnahmenwerden regelmäßig geerprobt.Der Betreiber wirkt Neben bei der behördlichenKatastrophenschutzplanungmit und stellt der Betreiber eigene Vorsorge-und Schutzmaßnahmen auf, diein den Betriebsvorschriften der Anlageerfasst sind.96

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)585 ESN Es sollte an dieser Stelle in Analogie zu denvorangegangen Absätzen ein Bezug zu denSicherheitsebenen hergestellt werden. Inhaltlichrichten sich diese Aussagen eher andie Katastrophenschutzplanungen desBetreibers, Anforderungen an die Notfallschutzplanungenwerden hingegen nichtdargelegt, diese sollten entsprechend ergänztwerden.Team 1: Den Hinweisen wird gefolgt.622 Noack,RWE Power622 Bandholz,RSKWir finden, neue Forderungen an den Betreiberzum Katastrophenschutz. Da fehlt unsauch die Begründung für diese Forderung.Die ist neu. Welche neuen Erkenntnisselegen dieser Forderung zugrunde? Ist dasdann eine Änderung der Sicherheitsphilosophie?Team 1: Anforderungen an die Betreiber zurUnterstützung des Katastrophenschutzesbestehen gemäß § 51 und § 53 StrlSchV undsind z. B. in den „Rahmenempfehlungen fürden Katastrophenschutz in der Umgebungkerntechnischer Anlagen“ konkretisiert. DieForderungen in Modul 1 gehen darüber nichthinaus.In 2.1(14) ist eindeutig festgelegt, dass derBetreiber eigene Schutzzwecke und Maßnahmenfür diesen Fall vorzusehen hat.Insofern ist ja die Frage, ob das dann durchdie Einführung von SAMGs erfüllt wird? Hierist die grundsätzliche Anforderung, dass inden Betriebsvorschriften etwas aufgenommenwerden muss und das heißt eindeutig,auch in dieser Ebene gibt es verbindlicheVorgaben für den Kernschmelzfall.Team 1: Ziffer 2.1 (14) formuliert Anforderungenan die Betreiber zur Unterstützungdes Katastrophenschutzes, gemäß § 51 und§ 53 StrlSchV. Anforderungen in Richtung97

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)SAMGs (Sicherheitsebene 4c) sind hier nichtangesprochen.2.2 Konzept des gestaffelten Einschlussesder radioaktiven Inventare(Barrierenkonzept)2.2 Konzept des gestaffelten Einschlussesder radioaktiven Inventare (Barrierenkonzept)2.2 (1) Der Einschluss der im Kernkraftwerkbefindlichen radioaktiven Stoffe wirddurch gestaffelte Barrieren sowiedurch Rückhaltefunktionen sichergestellt.Dabei sind die Barrieren inihrer Gesamtheit so ausgelegt undwerden während der gesamtenBetriebsdauer in einem solchenZustand gehalten, dass bei dengemäß Ziffer 2.1 (3) auf den verschiedenenSicherheitsebenen zuunterstellenden Ereignissen undden sich daraus ergebenden mechanischen,thermischen, chemischenund durch Strahlung hervorgerufenenBelastungen die unterZiffer 2.4 angegebenen radiologischenSicherheitsziele eingehaltenwerden.489 Nagel(RSK AST)Gemäß der Ziffer 2.1 (3) werden auf denSicherheitsebenen 1 und 2 keine Störungenoder Störfälle unterstellt, sondern diesesollen vermieden oder beherrscht werden.Die Anlagenzustände der verschiedenenSicherheitsebenen werden in der Ziffer 2.1(1) definiert. Ein Bezug sollte daher nichtgemäß Ziffer 2.1 (3) sondern gemäß Ziffer2.1 (1) lauten und der Satz entsprechendumformuliert werden. Der Satz könnte dannlauten: .... Zustand zu halten, dass bei dengemäß Ziffer 2.1 (1) auf den verschiedenenSicherheitsebenen zugrundezulegendenAnlagenzustände und den zu unterstellendenmechanischen, thermischen ....Der 2. Satz sollte bzgl. der Rückhaltefunktionenerweitert werden, da auch die Rückhaltefunktionenso auszulegen sind, dassdie radiologischen Sicherheitsziele eingehaltenwerden.Team 1: Kommentar wird berücksichtigt.2.2 (1) Der Einschluss der im Kernkraftwerkbefindlichen radioaktiven Stoffe wirddurch gestaffelte Barrieren sowie durchRückhaltefunktionen sichergestellt.Dabei sind die Barrieren und Rückhaltefunktionensind insgesamt in ihrerGesamtheit so ausgelegt und werdenwährend der gesamten Betriebsdauerin einem solchen Zustand gehalten,dass bei allen Ereignissen bzw. Anlagenzuständengemäß Ziffer 2.1 (3) aufden verschiedenen Sicherheitsebenenzu unterstellenden Ereignissen und dendabei auftretenden sich daraus ergebendenmechanischen, thermischen,chemischen und durch Strahlung hervorgerufenenBelastungen die unterZiffer 2.4 angegebenen radiologischenSicherheitsziele eingehalten werden.2.2 (2) Wenn aufgrund vorgesehener betrieblicherVorgänge Barrieren nichtwirksam sind, sind zur Einhaltungder radiologischen Sicherheitsziele(siehe Ziffer 2.4 (1)) andere Maßnahmenund technische Einrichtungenverfügbar, die eine den jeweiligenBedingungen entsprechendewirksame und zuverlässige Rückhaltefunktionsicherstellen. Dies giltinsbesondere hinsichtlich desBrennelement-Wechsels oder des489 Nagel(RSK AST)Der 2. Satz sollte hier gestrichen werden.Derartige Details sollten nicht im Konzeptstehen.Team 1: Kommentar wird berücksichtigt.2.2 (2) Wenn auf gGrund geplanter vorgesehenerbetrieblicher Vorgänge Barrierennicht wirksam sind, sind zur Einhaltungder radiologischen Sicherheitsziele(siehe Ziffer 2.4 (1)) andere Maßnahmenund technische Einrichtungenverfügbar, die eine den jeweiligen Bedingungenentsprechende wirksameund zuverlässige Rückhaltefunktionsicherstellen. Dies gilt insbesonderehinsichtlich des Brennelement-Wechsels oder des Maschinenhauses98

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Maschinenhauses von SWR-Anlagen und umfasst insbesondereMaßnahmen und Einrichtungen wie:Wasservorlagen, Druckstaffelungen,Filterungen, Gebäudestrukturen.von SWR-Anlagen und umfasst insbesondereMaßnahmen und Einrichtungenwie: Wasservorlagen, Druckstaffelungen,Filterungen, Gebäudestrukturen.2.2 (3) Auf den Sicherheitsebenen 1 und 2sind neben den erforderlichenRückhaltefunktionen zur Erfüllungder radiologischen Sicherheitszielezu gewährleisten:a) für den Einschluss des Aktivitätsinventarsdes Reaktorkernswährend der Betriebsphasen Abis C, in der Phase C bis zumZeitpunkt des Öffnens des Sicherheitsbehälters)mindestensfolgende Barrieren:1. die Brennstabhüllrohre, abgesehenvom zulässigenUmfang betrieblich bedingterHüllrohrschäden,2. die druckführende Umschließungdes Reaktorkühlmittelsund3. der Sicherheitsbehälter502 FANP Modul 1 Details - Erhöhung von Anforderungen?Warum wird die Brennstoffkeramik nichtaufgeführt? Spielt im Konzept zur Begrenzungvon Abgaben/Freisetzungen eine wesentlicheRolle.Team 1: Siehe Antwort auf folgenden Kommentar.2.2 (3) Auf den Sicherheitsebenen 1 und 2sind neben den erforderlichen Rückhaltefunktionenzur Erfüllung der radiologischenSicherheitsziele mindestensfolgende Barrieren wirksam: zu gewährleisten:a) für den Einschluss der radioaktivenStoffe im Reaktorkern des Aktivitätsinventarsdes Reaktorkernswährend der Betriebsphasen A bisC, (in der Phase C bis zum Zeitpunktdes Öffnens des Sicherheitsbehälters)mindestens folgendeBarrieren:1. die Brennstabhüllrohre, abgesehenvonm zulässigen, Umfangbetrieblich bedingtenr Hüllrohrschäden,2. die druckführende Umschließungdes Reaktorkühlmittelsund3. der Sicherheitsbehälter.622 Waas,FANPDie Brennstoffkeramik hat in dem Gesamtkonzept,sagen wir mal als Rückhalteeinrichtung,eine wesentliche Rolle. Das merken Sieauch in dem, was Sie dann konkret im Einzelnenformulieren. In den Bereichen, woman damit rechnen muss, dass heißerBrennstoff vorliegt oder dass gar teilweisesSchmelzen vorkommt. Da ist es klar, kannman davon nicht sehr viel Kredit nehmen.Das sind dann auch die Situationen, wo man99

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)gesagt hat, da wollen wir von den metallischenBarrieren relativ viel haben. Jetzt inder Formulierung bei Ihnen, wenn der Brennstoffwoanders ist, zum Beispiel im BE- Lagerbeckenoder sonst wie gehandhabt wird,wo man eigentlich davon ausgehen kann,dass der Brennstoff immer kalt ist. Da hateben die Brennstoffkeramik eine erheblicheWirkung in der Rückhaltung und genau diesesführt dazu, dass man an diesen Stellennicht so viel Vorsorge treffen muss. Das wirdeigentlich technisch erst verständlich, wennman diese Rückhaltefunktionen von demBrennstoff anführt.Team 1: Es wäre konzeptionell u. E. nichtzielführend, die Brennstoffkeramik mit alsBarriere aufzuführen, da konkrete Nachweiskriterienan die Barrieren gestellt werdensollen, solche Kriterien für die Keramik nichtableitbar sind (Welcher Zustand der Keramiksollte denn gefordert werden?). Es wärezudem nicht Modul 1 gerecht, alle Rückhaltefunktionendarin aufzuführen. Sicherlich hatdie Keramik eine relevante Rückhaltefunktion,die im Becken zuverlässig vorhanden ist.Auf Grund dessen sollten jedoch auch imBecken nicht die „metallischen Barrieren“ ausdem Barrierenkonzept entfallen.b) für den Einschluss des Aktivitätsinventarsdes Reaktorkernswährend der Betriebsphasen Bund E als Barriere mindestensdas Brennstabhüllrohr, abgesehenvom zulässigen Umfang betrieblichbedingter Hüllrohrschäden.502 FANP Modul 1 Details - Erhöhung von Anforderungen?Inkonsistent mit 2.2(3)a)Team 1: Kommentar wird berücksichtigt.b) für den Einschluss der radioaktivenStoffe im Reaktorkern s Aktivitätsinventarsdes Reaktorkerns währendder Betriebsphasen C (nach demÖffnen des Sicherheitsbehälters)bis B und E als Barriere mindestensdas die Brennstabhüllrohre, abgesehenvonm zulässigen, Umfangbetrieblich bedingtenr Hüllrohrschäden.c) für den Einschluss des Aktivi- 502 FANP Modul 1 Details - Erhöhung von Anforde- c) für den Einschluss der radioaktiven100

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)tätsinventars der bestrahltenBrennelemente, die in der Anlagegehandhabt bzw. gelagertwerden, während der BetriebsphasenA bis F als Barrieren dasBrennstabhüllrohr, abgesehenvom zulässigen Umfang betrieblichbedingter Hüllrohrschäden,sowie der Sicherheitsbehälter.Ein nicht vorhandener Sicherheitsbehälterist durch Rückhaltefunktionenkompensiert.rungen?Was heißt das, wenn Brennstoff nicht beiBarrieren aufgeführt ist?Team 1: Siehe Antwort auf Kommentare zuZiffer a).Stoffe in s Aktivitätsinventars derbestrahlten Brennelementen, die inder Anlage gehandhabt bzw. gelagertwerden, während der BetriebsphasenA bis F als Barrieren dasdie Brennstabhüllrohre, abgesehenvonm zulässigen, Umfang betrieblichbedingtenr Hüllrohrschäden,sowie der Sicherheitsbehälter. Istkein Ein nicht vorhandener Sicherheitsbehältervorhanden, so ist diesdurch Rückhaltefunktionen kompensiert.622 Noack,RWE PowerDa habe ich ein Verständnisproblem. Undzwar steht ja da, „dass der Sicherheitsbehältereine Barriere darstellt, auch im Stillstand.“Wenn ich das richtig lese, ein nicht vorhandenerSicherheitsbehälter ist durch Rückhaltefunktionkompensiert. Also ich muss kompensierenwenn kein Sicherheitsbehältervorhanden ist. Ist es beabsichtigt, das Öffnender Schleusen in der Revision, wie es jetztStandard ist bei Druckwasserreaktoren mitSicherheitsbehälter, nicht mehr zulasse? Undwenn ja. Warum?Team 1: Das Öffnen der Schleusen ist gemäßdieser Ziffer zulässig, sofern die radiologischenSicherheitsziele gewährleistet sind,unter Berücksichtigung der vorhandenenRückhaltefunktionen. Die Formulierung zieltprimär auf einen „nicht vorhandenen“ Sicherheitsbehälterals Barriere für bestrahlte BEab, wie dies beim SWR der Fall ist.Dies gilt unbeschadet der Barriere„verschlossener TransportundLagerbehälter“.Dies gilt unbeschadet der Barriere„verschlossener Transport- und Lagerbehälter“.d) der sichere kontrollierte Einschlussdes sonstigen Aktivitätsd)Dder sichere kontrollierte Einschlussder s sonstigen radioaktiven101

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)inventars in der Anlage in allenBetriebsphasen.Stoffe an anderen Stellen Aktivitätsinventarsin der Anlage ist in allenBetriebsphasen durch Rückhaltefunktionengegeben.2.2 (4) Auf der Sicherheitsebene 3 sindneben den Rückhaltefunktionen zurErfüllung der radiologischen Sicherheitszielezu gewährleisten:2.2 (4) Auf der Sicherheitsebene 3 sind nebenden Rückhaltefunktionen zur Erfüllungder radiologischen Sicherheitszielegewährleistet:a) für den Einschluss des Aktivitätsinventarsdes Reaktorkernswährend der Betriebsphasen Abis C (in der Phase C bis zumZeitpunkt des Öffnens des Sicherheitsbehälters)- bei den Ereignissen, bei denenals einleitendes Ereigniskein Versagen einer Barrierepostuliert wird, alle drei Barrierengemäß Ziffer 2.2 (3a),- bei den Störfällen mit Kühlmittelverlustder Sicherheitsbehälterund- bei Störfällen mit ereignisbedingtemBypass des Sicherheitsbehältersdie Brennstabhüllrohre.Team 1Wiedereinführung des Nachweisziels „Brennstabintegrität“bei den KMV Ereignissen

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)der Forderung nach Erhaltung der BarriereBrennstabhüllrohr nicht möglich ist.“). DieErgänzung mag trivial sein, dient aber dochder Klarstellung und sollte daher erhaltenbleiben.c) bei der Handhabung und Lagerungvon Brennelementen dasBrennstabhüllrohr, abgesehenvon ggf. ereignisspezifisch postuliertenHüllrohrschäden.502 FANP Modul 1 Details - lustig„abgesehen von ggf. ereignisspezifisch postuliertenHüllrohrschäden.“: Was soll das?Das ist natürlich immer so.Team 1: Siehe Antwort auf vorhergehendenKommentar.c) bei der Handhabung und Lagerungvon Brennelementen die as Brennstabhüllrohre(, abgesehen von ggf.ereignisspezifisch postulierten Hüllrohrschäden).Ist kein Sicherheitsbehältervorhanden, so ist diesdurch Rückhaltefunktionen kompensiert.Team 1Ergänzung letzter Satz gemäß K1 Kommentarder RSK zu 2.2 (3)c).2.2 (5) Auf der Sicherheitsebene 4a ist fürden Einschluss des Aktivitätsinventarsim Reaktorkern- während der Betriebsphasen Abis C die Integrität der druckführendenUmschließung sowieereignisabhängig entweder derBrennstabhüllrohre oder desSicherheitsbehälters- während der Betriebsphasen Dbis E die Integrität der Brennstabhüllrohregewährleistet.Für den Einschluss des Aktivitätsinventarsin den bestrahlten, gelagertenBrennelementen ist die Integritätder Brennstabhüllrohre gewährleistet.2.2 (6) Auf den Sicherheitsebenen 4b und4c wird neben der Aufrechterhaltungvon Rückhaltefunktionen hinsichtlichdes Aktivitätsinventars des Reaktor-502 FANP Modul 1 Details - Erhöhung von Anforderungen?2.2 (5) Auf der Sicherheitsebene 4a ist fürden Einschluss des Aktivitätsinventars imReaktorkern während der Betriebsphasen Dbis E die Integrität der Brennstabhüllrohregewährleistet.Wozu dieses Kriterium? UnverhältnismäßigerNachweisaufwand! Bei E sind keine BE imReaktorkern.Team 1: In der Betriebsphase E findet derBrennelementwechsel statt. Keine BE imKern sind nur in Phase F. Das Vorhandenseinzumindest einer Barriere (und bei denhier angesprochenen Fällen kann dies perDefinition nur das Hüllrohr sein) muss u. E.auch für diese Phasen gegeben sein. Dies istunabhängig vom Nachweisaufwand.502 FANP Modul 1 Details - Erhöhung von Anforderungen?die Integrität der Brennstabhüllrohre: Wie1032.2 (5) Auf der Sicherheitsebene 4a sind ist fürden Einschluss der radioaktiven Stoffes Aktivitätsinventars im Reaktorkern- während der Betriebsphasen A bis Cdie Integrität der druckführendenUmschließung sowie ereignisabhängigentweder der Brennstabhüllrohreoder des Sicherheitsbehälters- während der Betriebsphasen D bis Edie Integrität der Brennstabhüllrohregewährleistet.Für den Einschluss der radioaktivenStoffe s Aktivitätsinventars in den bestrahlten,gelagerten Brennelementenist die Integrität der Brennstabhüllrohregewährleistet.2.2 (6) Auf dern Sicherheitsebenen 4b und 4cwird durch die geplanten Maßnahmendes anlageninternen Notfallschutzesneben der Aufrechterhaltung von Rück-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)kerns- bei Ereignisabläufen mit Umgehungdes Sicherheitsbehältersdie Integrität der Brennstabhüllrohre,- ansonsten die Funktion des Sicherheitsbehältersund hinsichtlich des Aktivitätsinventarsder bestrahlten gelagertenBrennelemente die Integrität derBrennstabhüllrohre angestrebt.geht das bei 4c?Team 1: Die Anforderung wurde auf dieSicherheitsebene 4b eingegrenzt. Bei Bypass-Sequenzenist die Integrität der Hüllrohredas Nachweisziel, das auf der Sicherheitsebene4b angestrebt wird, da der Sicherheitsbehälterzur Rückhaltung nichtverfügbar ist.FANP: und hinsichtlich des Aktivitätsinventarsder bestrahlten gelagerten Brennelementedie Integrität der Brennstabhüllrohreangestrebt. Wozu dieses Kriterium?Team 1: Anforderung wurde geändert. Aufgabenstellungder Sicherheitsebene 4b hinsichtlichder bestrahlten BE im BE Becken istes u. E., die mindestens eine Barriere aufrechtzu erhalten – den Sicherheitsbehälter,wenn die BE innerhalb gelagert werden, dieBrennstabhüllrohre, wenn die BE außerhalbdes Sicherheitsbehälters gelagert werden.Andernfalls verbleiben nur noch Maßnahmendes Katastrophenschutzes.haltefunktionen hinsichtlich des Aktivitätsinventarsdes Reaktorkerns- bei Ereignisabläufen mit Umgehungdes Sicherheitsbehälters die Aufrechterhaltungder Integrität derBrennstabhüllrohre,- ansonsten die Aufrechterhaltung derFunktion des Sicherheitsbehältersund hinsichtlich des Aktivitätsinventarsder bestrahlten gelagerten Brennelementedie Integrität der Brennstabhüllrohreangestrebt.Für den Einschluss der radioaktivenStoffe in bestrahlten, gelagerten Brennelementenwird auf der Sicherheitsebene4b die Integrität mindestens einerBarriere angestrebt.Auf der Sicherheitsebene 4c wird durchdie geplanten Maßnahmen des anlageninternenNotfallschutzes angestrebt,die Integrität des Sicherheitsbehältersso lange wie möglich zu erhalten.534 UM BW Die im Kapitel 2.2 (6) erhobene Forderungnach Integrität der Brennstabhüllrohre fürEreignisse der Sicherheitsebene 4b und 4cist in dieser Pauschalität nicht erfüllbar. Eineinhaltliche Korrektur ist erforderlich.Team 1: Die Anforderung wurde auf dieSicherheitsebene 4b eingegrenzt.622 Noack,RWE PowerUnd zwar führen Sie aus, dass auf der Sicherheitsebene4c im Text, die Integrität derBrennstabhüllrohre gewährleistet werdenmuss. Das ist für mich ein Widerspruch insich. Wie will ich im Kernschmelzen die Integritätder Brennstabhüllrohre (gewährleisten)?,Ich kann mal bitten, den Punkt 2.2 (6)aufzurufen. Da lesen Sie das ganz deutlich.104

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Also wie das gehen soll, erschließt sich mirnicht. Bevor es überhaupt zum Kernschmelzenkommt, bevor ich Schmelztemperaturenvon Brennstoff oder Zirkonium erreiche,komme ich zu einer exothermen Zirkon-Wasser-Reaktion jenseits von 1.200 o C, dieich mit keinem Mittel mehr stoppen kann unddann ist das Hüllrohr kaputt. Eine solcheAnforderung zu stellen, ist technisch unsinnig.Team 7: Siehe Antworten auf vorausgehendeKommentare. Anforderungen wurdengeändert.622 Waas,FANPBei 4c sollen jetzt noch separate Nachweisegeführt werden, dass die Hüllrohre der gelagertenBrennelemente, die zwar woandersstehen, dass die nicht betroffen sind, dassdie integer bleiben. Was für eine Art vonNachweisen stellen Sie sich dazu vor?Team 7: Siehe Antworten auf vorausgehendeKommentare. Anforderungen wurdengeändert.2.3 Konzept der Grundlegenden Sicherheitsfunktionen2.3 Konzept der Grundlegenden Sicherheitsfunktionen(Schutzziele)489 Nagel(RSK AST)590 Schwarz,EnKKEntsprechend obigem ist der Begriff Sicherheitsfunktionim alten Regelwerk schon andersbesetzt, und sollte deshalb hier nichtanders begrifflich wieder verwendet werden.Vorschlag: statt Sicherheitsfunktion der Begrifftechnisches Sicherheitsziel oder grundlegendesSicherheitsziel.Team 1: Der Begriff „Grundlegende Sicherheitsfunktion“wird im Folgenden ersetztdurch „Schutzziel“.Eine generelle Bemerkung hätte ich gernenoch zu den Diskussionen zu dem Begriff„Schutzziele“. Es scheint inzwischen ein105

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)unanständiges Wort zu sein, es kommt nichtmehr vor. Ich meine, wenn man schon vondem Schutzzielkonzept weg will, dann mussman nicht gleich mit dem Begriff „Schutzziel“so konsequent umgehen. Ich meine, daschüttet man das Kind mit dem Bade aus.Der Begriff „Schutzziel“, der ist im täglichenLeben im Kraftwerk sehr weit verbreitet. Dasdarf man nicht vergessen. Wenn jetzt derBegriff „Schutzziel“ im kompletten Regelwerkfehlt, dann fehlt ja irgendwo etwas, wo dieGrundlage für zum Beispiel das Betriebshandbuchda ist. Es fehlt auch die Grundlagefür die Behandlung in den weiterführendenSicherheitsebenen, denn das geht nur mitirgendwelchen Schutzzielen. Ich kann nichtein Sicherheitsziel auf der Sicherheitsebene3 oder Sicherheitsebene 2 in gleicher Weisewie auf Sicherheitsebene 4 und erst rechtnicht auf Sicherheitsebene 4c bezeichnen.Das funktioniert aus meiner Sicht nicht. Manhat hier aus meiner Sicht die Chance vergebenüber den Begriff „Schutzziel“, wie esHerr Waas schon angedeutet hat, eine vernünftigeKlassifizierung herbeizuführen. DasRegelwerk selber kann ja trotzdem, auchwenn es Schutzziele gibt, in der Form, wie esjetzt angedacht ist, aussehen, aber deswegenmuss man nicht auf diesen Begriff verzichten.Ich meine, das sollte noch malgründlich überdacht werden, dass man hiermit den Begriffen Schutzziele wieder operierenkann. Insbesondere um die verschiedenenSicherheitsstufen deutlich zu machen.Das wird die Struktur deutlich verbessern.Team 1: Der Begriff „Grundlegende Sicherheitsfunktion“wird ersetzt durch „Schutzziel“.534 UM BW Im Kapitel 2.3 wird das Konzept der grundlegendenSicherheitsfunktion eingeführt. DerBegriff ist bisher in Deutschland unüblich und106

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)sollte in der Begriffesammlung erläutert werden.Team 1: Der Begriff „Grundlegende Sicherheitsfunktion“wird ersetzt durch „Schutzziel“und in den Begriffsdefinitionen definiert.622 Bandholz(RSK)622 Noack,RWE PowerHier stimmt die RSK im Grunde ja auch derVGB-Position zu, dass wir sagen, der Begriff„Schutzziel“ ist etabliert, wie wir auch in demProtokoll festgehalten haben. Natürlich kannman den anders besetzen. Keine Frage. Esist sie ein sprachlicher Begriff. Aber auchdiesen Punkt sieht die RSK durchaus so,dass sie sagt: Wir sollten darüber nachdenken,ob wir diesen Begriff nicht lassen. Weiler in der Tat impliziert, dass wir viele Vorgängeeben auch gemeinsam technischbeschreiben damit. Ist vielleicht eine Anregung,über die wir noch diskutieren sollten.Team 1: Der Begriff „Grundlegende Sicherheitsfunktion“wird ersetzt durch „Schutzziel“.Der internationalen Vorgehensweise entsprichtes nicht, Schutzziele mit dem Konzeptder Sicherheitsebenen zu verweben. Ich binganz froh, dass ich auch heute in der Taschedas IAEA-Papier Safety series No 46 „Assessmentof defence in-depth for NPPs" mithabe. Da wird das Schutzzielkonzept mitdem Konzept der Sicherheitsebenen genausehr eng verwoben. Da werden für einzelneSicherheitsebenen Sicherheitsziele „FundamentalSafety Functions" angegeben. Wennwir nach der internationalen Vorgehensweisevorgehen, können wir sehr wohl den Schutzziel-Begriffaufrechterhalten.Team 1: Der Begriff „Grundlegende Sicherheitsfunktion“wird ersetzt durch „Schutzziel“.2.3 (1) Zuverlässigkeit und Wirksamkeit desEinschlusses der in den Brennele-2.3 (1) Mit den gemäß Ziffer 2.1 (3a) vorgesehenenMaßnahmen und Einrichtungen107

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)menten befindlichen radioaktivenStoffe ist durch die grundlegendenSicherheitsfunktionena) Kontrolle der Reaktivität,b) Kühlung der Brennelementeundc) Erhalt der Barrierenintegritätentsprechend den jeweiligen Anforderungenauf den Sicherheitsebenensichergestellt.werden entsprechend den jeweiligenAnforderungen auf den SicherheitsebenenZuverlässigkeit und Wirksamkeitdes Einschlusses der in den Brennelementenbefindlichen radioaktiven Stoffeist durch die folgenden grundlegendenSicherheitsfunktionen (Schutzziele)erfüllt:a) Kontrolle der Reaktivität,b) Kühlung der Brennelemente undc) Einschluss der radioaktiven Stoffe.Erhalt der Barrierenintegritätentsprechend den jeweiligen Anforderungenauf den Sicherheitsebenensichergestellt.2.3 (2) Auf den Sicherheitsebenen 1 bis 4awerden folgende Anforderungeneingehalten:Zur Sicherstellung der Kontrolle derReaktivität:- Reaktivitätsänderungen sind aufals zulässig nachgewieseneWerte zu beschränken,- der Reaktorkern muss sicherabzuschalten sein und langfristigunterkritisch gehalten werdenkönnen,- die Brennelemente bei derHandhabung sowie im Lager fürunbestrahlte Brennelemente undim Brennelementlagerbeckenmüssen stets unterkritisch sein.Zur Sicherstellung der Kühlung derBrennelemente:- Kühlmittel und Wärmesenkensind stets ausreichend bereitzustellen,- der Wärmetransport vom Brenn-502 FANP Modul 1 Details - DurchgängigkeitZur Sicherstellung der Kontrolle der Reaktivität:der Reaktorkern muss sicher abzuschaltensein und langfristig unterkritisch gehaltenwerden können: vorübergehende begrenzteRekritikalität zulässig?Team 1: Die Zulässigkeit einer „vorübergehendenbegrenzten Rekritikalität“, somit(zumindest partiell) die Nichterfüllung desSchutzziels „Kontrolle der Reaktivität“, istu. E. nicht von derart übergeordneter Bedeutung,als dass dieser Aspekt bei der Konzeptbeschreibungzu regeln wäre. Die Zulässigkeiteiner Rekritikalität wird in den Modulenereignisspezifisch geregelt.1082.3 (2) Auf den Sicherheitsebenen 1 bis 4awerden folgende Anforderungen eingehalten:Zur Sicherstellung der Kontrolle derReaktivität:- Reaktivitätsänderungen sind auf alszulässig bestätigte nachgewieseneWerte zu beschränkt, en,- der Reaktorkern kann muss sicherabgeschaltet abzuschalten sein undlangfristig unterkritisch gehaltenwerden können,- die Brennelemente bei der Handhabungvon Brennelementen sowie imLager für unbestrahlte Brennelementeund im Brennelementlagerbeckenist Unterkritikalität sichergestellt.müssen stets unterkritischsein.Zur Sicherstellung der Kühlung derBrennelemente:- Kühlmittel und Wärmesenken sindstets in ausreichender Wirksamkeit

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)stoff bis zur Wärmesenke sowie- die Wärmeabfuhr aus demBrennelementlagerbecken ist sicherzustellen.Zur Sicherstellung der Barrierenintegrität:- Die sich auf den verschiedenenSicherheitsebenen ergebendenmechanischen, thermischen,chemischen und durch Strahlunghervorgerufenen Belastungensind derart zu limitieren, dass dieunter Ziffer 2.4 angegebenen radiologischenSicherheitszieleeingehalten werden und dieKontrolle der Reaktivität sowiedie Kühlung der Brennelementesichergestellt sind.bereitzustellvorhanden,- der Wärmetransport vom Brennstoffbis zur Wärmesenke ist sichergestellt,sowie- die Wärmeabfuhr aus dem Brennelementlagerbeckenist sichergezustellt.en.Zurm Sicherstellung deEinschluss derradioaktiven Stoffe: r Barrierenintegrität:- Die sich auf den verschiedenenSicherheitsebenen ergebenden mechanischen,thermischen, chemischenund durch Strahlung hervorgerufenenBelastungen sind so begrenzt,derart zu limitieren, dass dieunter Ziffer 2.4 angegebenen radiologischenSicherheitsziele eingehaltenwerden und die Kontrolle derReaktivität sowie die Kühlung derBrennelemente sichergestellt sind.2.3 (3) Auf der Sicherheitsebene 4b soll dieKontrolle der Reaktivität sowie dieKühlung der Brennelemente erhaltenoder wieder hergestellt werdenund die Anlage in einen langfristigsicheren Zustand überführt werden.Die Integrität des Sicherheitseinschlussesoder mindestens einerBarriere soll erhalten bleiben.2.3 (4) Auf der Sicherheitsebene 4c sollvorrangig eine Begrenzung derAktivitätsfreisetzung erzielt werden,indem der Sicherheitseinschlusserhalten und ein langfristig kontrollierterZustand abgesichert werden.585 ESN Änderungsvorschlag: Die Formulierung"mindestens eine Barriere soll erhalten bleiben"ist für die Ebene 4b unangemessen undsollte entsprechend relativiert werden.Team 1: Der Erhalt mindestens einer Barriereist eine der wesentlichen Zielsetzungender Notfallmaßnahmen der Sicherheitsebene4b. Insofern wird diesem Vorschlag nichtgefolgt.585 ESN Änderungsvorschlag: Die Formulierung"indem der Sicherheitseinschluss erhalten"enthält eine Forderung, die in der Sicherheitsebene4c bei vielen möglichen Ereignisabläufennicht einzuhalten ist.Team 1: Kommentar wird u. E. umgesetzt.1092.3 (3) Auf der Sicherheitsebene 4b wird durchMaßnahmen des anlageninternen Notfallschutzesangestrebt, soll die Kontrolleder Reaktivität sowie die Kühlung derBrennelemente zu erhalten oder wiederherzugestellen t werden und die Anlagein einen langfristig sicheren Zustand zuüberführen. t werden. DEs ist das Ziel,die Integrität des Sicherheitseinschlussesoder mindestens einer anderenBarriere soll zu erhalten bleiben.2.3 (4) Auf der Sicherheitsebene 4c wird durchMaßnahmen des anlageninternen Notfallschutzesangestrebt, die Integritätdes Sicherheitsbehälters so lange wiemöglich zu erhalten, die radioaktivenStoffe soweit wie möglich zurückzuhaltensoll vorrangig eine Begrenzung der

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Aktivitätsfreisetzung erzielt werden,indem der Sicherheitseinschluss erhaltenund einen langfristig kontrollierbarenter Zustand zu erreichen. abgesichertwerden.HinweisDie auf den einzelnen Sicherheitsebenenim Hinblick auf die grundlegenden Sicherheitsfunktionenjeweilig einzuhaltendensicherheitstechnischen Nachweiszieleund Nachweiskriterien sind für dieSicherheitsebenen 2 bis 4a in „Sicherheitsanforderungenfür Kernkraftwerke:Bei Druck- und Siedewasserreaktoren zuberücksichtigende Ereignisse", für dieNotfallmaßnahmen der Sicherheitsebenen4b und 4c in „Sicherheitsanforderungenfür Kernkraftwerke: Anforderungenan den anlageninternen Notfallschutz“aufgeführt.HinweisDie auf den einzelnen Sicherheitsebenen imHinblick auf die grundlegenden Sicherheitsfunktionenjeweilig einzuhaltenden sicherheitstechnischenNachweisziele und Nachweiskriteriensind für die Sicherheitsebenen2 bis 4a in „Sicherheitsanforderungen fürKernkraftwerke: Bei Druck- und Siedewasserreaktorenzu berücksichtigende Ereignisse",für die Notfallmaßnahmen der Sicherheitsebenen4b und 4c in „Sicherheitsanforderungenfür Kernkraftwerke: Anforderungenan den anlageninternen Notfallschutz“ aufgeführt.2.4 Radiologische Sicherheitsziele 2.4 Radiologische Sicherheitsziele2.4 (1) Auf den Sicherheitsebenen 1 und 2- wird die Strahlenexposition desPersonals bei allen Tätigkeitenunter Berücksichtigung allerUmstände des Einzelfalls auchunterhalb der Grenzwerte derStrahlenschutzverordnung sogering wie möglich gehalten,- wird jede Ableitung radioaktiverStoffe mit Luft oder Wasser kontrolliertauf den dafür vorgesehenenAbleitungspfaden erfolgen;die Ableitungen werden ü-berwacht und nach Art und Aktivitätdokumentiert und spezifiziert;und- wird jede Strahlenexpositionoder Kontamination von Menschund Umwelt durch Direktstrah-474 Lauer (RSK) Die entsprechenden Regelungen sind bereitsBestandteil der Strahlenschutzverordnung;ein zwingender Änderungs-/Regelungsbedarf - abgesehen von der demRegelwerksentwurf zu Grunde liegendenEinteilung in verschiedene Sicherheitsebenen- besteht damit nicht.Es gibt Überlappungen und Inkonsistenzenmit der Strahlenschutzverordnung (z. B. neueStrSchV spricht keine Strahlenexpositiondurch Direktstrahlung mehr an) Die Formulierung,dass die Strahlenexposition ... „auchunterhalb der Grenzwerte der Strahlenschutzverordnungso gering wie möglich zuhalten" ist, 'ist zumindest verwirrend, da dieStrahlenschutzverordnung nicht nur Grenzwertebeinhaltet, sondern auch die Forderung,die Expositionen so gering wie möglichzu halten. Im Übrigen gilt dieser Grundsatzgenerell, so dass eine Zuordnung zu Sicher-1102.4 (1) Auf den Sicherheitsebenen 1 und 2- wird die Strahlenexposition desPersonals bei allen Tätigkeiten unterBerücksichtigung aller Umständedes Einzelfalls auch unterhalb derGrenzwerte der Strahlenschutzverordnungso gering wie möglichgehalten,- erfolgt wird jede Ableitung radioaktiverStoffe mit Luft oder Wasser kontrolliertauf den dafür vorgesehenenAbleitungspfaden erfolgen; die Ableitungenwerden überwacht undnach Art und Aktivität dokumentiertund spezifiziert; und- wird jede Strahlenexposition oderKontamination von Mensch undUmwelt durch Direktstrahlung ausder Anlage sowie durch die Ablei-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)lung aus der Anlage sowie durchdie Ableitung radioaktiver Stoffeunter Berücksichtigung allerUmstände des Einzelfalls auchunterhalb der Grenzwerte derStrahlenschutzverordnung sogering wie möglich gehalten.Auf der Sicherheitsebene 3- werden bei der Planung vonTätigkeiten zur Beherrschungvon Ereignissen, zur Minderungihrer Auswirkungen oder zur Beseitigungihrer Folgen für dieStrahlenexposition des Personalshöchstens die einschlägigenGrenzwerte der Strahlenschutzverordnungzu Grunde gelegt,- werden für die Auslegung derAnlage zum Schutz der Bevölkerungvor freisetzungsbedingtenStrahlenexpositionen höchstensdie einschlägigen Störfallplanungswerteder Strahlenschutzverordnungzu Grunde gelegt,- erfolgt eine etwaige Freisetzungauf dafür vorgesehenen Freisetzungspfaden;die Freisetzungwird überwacht und nach Art undAktivität dokumentiert und spezifiziert;und- werden die radiologischen Auswirkungeninnerhalb und außerhalbder Anlage unter Berücksichtigungaller Umstände desEinzelfalls so gering wie möglichgehalten.Auf der Sicherheitsebene 4- werden bei der Planung vonheitsebenen nicht notwenig ist.Team 1: Dieser Kommentar ist inhaltlichidentisch mit dem Kommentar 313 zu Revision12a zu dieser Ziffer. Wie dort bereits ausgeführt,soll mit Ziffer 2.4 (1) die Einordnungder Anforderungen der StrlSchV in das inModul 1 dargestellte Gestaffelte Sicherheitskonzepterfolgen. Änderungen des gültigenRegelwerks sind damit nicht verbunden.Durch die in Revision A vorgenommenenÄnderungen am Text ist der Kommentar (2.Absatz) u. E. berücksichtigt.tung radioaktiver Stoffe unter Berücksichtigungaller Umstände desEinzelfalls auch unterhalb derGrenzwerte der Strahlenschutzverordnungso gering wie möglichgehalten.Auf der Sicherheitsebene 3- werden bei der Planung von Tätigkeitenzur Beherrschung von Ereignissen,zur Minderung ihrer Auswirkungenoder zur Beseitigung ihrerFolgen für die Strahlenexpositiondes Personals höchstens die einschlägigenGrenzwerte der Strahlenschutzverordnungzu Grunde gelegt,- werden für die Auslegung der Anlagezum Schutz der Bevölkerung vorfreisetzungsbedingten Strahlenexpositionenhöchstens die einschlägigenStörfallplanungswerte derStrahlenschutzverordnung zu Grundegelegt,- erfolgt eine etwaige Freisetzung aufdafür vorgesehenen analysiertenFreisetzungspfaden; die Freisetzungwird überwacht und nach Artund Aktivität dokumentiert und spezifiziert;und- werden die radiologischen Auswirkungeninnerhalb und außerhalbder Anlage unter Berücksichtigungaller Umstände des Einzelfalls sogering wie möglich gehalten.Auf der Sicherheitsebene 4- werden bei der Planung von Tätigkeitenzur Beherrschung von Ereignissender Sicherheitsebene 4a sowiebei der Planung von Tätigkeiten111

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Tätigkeiten zur Beherrschungvon Ereignissen und Ereignisabläufen,zur Minderung ihrerAuswirkungen oder zur Beseitigungihrer Folgen für die voraussichtlicheStrahlenexpositiondes Personals die einschlägigenVorgaben der Strahlenschutzverordnungzu Grunde gelegt,- wird die Überwachung von Freisetzungenradioaktiver Stoffenach Art und Aktivität sichergestelltund- werden radiologische Auswirkungeninnerhalb und außerhalbder Anlage unter Berücksichtigungaller Umstände des Einzelfallsso gering wie möglichgehalten.im Rahmen von Maßnahmen desanlageninternen Notfallschutzes Ereignissenund Ereignisabläufen, zurMinderung ihrer Auswirkungen oderzur Beseitigung ihrer Folgen für dievoraussichtliche Strahlenexpositiondes Personals die einschlägigenVorgaben der Strahlenschutzverordnungzu Grunde gelegt,- wird die Überwachung von Freisetzungenradioaktiver Stoffe aus derAnlage nach Art und Aktivität sichergestelltund- werden radiologische Auswirkungeninnerhalb und außerhalb der Anlageunter Berücksichtigung aller Umständedes Einzelfalls so gering wiemöglich gehalten.502 FANP Modul 1 Details - Erhöhung von Anforderungen?2.4 (1)so gering wie möglich: international: ALARAnur auf dafür vorgesehenen Freisetzungspfaden:Sind Leckagen über Undichtigkeitenim RHAG nach Erdbeben vorgesehene Freisetzungspfade?Sicherheitsebene 4: die einschlägigen Vorgabender Strahlenschutzverordnung: VorgabenStrahlenschutzverordnung für Sicherheitsebene4?Team 1: siehe Antwort auf nachfolgendeKommentare.622 Waas,FANPDa steht auf einmal bei den radiologischenZielen: „erfolgt eine etwaige Freisetzung nurauf dafür vorgesehenen Freisetzungspfaden“.Was ist damit eigentlich gemeint?. Waswir bisher hatten, auf der Sicherheitsebene 3,112

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)dann gehört zum Beispiel auch das Erdbebendazu. Da wird in den radiologischenRechnungen ausgewiesenen oder untersucht,dass es bei dem Hilfsanlagengebäude,wo man zwar eine Lüftungsabschlusshat, dass es aber dort Undichtigkeiten gibt.Das wird ja auch durch die Störfallberechnungsgrundlagenvorgegebenen. Dort wirdüber bodennahe Freisetzung eine Dosisausgerechnet. Bei diesen Undichtigkeitenkann man aber mit Sicherheit nicht von vorgesehenenFreisetzungspfaden reden. Alsoda wird jetzt eine Anforderung gestellt, diedazu führen würde, wir müssen um dasHilfsanlagengebäude noch einmal einenSicherheitsbehälter machen.Team 9: Die Anforderung ist in dem Sinne zuverstehen, dass es bei Ereignissen auf derSicherheitsebene 3 keine Unkenntnis übermögliche Freisetzungspfade geben darf, dazur Störfallplanung für alle Ereignisse diePfade im Voraus definiert (= vorgesehen)sein müssen. „Vorgesehen“ (in der Analysedes Ereignisses) sind damit auch die imKommentar genannten Undichtigkeiten. ZurKlarstellung wird diese Formulierung verwendet.622 Noack,RWE PowerPlanung, Sicherheitsebene 4, Dosis vonPersonal im Fall von Kernschmelzen (4c).Wie stellen Sie sich das denn vor? Auchwelcher Basis denn? Unabhängig von derjuristischen Zulässigkeit und von der technischenMöglichkeit. Wie stellen Sie sich dasvor? Wie soll das gehen? Wer kann Ihnendenn sagen, welche Aktivitäten man im Sicherheitsbehälterhaben wird, im Falle einesKernschmelzens? Wie sich die Schmelzeverteilen wird, wenn der RDB versagt? Ichsehe da technische Unzulänglichkeiten. Ichsehe gar nicht, wie das möglich sein soll. Ich113

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)finde, das sollte man auch deutlich machen,dass sich diese Forderung auf Fälle beschränkt,wo das mit einfachen plausiblenMitteln möglich ist. Denn hier implizieren Sieetwas, wieder im Aufsichts- und Genehmigungsverfahren,was wir so, unabhängig vonder rechtlichen Irrelevanz, von der rechtlichenWertigkeit, wo ich immer noch ein großesFragezeichen sehe oder wo ich garsehe, die ist nicht gegeben. Auch von dertechnischen Machbarkeit wird hier etwasimpliziert, was ich dann im Aufsichtsverfahrenausfechten muss. Also mir wäre esschon lieb, wenn das hier klar, dieser einfacheAnsatz klar dargestellt würde.Team 9: Für die Planung von Tätigkeiten isteine Dosisabschätzung auch auf der Sicherheitsebene4 erforderlich. Das Gleiche gilt fürdie Gewährleistung der Strahlenschutzüberwachungfür das Personal. Dass die Planungsmöglichkeitenbei Ereignissen derSicherheitsebene 4 eingeschränkt sind, istunbestritten. Dies darf aber u. E. nicht dazuführen, den radiologischen Arbeitschutz imRahmen der Planungen des anlageninternenNotfallschutzes außer Acht zu lassen.622 Rubbel,NUMIch habe jetzt zu diesen im Entwurf vorliegendenAusführungen die Frage, welchekonkrete Rechtsvorschrift soll hier hinsichtlichder radiologischen Ziele der Sicherheitsebene4 konkretisiert werden? Haben Siehier vor, den Rechtsrahmen gegebenenfallsanzupassen, damit man die untergesetzlicheKonkretisierung vornehmen kann? Oderkönnen Sie sich andere Möglichkeiten vorstellen,die letztendlich die atomrechtlichenGenehmigungs- und Aufsichtsbehörden derLänder in die Lage versetzen, dieser Anforderungund diese Ziele, die ja gegenüber dengesetzlichen Rahmen weitergehende Dinge114

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)hier zulassen und ermöglichen würden, zufolgen? Wir haben ja die Planungswerte, dieStörfallplanungswerte und hier steht jetzt eindarüber hinausgehender Rahmen zur Disposition.Ich weiß nicht wie das im atomrechtlichenGenehmigungs- und Aufsichtsverfahrenvon uns gehandhabt werden soll. Wir kommenda in den Bereich, der durch das Gesetz,für mich erkennbar, zur Zeit nicht abgedecktist.Team 9: Die Anforderungen an den Strahlenschutzauf der Sicherheitsebene 4 gründensich auf das SicherheitsebenenübergreifendeGebot zur Dosisreduzierunggemäß § 6 StrlSchV.2.4 (2) Alle sicherheitstechnisch wichtigenEinrichtungen eines Kernkraftwerkeswerden so ausgelegt, in einemsolchen Zustand gehalten und sogegen Einwirkungen geschützt,dass sie ihre zur Einhaltung derAnforderungen gemäß Ziffer 2.4 (1)benötigten sicherheitstechnischenAufgaben erfüllen.Alle Einrichtungen eines Kernkraftwerkes,die radioaktive Stoffe enthaltenoder enthalten können, sindso beschaffen, angeordnet undabgeschirmt, dass bezüglich derStrahlenexposition von Personenbei allen auf den Sicherheitsebenen1 und 2 erforderlichen Tätigkeitensowie bei der Planung von Tätigkeitenzur Beherrschung von Ereignissenund Ereignisabläufen der Sicherheitsebenen3 und 4 zur Minderungihrer Auswirkungen oder zurBeseitigung ihrer Folgen die einschlägigenAnforderungen gemäßZiffer 2.4 (1) erfüllt werden.489 Nagel(RSK AST)Der 1. Absatz von 2.4 (2) ist m. E. kein radiologischesSicherheitsziel sondern eine übergreifendetechnische Anforderung an dieAuslegung und Prüfbarkeit der technischenEinrichtungen. Deshalb m. E. besser im Kap.3.1.Team 1: Ausgehend von den BMI Sicherheitskriterien(2.3 und 2.4) dient dieser Absatzder Verknüpfung mit den Anforderungenan die technischen Einrichtungen (sieheauch Antwort auf Kommentar 522 zu dieserZiffer). Allerdings kann der letzte Absatzentfallen, da in Ziffer 3.1 (1)c) bereits geregelt.2.4 (2) Alle sicherheitstechnisch wichtigenEinrichtungen eines Kernkraftwerkeswerden so ausgelegt, in einem solchenZustand gehalten und so gegen Einwirkungengeschützt, dass sie ihre sicherheitstechnischenAufgaben zur Einhaltungder Anforderungen gemäß Ziffer2.4 (1) benötigten sicherheitstechnischenAufgaben erfüllen.Alle Einrichtungen eines Kernkraftwerkes,die radioaktive Stoffe enthaltenoder enthalten können, sind so beschaffen,angeordnet und abgeschirmt,dass bezüglich der Strahlenexpositionvon Personen bei allen auf den Sicherheitsebenen1 und 2 erforderlichenTätigkeiten sowie bei der Planung vonTätigkeiten zur Beherrschung von Ereignissenund Ereignissen der Sicherheitsebenen3 und 4a sowie imRahmen von Maßnahmen des anlageninternenNotfallschutzes abläufender Sicherheitsebenen 3 und 4, zurMinderung ihrer Auswirkungen oder zur115

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Die Einrichtungen sind instandhaltungsfreundlichbeschaffen undangeordnet.Beseitigung ihrer Folgen die einschlägigenAnforderungen gemäß Ziffer 2.4(1) erfüllt werden.Die Einrichtungen sind instandhaltungsfreundlichbeschaffen und angeordnet.502 FANP Modul 1 Details – Durchgängigkeit: Sollendie Anforderungen an sicherheitstechnischwichtigen Einrichtungen über radiologischeSicherheitsziele definiert werden?Team 1: Ziffer 2.4 (2) formuliert, dass die(einschlägigen) Einrichtungen ihre Aufgabenhinsichtlich der Einhaltung der radiologischenSicherheitsziele erfüllen. WeitergehendeInterpretation hierzu sind u. E: nicht erforderlich.622 Waas,FANPDa steht: „alle sicherheitstechnisch wichtigenEinrichtungen eines Kernkraftwerks werdenso ausgelegt und so weiter, dass sie ihre zurEinhaltung der Anforderungen gemäß 2.4(1.2) benötigten sicherheitstechnischen Aufgabenerfüllen“. In 2.4.1 stehen radiologischeSicherheitsziele. Das hat mich etwas gewundert,das wir jetzt eine extrem schutzzielorientierteBewertung vorfinden.Team 9: Die Anforderungen gemäß Ziffer 2.4(1) und 2.4 (2) umfassen zusammen inhaltlichdie Sicherheitskriterien 2.3 und 2.4, dieihrerseits die im Kommentar angesprocheneVorgehensweise fordern.3. Übergreifende technische Anforderungen3.1 Generelle Anforderungen 502 FANP Modul 1 Details - DurchgängigkeitStruktur 3.1Sicherheitsebene 1-3/Anforderungen anEinrichtungen, Komponenten etc.> 3.1(1) Qualität Einrichtungen/Personal> 3.1(2) Fehlerverzeihende Merkmale3. Übergreifende technische Anforderungen3.1 Generelle Anforderungen116

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)> 3.1(3) EF-Konzept (rudimentär)> 3.1(4) Qualität Einrichtungen> 3.1(5) WKP> 3.1(6) Ausnahmen zur WKP (3! Absätze)> 3.1(7) Ausfallpostulate/Ergänzung EF-KonzeptSicherheitsebene 4> 3.1(8) Einrichtungen 4a> 3.1(9) Einrichtungen 4b/c> 3.1(10) Rettungswege> 3.1(11) BHB/PHB3.1(12) NotfallstrategienTeam 1: In Revision B werden Optimierungen(aus unserer Sicht) an der Struktur vorgenommen.3.1 (1) Auf Maßnahmen und Einrichtungender Sicherheitsebenen 1 bis 3 werdenbezüglich aller Betriebsphasensicherheitsfördernde Auslegungs-,Fertigungs- und Betriebsgrundsätzeangewendet. Insbesondere sindverwirklicht:a) sicherheitstechnisch begründeteSicherheitszuschläge bei derAuslegung der Komponenten;geringe Abweichungen von denAuslegungswerten führen zukeiner sicherheitstechnisch bedeutendenÄnderung des Anlagenzustands;585 ESN Ergänzungsvorschlag: Es fehlt ein Hinweisauf die geforderte eindeutige Benennungsowie Kennzeichnung von Gebäuden, Anlagenteilen,Komponenten und Bauteilen.Team 1: Die „Benennung“ bzw. „Kennzeichnung“ist u. E. kein an dieser Stelle zu nennenderGrundsatz. Die u. E. weitergehendeAnforderung nach Klassifizierung (sieheZiffer 2.1 (10)) deckt die „Benennung“ bzw.„Kennzeichnung“ u. E. mit ab.1173.1 (21) Auf Maßnahmen und Einrichtungen derSicherheitsebenen 1 bis 3 werdenbezüglich aller Betriebsphasen sicherheitsförderndeAuslegungs-, Fertigungs-und Betriebsgrundsätze angewendet.Insbesondere sind verwirklicht:474 Lauer (RSK) Die Formulierung ist zwar gegenüber demursprünglichen Text geändert, fordert jedochimmer noch implizit die Quantifizierung vonSicherheitszuschlägen.Die Nachweisführung erfolgte bisher in derWeise. dass durch die Wahl von Anfangsbzw.Randbedingungen und Zusatzannahmendie Konservativität des Analyseergebnissessichergestellt wurde. Die Quantifizierungdes Grades der Konservativität bzw. derSicherheitszuschläge war bisher keine Anforderungdes Regelwerkes an die Nachweisführung.Diese Vorgehensweise hat sichnicht zuletzt deshalb etabliert, da der quantia)sicherheitstechnisch begründeteSicherheitszuschläge bei der Auslegungder Komponenten; geringeAbweichungen von den Auslegungswertenführen zu keiner sicherheitstechnischbedeutendenÄnderung des Anlagenzustands;hierbei können anerkannte Regelnund Standards angewendet werden;Anwendung finden;

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)tative Nachweis von Sicherheitszuschlägenin vielen Fällen praktisch nicht möglich ist.Die Einführung zusätzlicher Sicherheitszuschlägeist außerdem nicht schlüssig, dadurch Nachweise die Einhaltung von im Regelwerkgenannten Akzeptanzkriterien gezeigtwerden soll. Die Einhaltung zusätzlicherSicherheitszuschläge müssten nur nachgewiesenwerden, wenn die Akzeptanzkriteriendes Regelwerks nicht akzeptabel wären.Team 1: Gegenüber der Formulierung in denBMI Sicherheitskriterien („Berücksichtigungausreichender Sicherheitszuschläge bei derAuslegung der Systeme und Anlageteile“)werden Sicherheitszuschläge gefordert, diesicherheitstechnisch zu begründen sind.Diese Anforderung ist u. E. sachgerecht undzielführend. Eine Quantifizierung von Zuschlägenmag dabei hilfreich sein oder ggf.auch erforderlich, ist allerdings nicht generellgefordert, auch nicht ein „quantitativer Nachweisvon Sicherheitszuschlägen“. Es werdengegenüber den Anforderungen des bestehendenRegelwerks (BMI Sicherheitskriterien)keine „zusätzlichen“ Sicherheitszuschlägegefordert. Der Auslegungsgrundsatz„Berücksichtigung von Sicherheitszuschlägen“ist u. E. nicht bereits dadurch erfüllt,dass die ansonsten im Regelwerk geforderteEinhaltung der Nachweiskriterien nachgewiesenist.585 ESN Änderungsvorschlag: Die Formulierung"geringe Abweichungen von den Auslegungswertenführen zu keiner sicherheitstechnischbedeutsamen Änderung des Anlagenzustandes"ist missverständlich. Soll esheißen, dass Systeme so zu konstruierensind, dass geringfügige Abweichungen keinesicherheitstechnische Relevanz haben oder118

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)bedeutet die Formulierung, dass per se ausgeringen Abweichungen keine bedeutsamenAbweichungen resultieren können? Hiersollte ein entsprechende Konkretisierungerfolgen.Team 1: Der Satz wird gestrichen (sieheauch Diskussion der RSK hierzu am10.11.2005).489 Nagel(RSK AST)Es ist nicht erkennbar, warum hier mit den„anerkannte Regeln und Standards“ die niedrigstenAnforderungen der Hierarchie „Standvon Wissenschaft und Technik, Stand derTechnik und anerkannte Regeln der Technik“Anwendung finden sollen.Team 1: Bei der sicherheitstechnischenBegründung der Sicherheitszuschläge könnenu. E. anerkannte Regeln und Standardsherangezogen werden.b) Verwendung geeigneter Werkstoffe,Team 1Ergänzung gemäß: Safety of Nuclear PowerPlants: Design Requirement, IAEA NS-R-1,Vienna 2000 (Ziffern 1.8, 3.6, 6.40).b) Verwendung geeigneter Werkstoffesowie betriebsbewährter oder ausreichendgeprüfter Einrichtungen,c) Instandhaltungsfreundlichkeitvon Einrichtungen unter besondererBerücksichtigung derStrahlenexposition des Personals,c) Instandhaltungsfreundliche Gestaltungkeit von Einrichtungen unterbesonderer Berücksichtigung derStrahlenexposition des Personals,d) ergonomische Maßnahmen anden Arbeitsplätzen,d) ergonomische Maßnahmen an denArbeitsplätzen,e) Sicherstellung und Erhalt derQualitätsmerkmale bei Fertigung,Errichtung und Betrieb,e) Sicherstellung und Erhalt der Qualitätsmerkmalebei Fertigung, Errichtungund Betrieb,f) Durchführung von wiederkehrendenPrüfungen in dem sicherheitstechnischnotwendigenf) Durchführung von wiederkehrendenPrüfungen in dem sicherheitstechnischnotwendigen Umfang,119

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Umfangg) zuverlässige Überwachung derin den jeweiligen Betriebsphasenrelevanten Betriebszustände,einschließlich der Alterung);g) zuverlässige Überwachung der inden jeweiligen Betriebsphasen relevantenBetriebszustände, einschließlichder Alterung,);h) Aufstellung eines Überwachungskonzeptsmit Überwachungseinrichtungenzur Erkennungbetriebsbedingter Schäden.h) Aufstellung eines Überwachungskonzeptsmit Überwachungseinrichtungenzur Erkennung betriebsbedingterSchäden,.i) Aufzeichnung, Auswertung undsicherheitsbezogene Verwertungvon Betriebserfahrungen.3.1 (2) Auf Maßnahmen und Einrichtungender Sicherheitsebene 3 (Sicherheitseinrichtungen)werden folgendeGrundsätze angewendet:3.1 (32) Auf Maßnahmen und Einrichtungen derSicherheitsebene 3 (Sicherheitseinrichtungen)werden zusätzlich zu Ziffer 3.1(2) folgende Grundsätze angewendet:a) Redundanz, a) Redundanz,b) Diversität, b) Diversität,c) Entmaschung von redundantenTeilsystemen, soweit dieser sicherheitstechnischeVorteilenicht entgegenstehen,622 Waas,FANPAuf dem Prinzip der Entmaschung generellzu bestehen, dient eben nicht der Optimierungder Sicherheitstechnik. Es gibt bestimmte,in vielen Bereichen gültige Gründe, warumman Entmaschung machen soll und daist es sicherheitstechnisch vorteilhaft. Abereben nicht in allen Fällen. Um dieses deutlichzu machen, dass man dort, wenn man pauschaletwas fordert, man technisch nachdenkenoder den Einzelfall betrachten muss, gabes Begriffe, wie „soweit sinnvoll“ oder „möglich“oder so etwas. Es ist klar, wenn mansich nicht um die technischen Hintergründekümmern will, dann stören einen solcheBegriffe immer, weil es dann natürlich komplizierterwird. Um die sicherheitstechnischeZielsetzungen optimal zu erfüllen sind solchec) Entmaschung von redundantenTeilsystemen, soweit dies nicht miter sicherheitstechnischen Nachteilenverbunden ist, Vorteile nichtentgegenstehen,120

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)differenzierenden Ausdrücke aus unsererSicht wichtig.Team 1: Die in den BMI Sicherheitskriterienverwendete Formulierung lautet „weitgehendeEntmaschung“. Die in Modul 1 verwendeteFormulierung erfasst die im Kommentarangesprochene Problematik u. E. deutlichbesser, da deutlich wird, dass eine fallweisePrüfung vorzunehmen ist.d) räumliche Trennung redundanterTeilsysteme;d) räumliche Trennung redundanterTeilsysteme;e) sicherheitsgerichtetes Systemverhaltenbei Fehlfunktion vonTeilsystemen oder Anlagenteilen;e) sicherheitsgerichtetes Systemverhaltenbei Fehlfunktion von Teilsystemenoder Anlagenteilen;f) Bevorzugung passiver gegenüberaktiver Sicherheitseinrichtungen;f) Bevorzugung passiver gegenüberaktiver Sicherheitseinrichtungen;g) Bevorzugung von Prinzipien derinhärent sicheren Auslegung;g) Bevorzugung von Prinzipien derinhärent sicheren Auslegung;Team 1:Aufnahme der Anforderungen an dieHilfs- und Versorgungssysteme gemäßZiffer 3.1 (5) Modul 1 Rev. B in Anlehnungan die Formulierung der RSK LL indie Grundsätze von Ziffer 3.1 (3).h) die Hilfssysteme und die Hilfsmedienversorgungder Sicherheitseinrichtungensind so zuverlässigausgelegt, das sie dieNichtverfügbarkeit der zu versorgendenEinrichtungen nichtbestimmen;h) Automatisierung (von Handauszulösende Maßnahmen findenin der Störfallanalyse grundsätzlichnicht vor Ablauf von 30Minuten Berücksichtigung).ih) Automatisierung (von Hand auszulösendeEinrichtungen Maßnahmenwerden finden in der Störfallanalysegrundsätzlich nicht vor Ablauf von30 Minuten Bberücksichtigtung).3.1 (3) Sicherheitseinrichtungen sind soredundant und entmascht, dass im502 FANP Modul 1 Details - Erhöhung von Anforderungen?1213.1 (43) Sicherheitseinrichtungen bzw. vondiesen zu erfüllende Sicherheitsfunktio-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Anforderungsfall ein unterstellterEinzelfehler in der Sicherheitseinrichtungbeherrscht wird.Sofern gemäß den genehmigtenBetriebsvorschriften betriebsbegleitendeInstandhaltungsarbeiten aneiner Redundanz mit damit einhergehenderUnverfügbarkeit von Sicherheitseinrichtungenzulässigsind, wird zusätzlich zum Einzelfehlergrundsätzlich unterstellt, dasseine Redundanz der von solchenArbeiten betroffenen Sicherheitseinrichtungzum Zeitpunkt des Anforderungsfallesnicht verfügbar ist.EF ist nicht für Einzeleinrichtungen, sondernauf Sicherheitsfunktionen anzuwenden. Außerdemgehört das EF-Konzept vollständighierher und nicht in Modul 10, nicht zuletzt,um Inkonsistenzen zu vermeiden.Team 1: Gemäß Interpretation zum Einzelfehlerkonzepts(EFK) handelt es sich „beimEinzelfehler um einen Fehler, der in denSicherheitseinrichtungen im betrachtetenAnforderungsfall“ unterstellt wird (siehe auchin den Begriffsdefinitionen). Da jedoch richtigerweisedie Sicherheitsfunktion „einzelfehlerfest“sein soll, wird hier eine Ergänzungvorgenommen.Eine vollständige Darstellung des EFK inModul 1 ist u. E. nicht passend. Inkonsistenzensind auch bei einer abgestuften Darstellungvermeidbar.nen sind so redundant und entmascht,dass im Anforderungsfall ein zufälligerAusfall unterstellter Einzelfehler in derSicherheitseinrichtung (Einzelfehler)unter Berücksichtigung der Besonderheitenvon aktiven und passiven Einrichtungensowie unterschiedlicherBetriebsphasen und Betriebszuständebeherrscht wird (Einzelfehlerkonzept).Sofern gemäß den genehmigten BetriebsvorschriftenbetriebsbegleitendeInstandhaltungsarbeiten an einer Redundanzmit damit einhergehenderUnverfügbarkeit von Sicherheitseinrichtungenzulässig sind, wird zusätzlichzum Einzelfehler grundsätzlich unterstellt,dass eine Redundanz der vonsolchen Arbeiten betroffenen Sicherheitseinrichtungzum Zeitpunkt dersAnforderungsfalles nicht verfügbar ist.3.1 (4a) Die Qualität aller Einrichtungeneines Kernkraftwerkes, einschließlichder Bauwerke, entspricht ihrersicherheitstechnischen Bedeutung.Bei Auslegung, Fertigung, Errichtungund Prüfung sowie Betrieb undInstandhaltung der sicherheitstechnischwichtigen Anlageteile werdenGrundsätze und Verfahren angewendet,die entsprechend den besonderensicherheitstechnischenErfordernissen der Kerntechnik demStand von Wissenschaft und Technikentsprechen. Bei Anwendungvon anerkannten Regeln der Techniksind diese im Einzelfall daraufüberprüft, ob sie dem Stand vonWissenschaft und Technik entsprechen.Team 1 Gestrichener Satz ist durch Ziffer 2.1 (10)erfasst.3.1 (14a) Die Qualität aller Einrichtungen einesKernkraftwerkes, einschließlich derBauwerke, entspricht ihrer sicherheitstechnischenBedeutung. Bei Auslegung,Fertigung, Errichtung und Prüfungsowie Betrieb und Instandhaltungder sicherheitstechnisch wichtigenAnlagenteile werden Grundsätze undVerfahren angewendet, die entsprechendden besonderen sicherheitstechnischenErfordernissen der Kerntechnikdem Stand von Wissenschaftund Technik entsprechen. Bei Anwendungvon anerkannten Regeln derTechnik sind diese im Einzelfall daraufhinüberprüft, ob sie dem Stand vonWissenschaft und Technik entsprechen.122

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)3.1 (4b) Die sicherheitstechnischen Aufgabenaller Einrichtungen sind klardefiniert und dokumentiert. Entsprechendihrer sicherheitstechnischenBedeutung sind für alle Einrichtungenmit sicherheitstechnischer BedeutungAuslegungsvorschriften,Werkstoffvorschriften, Bauvorschriftenund Prüfvorschriften sowie Betriebsvorschriftenund Instandhaltungsvorschriftenvorgehalten bzw.aufgestellt und angewendet.In den Prüfvorschriften sind Vorprüfung,Werkstoffprüfungen, Bauprüfungen,Druckprüfungen, Abnahmeprüfungenund Funktionsprüfungensowie regelmäßig wiederkehrendePrüfungen im Einzelnen festgelegt.Die Einhaltung dieser Vorschriftenwird im Rahmen eines Qualitätsgewährleistungsprogrammsüberwacht.Das Ergebnis der Qualitätsüberwachungmit den Ergebnissender Prüfungen wird dokumentiert.Die zur Beurteilung der Qualitätnotwendigen Unterlagen über Auslegung,Fertigung, Errichtung undPrüfungen sowie Betrieb und Instandhaltungder sicherheitstechnischwichtigen Einrichtungen sindwährend der gesamten Betriebsdauerder Anlage verfügbar.Team 1Wird nach Abschnitt 8 verlagert, da eher eineAnforderung an die Dokumentation.3.1 (4b) Die sicherheitstechnischen Aufgabenaller Einrichtungen sind klar definiertund dokumentiert. Entsprechend ihrersicherheitstechnischen Bedeutung sindfür alle Einrichtungen mit sicherheitstechnischerBedeutung Auslegungsvorschriften,Werkstoffvorschriften, Bauvorschriftenund Prüfvorschriften sowieBetriebsvorschriften und Instandhaltungsvorschriftenvorgehalten bzw.aufgestellt und angewendet.In den Prüfvorschriften sind Vorprüfung,Werkstoffprüfungen, Bauprüfungen,Druckprüfungen, Abnahmeprüfungenund Funktionsprüfungen sowie regelmäßigwiederkehrende Prüfungen imEinzelnen festgelegt.Die Einhaltung dieser Vorschriften wirdim Rahmen eines Qualitätsgewährleistungsprogrammsüberwacht. Das Ergebnisder Qualitätsüberwachung mitden Ergebnissen der Prüfungen wirddokumentiert. Die zur Beurteilung derQualität notwendigen Unterlagen überAuslegung, Fertigung, Errichtung undPrüfungen sowie Betrieb und Instandhaltungder sicherheitstechnisch wichtigenEinrichtungen sind während dergesamten Betriebsdauer der Anlageverfügbar.3.1 (5) Alle Einrichtungen sind so beschaffenund angeordnet, dass sie entsprechendihrer sicherheitstechnischenBedeutung und Aufgabe vorihrer Inbetriebnahme und danach inregelmäßigen Zeitabständen inhinreichendem Umfang im Hinblick489 Nagel(RSK AST)Hier können doch nicht alle Einrichtungensondern nur die Einrichtungen mit sicherheitstechnischerBedeutung gemeint sein.Team 1: Anforderung entstammt BMI Kriterium2.2. Der Kommentar wird umgesetzt, dapräzisierend.3.1 (105) Alle sicherheitsrelevanten Einrichtungensind so beschaffen und angeordnet,dass sie entsprechend ihrer sicherheitstechnischenBedeutung undAufgabe vor ihrer Inbetriebnahme unddanach in regelmäßigen Zeitabständenin hinreichendem Umfang geprüft und123

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)auf die Feststellung des spezifikationsgerechtenZustands und dieErkennung sich anbahnender Abweichungenvon prüfbaren Qualitätsmerkmalengeprüft und gewartetwerden können.gewartet werden können, um den imHinblick auf die Feststellung des spezifikationsgerechtenZustand feststellen sund die Erkennung sich anbahnenderAbweichungen von prüfbaren Qualitätsmerkmalenerkennen zu geprüft undgewartet werden können.3.1 (6a) Nicht in dem für die Erkennungetwaiger Mängel an Einrichtungennach dem Stand der Technik erforderlichenUmfang durchführbareregelmäßig wiederkehrende Prüfungensind nur in Ausnahmefällenzulässig, wie z.B.- wenn eine Prüfaussage vonvergleichbaren Stellen herangezogenwerden kann und die Prüfungbei der Herstellung keineBefunde ergeben hat oder- bei vorwiegend ruhender Beanspruchungund wirksamenSchutzmaßnahmen gegen Einflüssevon Korrosion und Alterung.3.1 (6b) Im Falle einer solchen eingeschränktenPrüfbarkeit werden fürdie Beherrschung möglicher Folgenaus diesen Mängeln solche Maßnahmenund Einrichtungen getroffen,dass auch bei den unter diesenUmständen in Betracht zu ziehendenEreignissen die Einhaltung derjeweiligen sicherheitstechnischenNachweisziele und Nachweiskriteriengewährleistet ist.502 FANP Modul 1 Details - DurchgängigkeitLesbarkeit? Interpretation der drei Absätze?Scheint ein sehr anlagenspezifisches Themazu betreffen. Detaillierungsgrad Modul 1?Direkte Formulierung statt „von hinten durchdie Brust ins Auge“ kürzer?Team 1: Anforderungen stammen aus BMIKriterium 2.2 und sollten u. E. trotz des relativhohen Detaillierungsgrades auch in Modul1 platziert bleiben. Es wird eine sprachlicheAnpassung vorgenommen.1243.1 (106a) Wenn an Einrichtungen regelmäßigwiederkehrende Prüfungen nach demStand der Technik nicht in dem für dieErkennung etwaiger Mängel erforderlichenUmfang durchgeführt werdenkönnen, Nicht in dem für die Erkennungetwaiger Mängel an Einrichtungen nachdem Stand der Technik erforderlichenUmfang durchführbare regelmäßigwiederkehrende Prüfungen sind nuristdies in Ausnahmefällen zulässig, wiez.B.- wenn eine Prüfaussage von vergleichbarenStellen herangezogenwerden kann und die Prüfung bei derHerstellung keine Befunde ergebenhat oder- bei vorwiegend ruhender Beanspruchungund wirksamen Schutzmaßnahmengegen Einflüsse von Korrosionund Alterung.3.1 (106b) Im Falle einer solchen eingeschränktenPrüfbarkeit werden für die Beherrschungmöglicher Folgen aus diesemnMaängeln solche Maßnahmen undEinrichtungen vorgesehengetroffen,dass auch bei den unter diesen Umständenin Betracht zu ziehenden Ereignissendie Einhaltung der jeweiligensicherheitstechnischen Nachweiszieleund Nachweiskriterien sichergestelltgewährleistet ist.

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)3.1 (6c) Kombinationen von störfallauslösendenEreignissen auf Grund eingeschränkterPrüfbarkeit mit sonstigenstörfallauslösenden Ereignissenoder gemeinsame Ausfälle vongleichartigen und gleichartig belastetenEinrichtungen mit eingeschränkterPrüfbarkeit werden unterstellt,sofern nicht nachgewiesenist, dass durch in Ziffer 3.1 (6b)genannte Maßnahmen sicherheitstechnischbedeutsame ZustandsundFunktionsbeeinträchtigungenausgeschlossen sind.622 Waas,FANPEs gibt hier in den BMI-Sicherheitskriterienoder auch in den Interpretationen dazu mehrfachAussagen zu dem Thema Kombination.Ich erinnere an das Sicherheitskriterium 2.6,wo gesagt wird, was da zu unterstellen ist.Das ist auch unter dem Aspekt der Eintrittswahrscheinlichkeitzu bewerten. Das ist natürlichrichtig, dass da keine quantitativeVorgabe gemacht wird, aber es wird ebenganz klar in dem bisherigen Regelwerk angesprochenoder vorgegeben, welche Aspektein einer Überlegung oder Bewertung einzubeziehensind. Soll das jetzt entfallen?Aber das würde bedeuten, dass, wie in derPraxis häufig der Fall war, bestimmte Kombinationen,ich sage jetzt einmal eine Hausnummer,die liegen nur zwei Stunden vor.Das spielte dann besonders eine Rolle beiseltenen, sehr seltenen Ereignissen wie einFlugzeugabsturz oder so etwas. Das gesagtwurde, wenn eine bestimmte Kombinationnur zwei Stunden vorliegt, dann brauche ichgerade bei seltenen auslösenden Ereignissennicht eine Überlagerung zu unterstellen.Das ist also ganz klar eine Wahrscheinlichkeitsaussage.Hier würde jetzt drin stehen:man muss das überlagern, wenn man nichtnachweisen kann, dass diese eingeschränktePrüfbarkeit oder was auch immer das ist,wenn man nicht nachweisen kann, dass dieFunktionsbeeinträchtigung ausgeschlossenist. Also, das ist inhaltlich eine Veränderung.Da sind zum Beispiel auch die ganzen Reparaturzeitregelungenbetroffen.Team 1: Dem Kommentar wird gefolgt. Eswird allerdings die diesbezügliche Formulierungaus Ziffer 7.2 (2) wortgleich übernommen.3.1 (106c) Kombinationen von störfallauslösendenEreignissen auf Grund eingeschränkterPrüfbarkeit mit sonstigen störfallauslösendenEreignissen oder gemeinsameAusfälle von gleichartigen und gleichartigbelasteten Einrichtungen mit eingeschränkterPrüfbarkeit werden unterstellt,sofern nicht bestätigt nachgewiesenist,- dass durch in Ziffer 3.1 (106b) genannteMaßnahmen sicherheitstechnischbedeutsame ZustandsundFunktionsbeeinträchtigungenausgeschlossen sind, oder.- dass ihr gleichzeitiges Eintreten aufGrund von Wahrscheinlichkeitsbetrachtungenoder nach dem Standvon Wissenschaft und Technik nichtunterstellt werden muss.3.1 (7) Die Zuverlässigkeit und Wirksamkeitder Maßnahmen und Einrichtungen502 FANP Modul 1 Details - DurchgängigkeitDort stehen nur Bruchstücke vom EF- Kon-1253.1 (57) Die Zuverlässigkeit und Wirksamkeitder Maßnahmen und Einrichtungen der

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)der Sicherheitsebene 3, einschließlichder Hilfs- und Versorgungssysteme,ist bei Anforderung auch beiggf. zusätzlichen störfallbedingtenFolgeausfällen, bei gleichzeitigembzw. zeitlich versetztem Ausfall derEigenbedarfsversorgung sowie beiden Ausfallannahmen gemäß demEinzelfehlerkonzept nach Ziffer 3.1(3) sichergestellt.zept.Team 1: Eine vollständige Darstellung desEFK in Modul 1 ist u. E. nicht passend. InModul 1 wird die übergeordnete Anforderung„Einzelfehlerfestigkeit unter Berücksichtigungder Instandhaltung“ eingeführt. Es sprichtu. E. nichts dagegen, weitere Details in Modul10 aufzuführen.Ergänzung des 1. Spiegelstrichs, da derAspekt der „Störfallfestigkeit“ auch in Modul 1eingeführt werden soll.Sicherheitsebene 3, einschließlich derHilfs- und Versorgungssysteme, ist beiAnforderung auch sichergestellt- bei allen bei den Ereignisabläufenzu unterstellenden Bedingungen,- bei ggf. zusätzlichen störfallbedingtenFolgeausfällen,- bei gleichzeitigem oder bzw. zeitlichversetztem Ausfall der Eigenbedarfsversorgungsowie- bei den Ausfäallannahmen gemäßdem Einzelfehlerkonzept nach Ziffer3.1 (43). sichergestellt.622 Noack,RWE PowerTeam 1Warum jetzt der Ausfall der Eigenbedarfsversorgungzeitlich versetzt angenommen wird,das war in der bisherigen Praxis auch nichtüblich. Könnten Sie dazu noch etwas sagen?Team 1: Zielsetzung der Formulierung ist es,ereignisbedingt möglicherweise auftretendezeitliche Verzögerungen im Ausfall der Eigenbedarfsversorgungzu erfassen. Dieskann z. B. nach Eintritt eines KMV-Störfallszu „schärferen“ Anforderungen führen als dergleichzeitige Ausfall (ggf. für die Notstromversorgungbzgl. der Anforderungen an dasZuschaltprogramm, aber noch wichtiger fürdie zeitlichen Einsatzbedingungen der Notkühlpumpen).Eine entsprechende Anforderungwar auch schon im bestehenden Regelwerkenthalten.Ergänzungen zur Frage des Zusammenwirkensdes Postulats „Ausfall der 1. Reaktorschutz-bzw. RESA-Anregung“ mit demEinzelfehlerkonzept.1263.1 (6) Bei der Analyse von Ereignissen derSicherheitsebene 3 wird grundsätzlichdie Nichtberücksichtigung der erstenAnregung des Reaktorschutzsystemsbzw. der ersten Anregung der Reaktorschnellabschaltungunterstellt, sofernnicht aus physikalisch-technischenGründen nur ein Anregekriterium verfügbarist.

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Bei unterstellter Nichtberücksichtigungder ersten Anregung wird das gleichzeitigeAuftreten eines Einzelfehlers gemäßZiffer 3.1 (4) an aktiven Systemteilenunterstellt, nicht jedoch bei gleichzeitigemInstandhaltungsfall.Team 1Verlagerung und Verallgemeinerung derZiffer 3.2 (7d) an diese Stelle.3.1 (7) In Betriebsphasen außerhalb der BetriebsphasenA und B, in denen Teileder Sicherheitseinrichtungen planungsgemäßnicht verfügbar sind, ist diezuverlässige und wirksame Beherrschungfür die in diesen Phasen zuunterstellenden Ereignisse unter diesenBedingungen gewährleistet.3.1 (8) Die Maßnahmen und Einrichtungender Sicherheitsebene 4a erfüllenfolgende Anforderungen:a) sicherheitstechnisch nachteiligeAuswirkungen auf Maßnahmenund Einrichtungen vorgelagerterSicherheitsebenen sind ausgeschlossen;b) bei Notstandsfällen: Gewährleistungeiner verfahrenstechnischenAutarkie des Notstandssystemsim Hinblick auf alleKühl- und Betriebsmittel, dienotwendig sind, um die Anlagein einen sicheren Zustand zubringen und darin zu halten,mindestens für 10 Stunden;c) bei Notstandsfällen: Automatisierung(von Hand auszulösendeNotstandsmaßnahmen finden inder Ereignisanalyse nicht vorAblauf von 30 Minuten Berücksichtigung).502 FANP Modul 1 Details - DurchgängigkeitNotstandssystem: Definierter Begriff?c) bei Notstandsfällen: Automatisierung (vonHand auszulösende Notstandsmaßnahmenfinden in der Ereignisanalyse nicht vor Ablaufvon 30 Minuten Berücksichtigung). Dies istunüblich.Team 1: Einheitlich wird anstelle von Notstandssystemin Revision B „Notstandseinrichtungen“verwendet (Definition: sieheBegriffsdefinitionen).Ziffer c) wird gestrichen (siehe hierzu jedochdie Umsetzung der Anforderung der RSK-LL,19.1(8) zum „Flugzeugabsturz“ in Modul 10,Ziffer 1.1.1.4 (2)).3.1 (8) Die Maßnahmen und Einrichtungen derSicherheitsebene 4a erfüllen folgendeAnforderungen:a) sicherheitstechnisch nachteiligeAuswirkungen auf Maßnahmen undEinrichtungen der vorgelagerter Sicherheitsebenen1 bis 3 sind ausgeschlossen;b) bei Notstandsfällen ist die : Gewährleistungeiner verfahrenstechnischenAutarkie ders Notstandseinrichtungensystemsim Hinblick aufalle Kühl- und Betriebsmittel, dienotwendig sind, um die Anlage ineinen sicheren Zustand zu bringenund darin einem sicheren Zustandzu halten, mindestens für 10 Stundensichergestellt.;c) bei Notstandsfällen: Automatisierung(von Hand auszulösende Notstandsmaßnahmenfinden in derEreignisanalyse nicht vor Ablaufvon 30 Minuten Berücksichtigung).127

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)585 ESN Änderungsvorschlag: Zu 3.1 (8) c)Die Vorgabe, dass bei Notstandsfällen Maßnahmennicht vor Abaluf von 30 MinutenBerücksichtigung finden, steht im diametralenWiderspruch zu der im Abschnitt b) enthaltenenForderung nach einer 10 h-Autarkieund ist insofern zu streichen.Team 1: Ziffer c) wird gestrichen im Hinblickauf eine Generalisierung des 30-MinutenKriteriums für die Automatisierung bei Notstandsfällen.Entsprechend den Anforderungenvon Modul 10 gilt dieses Kriterium aberweiter für die Beherrschung von Flugzeugabsturzund Explosionsdruckwelle. Der Widerspruchim Kommentar wird von uns nicht sogesehen, da die 10h Autarkie sich auf dieSchutzbedürftigkeit der technischen Einrichtungenund die Bereitstellung mit Medien(u. a. Speisewasser, Dieseltreibstoff) beziehtund die 30 Minuten auf die Verfügbarkeit vonPersonen für Handlungen (z. B. von derNotsteuerstelle aus).3.1 (9) Die Maßnahmen und Einrichtungendes anlageninternen Notfallschutzessind wirksam und mit dem vorhandenenSicherheitskonzept verträglich.Sie richten sich an dem Potentialder von der Anlagentechnik gegebenenMöglichkeiten aus.Team 1 Angleichung an Formulierungen in Modul 7. 3.1 (9) Die Maßnahmen und Einrichtungen desanlageninternen Notfallschutzes sindbei allen bei ihrer Planung zu Grundegelegten Ereignisabläufen und Phänomenenwirksam und mit dem vorhandenenSicherheitskonzept verträglich.Die Maßnahmen des anlageninternenNotfallschutzes Sie richten sich aus anden dem Potential der von der Anlagentechnikgegebenen Möglichkeiten aus.3.1 (10) Das Kernkraftwerk besitzt einfache,deutlich und dauerhaft gekennzeichneteund ausfallsicher beleuchteteFlucht- und Rettungswege. Essind geeignete Alarmeinrichtungenund Kommunikationsmittel vorhanden,durch die allen in der Anlage585 ESN Änderungsvorschlag: Die hier definiertenAnforderungen stehen hinter dem derzeitigenStand der Technik zurück. So ist es nichtabdeckend, nur für eine zentrale Stelle ausreichendeKommunikations- und Alarmierungseinrichtungenzu fordern. Insbesonderein den Ebenen 4a/ b/c sind zusätzlich zur1283.1 (10) Das Kernkraftwerk besitzt einfache,deutlich und dauerhaft gekennzeichneteund ausfallsicher beleuchtete FluchtundRettungswege. Es sind geeigneteAlarmeinrichtungen und Kommunikationsmittelvorhanden, durch die allen inder Anlage anwesenden Personen von

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)anwesenden Personen von mindestenseiner zentralen Stelle aus Anweisungenfür das Verhalten beiStörfällen gegeben werden können.Die für die Sicherheit auf den Sicherheitsebenen1 bis 4 erforderlicheKommunikation innerhalb desKernkraftwerkes und nach außerhalbist jederzeit gewährleistet.Warte auch für die Not- /bzw. Teilsteuerstelleund die Ausweichstelle entsprechende Anforderungenzu stellen.Team 1: Anforderung wird nach Modul 10verlagert.mindestens einer zentralen Stelle ausAnweisungen für das Verhalten beiStörfällen gegeben werden können. Diefür die Sicherheit auf den Sicherheitsebenen1 bis 4 erforderliche Kommunikationinnerhalb des Kernkraftwerkesund nach außerhalb ist jederzeit gewährleistet.3.1.(11) Für den sicheren Betrieb einer Anlagesind schriftliche Anweisungenerstellt,a) in denen die für die Sicherheitsebenen1 bis 4 erforderlichenGrenzwerte und Bedingungen,technischen Handlungen undAnweisungen sowie organisatorischenAbläufe vorgeschriebenwerden,b) in denen die erforderlichen wiederkehrendenPrüfungen an sicherheitstechnischwichtigenMaßnahmen und Einrichtungenfestgelegt sind.585 ESN Änderungsvorschlag: Zu 3.1 (11) / (12)Die Zuordnung dieser Anstriche zum Punkt"technische Anforderungen" ist unklar, da essich doch um typische administrative Forderungenhandelt.Team 1: Dem Kommentar wird gefolgt unddie Anforderung nach Abschnitt 8 Ziffer (4)Rev. B verlagert.3.1.(11) Für den sicheren Betrieb einer Anlagesind schriftliche Anweisungen erstellt,a) in denen die für die Sicherheitsebenen1 bis 4 erforderlichen Grenzwerteund Bedingungen, technischenHandlungen und Anweisungensowie organisatorischen Abläufevorgeschrieben werden,b) in denen die erforderlichen wiederkehrendenPrüfungen an sicherheitstechnischwichtigen Maßnahmenund Einrichtungen festgelegtsind.622 Noack,RWE PowerIch habe da nach wie vor meine oft geäußertenZweifel bezüglich der Erkenntnisunsicherheitenauf der Sicherheitsebene 4c.Können Sie an Beispielen darlegen, welcheGrenzwerte und Bedingungen Sie sich dafüreinen Kernschmelzfall vorstellen? An Handwelcher Kriterien Sie die festlegen würden?Da bleiben sehr viele offene Fragen für mich.Ich wüsste nicht, wie man das in der Sicherheitsebene4c handhaben sollte.Team 7: Für den Fall des Eintretens vonAnlagenzuständen der Sicherheitsebene 4csollen Notfallstrategien, Notfallprozedurenund Handlungsempfehlungen erstellt sein.129

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Kriterien für die Entscheidung zwischen Notfallmaßnahmen/NotfallprozedurenoderHandlungsempfehlungen sind darin festzulegen.(Begriffsdefinitionen siehe Modul 7,Revision B). Allerdings werden die Ebenen4b und 4c in dieser Ziffer gestrichen, dahierbei nicht mehr vom „sicheren Betrieb“gesprochen werden kann. Die entsprechendenRegelungen sind in Modul 7 aufgeführt.622 Micklinghoff,VGB622 Waas,FANPWenn das in dem Sinne zu verstehen wäre,soweit möglich, Kriterien oder Bedingungenhinzuschreiben für die Sicherheitsebene 4bund 4c, dann ist das sicher vernünftig. Aberes darf nicht herauskommen, dass man jetztGrenzwerte festschreibt und wenn die überschrittenwerden, dann stimmt irgend etwasnicht. Es ist ja ganz bewusst zum Beispielnicht vorgesehen, wenigstens kenne ich dasbisher nicht, in der Strahlenschutzverordnungradiologische Grenzwerte für den Bereich derSicherheitsebene 4 festzulegen. Da gibt esZiele oder Prinzipien aber keine Grenzwerte.Team 7: Siehe Antwort auf vorhergehendenKommentar.Würden Sie einen Unterschied machen zwischenNotfallstrategien auf der Sicherheitsebene4b und der Sicherheitsebene 4c? Sowie das jetzt angesetzt wird, haben wir allmählichein Problem für das Personal. Wirhaben also das Betriebshandbuch ereignisorientiert,schutzzielorientiert. Dann kriegenwir Notfallmaßnahmen und Notfallstrategienauf der Sicherheitsebene 4b. Und jetzt kriegenwir noch zusätzlich Notfallstrategien aufder Sicherheitsebene 4c. Da kann man nursagen, hoffentlich weiß das Personal hinterher,in welcher Ebene es ist, damit sie dasrichtige Buch aufschlagen müssen. Zwischender Sicherheitsebene 4b und 4c findet eigentlichein gleitender Übergang statt. Ich130

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)kenne das nicht bei allen Anlagen, aber dawo ich es kenne, ist auch das, was für dieEbene 4b geschrieben ist, für den Krisenstab.Grundsätzlich ist erst einmal derSchichtleiter, dann der Leiter des Krisenstabsbis ein anderer, der diese Funktion erfüllt, daist.Team 7: Die Begriffsdefinitionen und diedamit zusammenhängende Struktur desanlageninternen Notfallschutzes sowie Festlegungenzu Zuständigkeiten wurden auf derGrundlage der diesbezüglichen Kommentierungder RSK zu Modul 7 überarbeitet. Demnachsind Notfallmaßnahmen und Handlungsempfehlungen(vormals „Notfallstrategien“in Revision A) auf den Sicherheitsebenen4b und 4c vorgesehen. Weiter Ausführungensiehe Modul 7.622 Rubbel,NUMNur eine Frage: können Sie sich für die Sicherheitsebene1 auch irgendeine einschränkendePräzisierung vorstellen? Wirhaben das gestern schon debattiert. Das istdoch zum großen Teil von der Bedeutung fürdie Sicherheit doch letztendlich noch einmalwieder einzugrenzen. Vieles sind betrieblicheSysteme, da gibt es natürlich alles Mögliche,aber wir sind bei der Konkretisierung derAnforderungen an die Schadensvorsorge.Team 1: Modul 1 gilt insgesamt nur für sicherheitstechnischrelevante, im Sinne vonZiffer 2.1 (1), Maßnahmen und Einrichtungen.Eine entsprechende Ergänzung wirdvorgenommen (siehe in Abschnitt 8, Ziffer 8(4)).3.1 (12) Auf der Sicherheitsebene 4c sindzusätzlich Notfallstrategien zur Unterstützungdes anlageninternenKrisenstabs zur Verfügung gestellt,in denen die Einsatzmöglichkeitenvon verfügbaren Maßnahmen undTeam 1 Inhalte sind in Modul 7 geregelt. 3.1 (12) Auf der Sicherheitsebene 4c sind zusätzlichNotfallstrategien zur Unterstützungdes anlageninternen Krisenstabszur Verfügung gestellt, in denen dieEinsatzmöglichkeiten von verfügbarenMaßnahmen und Einrichtungen zur131

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Einrichtungen zur Schadensbegrenzungbei Unfällen mit schwerenKernschäden und zur Überführungder Anlage in einen langfristig kontrollierbarenZustand dargestelltsind.Schadensbegrenzung bei Unfällen mitschweren Kernschäden und zur Überführungder Anlage in einen langfristigkontrollierbaren Zustand dargestelltsind.3.2 Leittechnik 593 Bandholz,RSK3.2 (1) Im Kernkraftwerk sind betrieblicheSteuer- und Regeleinrichtungen derSicherheitsebene 1 vorgesehen, dieso ausgelegt und betrieben werden,dass auch ohne Inanspruchnahmeder Einrichtungen der Sicherheitsebene2 ein möglichst störungsfreierBetrieb der Anlage gewährleistet ist.3.2 (2) Im Kernkraftwerk sind in der Sicherheitsebene2 leittechnische Einrichtungenvorgesehen, die geeignetsind, eine Anforderung an dieSchutzaktionen der Sicherheitsebene3 zu vermeiden.Sie haben darauf hingewiesen, das ist dieSchnittstelle zwischen zwei Teams, ich würdesagen, das ist zwischen vier Teams eineSchnittstelle. Aber fangen wir mit Modul 1mal an, da steht unabhängig von den ganzenDefinitionen aus Modul 5, wird hier noch dasWort „Reaktorschutzsystem“ usw. verwendet,was sicherlich im weiteren Prozesses angeglichenwird an die Terminologie.Team 5: Der Begriff Reaktorschutz wird inden Modulen (Revision B) synonym verwendetmit der Definition „Leittechnische Einrichtungenfür Leittechnik-Funktionen der KategorieA“.1323.2 Leittechnik3.2 (1) Das Im Kernkraftwerk ist mit sind betrieblichenSteuer- und Regeleinrichtungenmit Funktionen auf der Sicherheitsebene1 ausgerüstet, vorgesehen,die so ausgelegt sind und betriebenwerden, dass auch ohne Inanspruchnahmevon der Einrichtungen der Sicherheitsebene2 ein möglichst störungsfreierBetrieb der Anlage gewährleistetist.3.2 (2) Das Im Kernkraftwerk ist mit sind leittechnischenEinrichtungen mit Funktionenauf in der Sicherheitsebene 2 leittechnischeEinrichtungen vorgesehenausgerüstet,die geeignet sind, beiEreignissen der Sicherheitsebene 2eine Anforderung an die Schutzaktionender Sicherheitsebene 3 zu vermei-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)den.3.2 (3) Das Kernkraftwerk hat Überwachungs-und Meldeeinrichtungen,die auf den Sicherheitsebenen 1 bis4a jederzeit einen ausreichendenÜberblick über den sicherheitsrelevantenZustand der Anlage und dieablaufenden relevanten Prozesseermöglichen und alle sicherheitstechnischwichtigen Betriebsparameterregistrieren können.Es sind Gefahrenmeldeeinrichtungenvorhanden, die Veränderungendes Betriebszustandes, aus denensich eine Verminderung der Sicherheitergeben könnte, so frühzeitiganzeigen, dass die Einhaltung derjeweiligen sicherheitstechnischenNachweisziele gewährleistet werdenkann.3.2 (4) Das Kernkraftwerk hat eine Störfallinstrumentierung,die bei Ereignisabläufenund Anlagenzuständen derSicherheitsebenen 3 und 41. ausreichende Informationenüber den Zustand der Anlage liefert,um die erforderlichenSchutzmaßnahmen für Personalund Anlage bzw. Maßnahmendes anlageninternen Notfallschutzesergreifen und ihreWirksamkeit feststellen zu können,2. Hinweise auf den Verlauf desEreignisses gibt und seine Dokumentationermöglicht,3. eine Abschätzung der Auswir-3.2 (43) Das Kernkraftwerk hat ÜberwachungsundMeldeeinrichtungen, die auf denSicherheitsebenen 1 bis 4a jederzeiteinen ausreichenden Überblick überden sicherheitsrelevanten Zustand derAnlage und die ablaufenden relevantenProzesse ermöglichen und alle sicherheitstechnischwichtigen Betriebsparameterregistrieren können.Es sind Gefahrenmeldeeinrichtungenvorhanden, die Veränderungen desBetriebszustandes, aus denen sich eineVerminderung der Sicherheit ergebenkönnte, so frühzeitig anzeigen, dass dieEinhaltung der jeweiligen sicherheitstechnischenNachweisziele gewährleistetwerden kann.3.2 (54) Das Kernkraftwerk hat eine Störfallinstrumentierung,die bei Ereignisabläufenund Anlagenzuständen der Sicherheitsebenen3 und 41. ausreichende Informationen überden Zustand der Anlage liefert, umdie erforderlichen Schutzmaßnahmenfür Personal und Anlage bzw.Mdie geplanten Notfallmaßnahmendes anlageninternen Notfallschutzesergreifen und ihre Wirksamkeitfeststellen zu können,2. Hinweise auf den Verlauf des Ereignisablaufsesgibt und die seineDokumentation des Ereignisses ermöglicht,3. eine Abschätzung der Auswirkun-133

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)kungen auf die Umgebung gestattet.gen auf die Umgebung gestattet.3.2 (5) Auf den Sicherheitsebenen 4b und4c dürfen Maßnahmen des anlageninternenNotfallschutzes Vorrang vorkonkurrierenden Aktionen des Reaktorschutzesund vor Verriegelungenhaben. Eingriffe in den Reaktorschutzsind daher erlaubt, wennMaßnahmen des anlageninternenNotfallschutzes dies erfordern.593 Bandholz,RSKHier steht zum Beispiel, dass auf der Sicherheitsebene4c Eingriffe in den Reaktorschutzerlaubt sind und die Maßnahmen des anlageninternenNotfallschutz Vorrang vor demReaktorschutz haben. Wenn Sie dann versuchen,ihren Textvorschlag in die Systematikeiner solchen Leittechnikfunktion der KategorieA einzufügen, also, dass eine Kategorie Aim Normalbetrieb von der Wertigkeit her eineKategorie A Notfallschutz unterliegt, also vonihr dominiert wird, da tut man sich sehrschwer, Ihre Prozessvariablen einzuordnen.Insofern würde ich sagen, sollte man sich dieWeiterführung dieses Textvorschlags auf derEbene 4b und 4c noch einmal gut überlegen.Zumal es auf der Ebene 4c, wie wir im Modul7 festgestellt haben, dann auch keine Maßnahmenmehr gibt.Team 5: Diese Ziffer stellt keine Anforderungan die Auslegung der Leittechnik dar, sondernerlaubt bei der Planung von NotfallmaßnahmenEingriffe in die Leittechnik. Eineunterschiedliche Wertigkeit der Einrichtungenist daraus nicht abzuleiten. Siehe hierzu auchModul 7 Ziffer 3.1 (9) Revision B.3.2 (65) Auf den Sicherheitsebenen 4b und 4cdürfen Maßnahmen des anlageninternenNotfallschutzes Vorrang vor konkurrierendenAktionen der vorgelagertenSicherheitsebenen des Reaktorschutzesund vor Verriegelungen haben.Eingriffe in Einrichtungen, die aufden Sicherheitsebenen 1 bis 4a Leittechnikfunktionenausführen, den Reaktorschutzsind daher erlaubt, wennMaßnahmen des anlageninternen Notfallschutzesdies erfordern.3.2 (6) Die leittechnischen Einrichtungen,die im Rahmen von Maßnahmendes anlageninternen Notfallschutzesverwendet werden sollen, sind soausgelegt, dass sie ihre geplantenLeittechnikfunktionen unter den sichfür die jeweilige Leittechnikfunktionaus der Ereignisablaufanalyse ergebendenUmgebungsbedingungenmit ausreichender Zuverlässigkeiterfüllen können.593 Bandholz,RSKWenn Sie das Modul 1 vergleichen, da isteindeutig gesagt, dass diese Funktionalitäten,die in Modul 5 beschrieben sind, für dieUmgebungsbedingungen auszulegen sind,die sich aus der Analyse ergeben. Wir verbindennämlich die Anforderungen an dieLeittechnik Kategorie A mit der Ebene 4c,fordern eine hohe Zuverlässigkeit und das imRahmen der zugrunde liegenden Umgebungsbedingungen.Da sage ich einfach nur,da häuft man zu viele Forderungen aufeinander.Diese Funktionalitäten kann man so3.2 (6) Die leittechnischen Einrichtungen, dieim Rahmen von Maßnahmen des anlageninternenNotfallschutzes verwendetwerden sollen, sind so ausgelegt, dasssie ihre geplanten Leittechnikfunktionenunter den sich für die jeweilige Leittechnikfunktionaus der Ereignisablaufanalyseergebenden Umgebungsbedingungenmit ausreichender Zuverlässigkeiterfüllen können.134

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)nicht erbringen. In 3.2 (6) / M1 steht, dass dieUmgebungsbedingungen zusätzlich erfülltwerden können. Also die einzelnen Anforderungensind durchaus schlüssig und nachvollziehbar,nur wenn Sie sie übereinanderfalten, kommen Sie dahin, dass Sie einediversitäre Anregung 3-kanalig in Kategorie AAuslegung für den Fall Kernschmelzebräuchten.Team 1: Die Anforderungen an die Leittechnikfunktionenfür die vorgeplanten Notfallmaßnahmenauf der Sicherheitsebene 4bbzw. 4c sind in Modul 5 (Rev. B) 3.4 formuliert.Ziffer 3.2 (6) wird in Modul 1 gestrichen.3.2 (7) Das Kernkraftwerk ist mit einemzuverlässigen Reaktorschutzsystem(Leittechnikfunktion der Sicherheitsebene3) ausgerüstet, das bei Erreichenfestgelegter AnsprechwerteSchutzaktionen auslöst.Team 5Texte wurden in die neue Ziffer 3.2 (3) verschobenund die Begriffe wurden mit Modul 5abgestimmt.3.2 (37) Das Kernkraftwerk ist mit einem zuverlässigenleittechnischen Einrichtungenmit Funktionen auf der Sicherheitsebene3 ausgerüstet (Reaktorschutzsystem),deren (Leittechnikfunktionen derSicherheitsebene 3) ausgerüstet, dasbei Erreichen festgelegter AnsprechwerteSchutzaktionen auslösent.3.2 (7a) Das Reaktorschutzsystem ist zuverlässignach folgenden Grundsätzenausgelegt:- redundante Auslegung vonKomponenten, Baugruppen undUntersystemen,- räumlich getrennte Installationentsprechend dem Wirkungsbereichmöglicher versagensauslösenderEreignisse,- Diversität,- selbsttätige Überwachung aufeinen Ausfall hin,- Anpassung der Komponenten andie möglichen Umgebungsbe-3.2 (7a) Diese Einrichtungen sind Das Reaktorschutzsystemist zuverlässig nachfolgenden Grundsätzen ausgelegt:- redundante Auslegung von Komponenten,Baugruppen und UnterTeilsystemen,- räumlich getrennte Installation entsprechenddem Wirkungsbereichmöglicher versagensauslösenderEreignisse,- Diversität,- selbsttätige Überwachung auf einenAusfall hin,- Anpassung der Komponenten andie möglichen Umgebungsbedin-135

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)dingungen,- einfache Struktur der Software,- Begrenzung des Funktionsumfangsauf das sicherheitstechnischnotwendige Maß.gungen,- einfache Struktur der Software,- Begrenzung des Funktionsumfangsauf das sicherheitstechnisch notwendigeMaß,.- Einsatz fehlervermeidender, fehlerentdeckenderund fehlerbeherrschenderMaßnahmen und Einrichtungen.3.2 (7b) Das Reaktorschutzsystem ist soausgelegt, dass Schutzaktionengrundsätzlich automatisch ausgeführtwerden. Nur wenn gewährleistetist, dass vom Zeitpunkt des Erkennenseines zu einem Störfallführenden Ereignisablaufes bisAuslösung der zur Beherrschungnotwendigen Schutzaktion eineausreichend große Zeitspanne(Richtzeit 30 Minuten) für die Entscheidungsfindungund für dieDurchführung der Schutzaktiondurch das Personal zur Verfügungsteht, dürfen notwendige Schutzaktionenauch von Hand ausgelöstwerden.599 UM BW Die Auslegungsanforderung muss so formuliertsein, dass über 30 Minuten nach Störfalleintrittkeine Handmaßnahmen erforderlichsind. Eine Art „Verbot“ von Handmaßnahmen,wie es hier formuliert ist, ist nichtsicherheitsgerichtet.Team 1: Hier geht es um die Auslegungsanforderungfür die leittechnischen Einrichtungenfür die Funktionen der Kategorie A. Dieentsprechende Anforderung im Modul 5berücksichtigt sinngemäß den Kommentar.Die Anforderung wird im Modul 1 gestrichen,weil gleicher Sachstand im Modul 5 detaillierterund präziser formuliert ist und dem imKommentar genannten Aspekt Rechnungträgt.3.2 (7b) Das Reaktorschutzsystem ist so ausgelegt,dass Schutzaktionen grundsätzlichautomatisch ausgeführt werden. Nurwenn gewährleistet ist, dass vom Zeitpunktdes Erkennens eines zu einemStörfall führenden Ereignisablaufes bisAuslösung der zur Beherrschung notwendigenSchutzaktion eine ausreichendgroße Zeitspanne (Richtzeit 30Minuten) für die Entscheidungsfindungund für die Durchführung der Schutzaktiondurch das Personal zur Verfügungsteht, dürfen notwendige Schutzaktionenauch von Hand ausgelöst werden.3.2 (7c) Die Reaktorschnellabschaltung kannjederzeit von Hand ausgelöst werden.Team 5Text wird inhaltlich nach Modul 5 verlagertund im Modul 1 gestrichen (Modul 5 Teil 1Abs. 3.2 (15): Die Reaktorschnellabschaltungkann jederzeit von Hand ausgelöst werden.3.2 (7c) Die Reaktorschnellabschaltung kannjederzeit von Hand ausgelöst werden.3.2 (7d) In Betriebsphasen außerhalb derBetriebsphasen A und B, in denenTeile der Sicherheitsleittechnik planungsgemäßnicht verfügbar sind,ist die zuverlässige und wirksameStörfallbeherrschung für die in diesenPhasen zu unterstellendenTeam 1Team 5Anforderung gilt nicht nur für Leittechnik undist daher in Abschnitt 3.1, dort Ziffer 3.1 (7)verlagert und verallgemeinert worden.Verlagerung nach Modul 5 sowie Begriffsanpassung,da der Begriff „Sicherheitsleittechnik“nicht mehr verwendet wird (Text Modul 53.2 (7d) In Betriebsphasen außerhalb der BetriebsphasenA und B, in denen Teileder Sicherheitsleittechnik planungsgemäßnicht verfügbar sind, ist die zuverlässigeund wirksame Störfallbeherrschungfür die in diesen Phasen zuunterstellenden Ereignisse unter diesen136

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Ereignisse unter diesen Bedingungengewährleistet.Teil 1 Ziffer 3.2 (16): In Betriebsphasen außerhalbder Betriebsphasen A und B, in denenTeile von Leittechnikfunktionen der KategorieA planungsgemäß nicht verfügbarsind, ist die zuverlässige und wirksame Störfallbeherrschungfür die in diesen Phasen zuunterstellenden Ereignisse unter diesenBedingungen gewährleistet.“Bedingungen gewährleistet.3.2 (8) Für jedes vom Reaktorschutzsystemzu beherrschende Ereignis stehengrundsätzlich mindestens zwei Anregungskriterienzur Verfügung. AlsAnregungskriterien sind soweit wiemöglich verschiedene physikalischeGrößen herangezogen. Prozessvariable,die aus anderen Größenabgeleitet sind oder erst im Zusammenwirkenmit weiteren Prozessvariablen(z.B. UND- Verknüpfungen)die Anregungskriterien für Schutzaktionenergeben, werden als eineGröße gewertet. Ist die Forderungnach grundsätzlich zwei Anregungskriteriennicht zu erfüllen, weil z.B.nur eine physikalische Größe zurVerfügung steht, so ist die Messwerterfassungder allein herangezogenenGröße im Verhältnis zurMesswerterfassung der übrigenGrößen entsprechend sicherheitstechnischhöherwertig aufgebaut.Team 5Text wird in Modul 1 gestrichen, da inhaltlichdurch die Anforderungen im Modul 5 Abschnitt5 (2) abgedeckt.3.2 (8) Für jedes vom Reaktorschutzsystem zubeherrschende Ereignis stehen grundsätzlichmindestens zwei Anregungskriterienzur Verfügung. Als Anregungskriteriensind soweit wie möglich verschiedenephysikalische Größen herangezogen.Prozessvariable, die ausanderen Größen abgeleitet sind odererst im Zusammenwirken mit weiterenProzessvariablen (z.B. UND- Verknüpfungen)die Anregungskriterien fürSchutzaktionen ergeben, werden alseine Größe gewertet. Ist die Forderungnach grundsätzlich zwei Anregungskriteriennicht zu erfüllen, weil z.B. nureine physikalische Größe zur Verfügungsteht, so ist die Messwerterfassungder allein herangezogenen Größeim Verhältnis zur Messwerterfassungder übrigen Größen entsprechendsicherheitstechnisch höherwertig aufgebaut.3.2 (9) Das Reaktorschutzsystem wird vonden leittechnischen Einrichtungender Sicherheitsebenen 1 und 2 soweit unabhängig ausgeführt, dassbei auftretenden Störungen (bspw.Softwareversagen oder Ausfälle vonEinrichtungen der Sicherheitsebenen1 und 2) die Wirksamkeit undTeam 5Text wird in Modul 1 gestrichen, da er inhaltlichdurch die modifizierten Anforderungen imModul 5 Abschnitt 6 (5) abgedeckt (TextModul 5 Abschnitt 6 (5): Die leittechnischenEinrichtungen, die Leittechnikfunktionen derKategorien A bis C ausführen, sind voneinanderso unabhängig, dass bei versagensauslösendenEreignissen in den Einrichtun-3.2 (9) Das Reaktorschutzsystem wird von denleittechnischen Einrichtungen der Sicherheitsebenen1 und 2 so weit unabhängigausgeführt, dass bei auftretendenStörungen (bspw. Softwareversagenoder Ausfälle von Einrichtungender Sicherheitsebenen 1 und 2) dieWirksamkeit und Zuverlässigkeit des137

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Zuverlässigkeit des Reaktorschutzsystemserhalten bleibt.gen sicherheitstechnisch niederwertigererKategorie die Funktionen der sicherheitstechnischhöherwertigeren Kategorie ohneEinschränkungen bei der Wirksamkeit undZuverlässigkeit der Funktionen erhalten bleiben).Reaktorschutzsystems erhalten bleibt.3.2 (10) Die mechanischen und elektrischenGeräte der Messkanäle des Reaktorschutzsystemswerden grundsätzlichnicht für Funktionen imRahmen der Reaktorregelung verwendet.Ausnahmen sind nur zulässig,wenn sie auf Grund der technischenEigenart des Reaktorschutzsystemsoder der Mess-, SteuerundRegelsysteme erforderlich sind,und wenn gewährleistet ist, dassdas Reaktorschutzsystem in seinensicherheitstechnischen Funktionendadurch nicht beeinträchtigt wird.Team 5Text wird in Modul 1 gestrichen, da inhaltlichdurch die Anforderungen im Modul 5 Ziffer3.2 (9) abgedeckt.3.2 (10) Die mechanischen und elektrischenGeräte der Messkanäle des Reaktorschutzsystemswerden grundsätzlichnicht für Funktionen im Rahmen derReaktorregelung verwendet. Ausnahmensind nur zulässig, wenn sie aufGrund der technischen Eigenart desReaktorschutzsystems oder der Mess-,Steuer- und Regelsysteme erforderlichsind, und wenn gewährleistet ist, dassdas Reaktorschutzsystem in seinensicherheitstechnischen Funktionendadurch nicht beeinträchtigt wird.3.2 (11) Redundante Teile des Reaktorschutzsystemsbesitzen grundsätzlichvoneinander unabhängige Einrichtungenzur Messwerterfassungund Signalverarbeitung. Verknüpfungsstellenverschlechtern dieRedundanz und Auslösesicherheitdes Systems nicht.Team 5Text wird in Modul 1 gestrichen, da inhaltlichdurch die Anforderungen im Modul 5 Ziffer 6(2) abgedeckt.3.2 (11) Redundante Teile des Reaktorschutzsystemsbesitzen grundsätzlich voneinanderunabhängige Einrichtungen zurMesswerterfassung und Signalverarbeitung.Verknüpfungsstellen verschlechterndie Redundanz und Auslösesicherheitdes Systems nicht.3.2 (12) Das Reaktorschutzsystem ist soausgelegt, dass es auch bei Störungenim Reaktorschutzsystem keineAktionen auslöst, die die Reaktoranlagein einen Störfall überführenkönnen. Redundante Teile desReaktorschutzsystems sind räumlichso voneinander getrennt, dass Störungeninnerhalb eines Teilsystemsnicht gleichzeitig die Funktion derTeam 5Text wird nach Modul 5 verlagert und in Modul1 gestrichen. Der Satz „Redundante Teiledes Reaktorschutzsystems…“ wird in Modul5 durch Ziffer 6 (2) abgedeckt. Weiter wird inModul 5 ergänzt (Ziffer 3.2 (17)): Die leittechnischenEinrichtungen, die Leittechnikfunktionender Kategorie A ausführen, sindso ausgelegt, dass auch beim Auftreten vonStörungen in diesen Einrichtungen keineAktionen ausgelöst werden, die die Reaktor-3.2 (12) Das Reaktorschutzsystem ist so ausgelegt,dass es auch bei Störungen imReaktorschutzsystem keine Aktionenauslöst, die die Reaktoranlage in einenStörfall überführen können. RedundanteTeile des Reaktorschutzsystems sindräumlich so voneinander getrennt, dassStörungen innerhalb eines Teilsystemsnicht gleichzeitig die Funktion der übrigenSysteme beeinträchtigen.138

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)übrigen Systeme beeinträchtigen.anlage in einen Störfall überführen können.3.2 (13a) Softwarebasierte LeittechnikDie von leittechnischen Einrichtungenauszuführenden Funktionensind entsprechend ihrer sicherheitstechnischenBedeutung in Orientierungan den Sicherheitsebenenklassifiziert (siehe auch Ziffer 2.1(10)). Die Anforderungen an Entwurf,Implementierung, Qualifizierung,Inbetriebsetzung, Betrieb undModifizierung der Software für leittechnischeEinrichtungen sind entsprechendder sicherheitstechnischenKlassifizierung festgelegt.Team 5Verlagerung nach Ziffer 3.2 (7) sowie Anpassungan die Definitionen des Modul 5.3.2 (713a) Softwarebasierte LeittechnikDie von leittechnischen Einrichtungenauszuführenden Funktionen sind entsprechendihrer sicherheitstechnischenBedeutung in Orientierung an den Sicherheitsebenenklassifiziert (gemäßsiehe auch Ziffer 2.1 (10) klassifiziert).Die Anforderungen an Entwurf, Implementierung,Qualifizierung, Inbetriebsetzung,Betrieb und Modifizierung derSoftware bzw. an Auslegung, Fertigung,Errichtung und Betrieb der Hardware(Komponenten, Baugruppen undTeilsysteme) für leittechnische Einrichtungensind entsprechend der sicherheitstechnischenKlassifizierung festgelegt.3.2 (13b) Die Software mit sicherheitstechnischerBedeutung für leittechnischeEinrichtungen wird anhand einesdefinierten, in Phasen gegliedertenVorgehens entwickelt, getestet,eingesetzt und dokumentiert.Team 5Wegen Doppellung zum Modul 5 und derDetaillierungstiefe des Moduls 1 wird andieser Stelle gestrichen.3.2 (13b) Die Software mit sicherheitstechnischerBedeutung für leittechnische Einrichtungenwird anhand eines definierten,in Phasen gegliederten Vorgehensentwickelt, getestet, eingesetzt unddokumentiert.3.2 (13c) Leittechnik mit höherer sicherheitstechnischerBedeutung ist von derLeittechnik mit geringerer sicherheitstechnischerBedeutung sounabhängig, dass bei bestimmungsgemäßemBetrieb und beiversagensauslösenden Ereignissen,Ausfällen oder Softwareversagender leittechnischen Einrichtungenmit geringerer sicherheitstechnischenBedeutung die Funktion derLeittechnik mit höherer sicherheitstechnischerBedeutung erhaltenbleibt.3.2 (13c) Leittechnik mit höherer sicherheitstechnischerBedeutung ist von der Leittechnikmit geringerer sicherheitstechnischerBedeutung so unabhängig, dassbei bestimmungsgemäßem Betrieb undbei versagensauslösenden Ereignissen,Ausfällen oder Softwareversagen derleittechnischen Einrichtungen mit geringerersicherheitstechnischen Bedeutungdie Funktion der Leittechnik mithöherer sicherheitstechnischer Bedeutungerhalten bleibt.139

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)3.2 (13d) Softwarebasierte Einrichtungen sindentsprechend ihrer sicherheitstechnischenBedeutung für die HardundSoftware dokumentiert undnachweisbar zuverlässig. Hierbei istdie mit dem Einsatz der Softwareverbundene Komplexität konservativberücksichtigt.3.2 (13e) Beim Nachweis der Zuverlässigkeitwird die verfügbare Betriebserfahrungmit softwarebasierter Leittechnikherangezogen.3.2 (13f) Um eine der sicherheitstechnischenBedeutung der leittechnischenFunktionen angemessene Zuverlässigkeitder softwarebasierten Leittechnikzu erreichen, werden- fehlervermeidende (z. B. einqualitätsgesicherter Entwicklungsprozessund eine entsprechendeQualifizierung der Software),- fehlerentdeckende (z. B. Hardware-und softwaremäßig realisierteSelbstüberwachungsmaßnahmen)und- fehlerbeherrschende (z. B. fehlertoleranteAuslegung, funktionaleDiversität)Maßnahmen angewendet.3.2 (13g) Der unberechtigte Zugriff auf Informations-und Leittechniksystemeder Anlage wird verhindert. DieWirksamkeit und Zuverlässigkeit derhierfür vorzusehenden Maßnahmenentsprechen der sicherheitstechnischenBedeutung der Informations-Team 5 Als generelle Anforderung in Ziffer 3.2 (3)inhaltlich berücksichtigt. Detaillierte Anforderungensind im Modul 5 formuliert und werdenan dieser Stelle gestrichen.1403.2 (13d) Softwarebasierte Einrichtungen sindentsprechend ihrer sicherheitstechnischenBedeutung für die Hard- undSoftware dokumentiert und nachweisbarzuverlässig. Hierbei ist die mit demEinsatz der Software verbundene Komplexitätkonservativ berücksichtigt.3.2 (13e) Beim Nachweis der Zuverlässigkeit wirddie verfügbare Betriebserfahrung mitsoftwarebasierter Leittechnik herangezogen.3.2 (13f) Um eine der sicherheitstechnischenBedeutung der leittechnischen Funktionenangemessene Zuverlässigkeit dersoftwarebasierten Leittechnik zu erreichen,werden- fehlervermeidende (z. B. ein qualitätsgesicherterEntwicklungsprozessund eine entsprechende Qualifizierungder Software),- fehlerentdeckende (z. B. Hardwareundsoftwaremäßig realisierteSelbstüberwachungsmaßnahmen)und- fehlerbeherrschende (z. B. fehlertoleranteAuslegung, funktionale Diversität)Maßnahmen angewendet.3.2 (813g) Der unberechtigte Zugriff auf Informations-und Leittechniksysteme der Anlagewird verhindert. Die Wirksamkeit undZuverlässigkeit der hierfür vorgezusehendenMaßnahmen entsprechen dersicherheitstechnischen Bedeutung derInformations- und Leittechniksysteme.

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)und Leittechniksysteme.3.3 Warten 3.3 Warten3.3 (1) Es ist eine Warte vorhanden, vonder aus das Kernkraftwerk sicherbetrieben werden kann und von deraus bei Störfällen Maßnahmenergriffen werden können, um dasKernkraftwerk in einem sicherenZustand zu halten oder es in einensolchen zu überführen.3.3 (2) Außerhalb der Warte ist eine Notsteuerstellevorgesehen, mit derenHilfe der Kernreaktor bei Funktionsausfallder Warte einschließlich derin Betracht zu ziehenden Wartennebenräume,wie z.B. Rangierverteilerund Elektronikraum, abgeschaltetund unterkritisch gehalten, dieNachwärme abgeführt und die hierfürwesentlichen Betriebsparameterüberwacht werden können.3.3 (3) Die Warte und die Notsteuerstellesind so voneinander räumlich getrennt,voneinander unabhängig mitEnergie versorgt und derart gegenEinwirkungen von Außen geschützt,dass Warte und Notsteuerstellenicht gleichzeitig außer Funktiongesetzt werden können.3.3 (4) Die Auslegung der Warte und derNotsteuerstelle unterstützt ergonomischsicherheitsgerichtetes Verhaltendes Personals.3.3 (1) Es ist eine Warte vorhanden, von deraus das Kernkraftwerk sicher betriebenwerden kann und von der aus bei StörfällenMaßnahmen ergriffen werdenkönnen, um das Kernkraftwerk in einemsicheren Zustand zu halten oder es ineinen solchen zu überführen.3.3 (2) Außerhalb der Warte ist eine Notsteuerstellevorgesehen, mit deren Hilfe derKernreaktor bei Funktionsausfall derWarte einschließlich der in Betracht zuziehenden Wartennebenräume, wiez.B. Rangierverteiler und Elektronikraum,der Reaktor abgeschaltet undunterkritisch gehalten, die Nachwärmeabgeführt und die hierfür wesentlichenBetriebsparameter überwacht werdenkönnen.3.3 (3) Die Warte und die Notsteuerstelle sindso voneinander räumlich getrennt,werden voneinander unabhängig mitEnergie versorgt und sind derart gegenEinwirkungen von aAußen geschützt,dass Warte und Notsteuerstelle nichtgleichzeitig außer Funktion gesetztwerden können.Team 5 3.3 (4) Die ergonomische Auslegung der Warteund der Notsteuerstelle unterstütztergonomisch sicherheitsgerichtetesVerhalten des Personals.141

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)3.3 (5) Maßnahmen des anlageninternenNotfallschutzes werden soweit wiemöglich an einer zentralen Stelle derAnlage eingeleitet und durchgeführt.Die erforderlichen Informationenüber den Anlagenzustand und dieradiologische Situation in der Anlageund in der Umgebung liegen vor.585 ESN Änderungsvorschlag: Der 2. Satz sollte geändertwerden in „Die erforderlichen Informationenüber den Anlagenzustand und dieradiologische Situation in der Anlage undüber die Freisetzungsmenge sowie dieAusbreitungssituation müssen vorliegen“.Ansonsten könnte dies bedeuten, dass auchInformationen zur Immissionssituation in derWarte vorgehalten werden müssen.Team 5: Der Kommentar ist berechtigt undwird entsprechend dem Vorschlag umgesetzt.Text wird allerdings nach Modul 7(Ziffer 3.3 (1)) und 10 (Ziffer 4.2 (5)) verlagertund in Modul 1 gestrichen.599 UM BW Die Forderung nach einer zentralen Stellezur Durchführung von Maßnahmen des anlageninternenNotfallschutzes steht im Spannungsverhältniszur Forderung nach derEinfachheit von Notfallschutzmaßnahmenund deren Ansteuerung.Team 5: Die Formulierung lautet „soweit wiemöglich“. Eine weitergehende „Dezentralisierung“sollte u. E. nicht erfolgen.3.3 (5) Maßnahmen des anlageninternen Notfallschutzeswerden soweit wie möglichan einer zentralen Stelle der Anlageeingeleitet und durchgeführt.Die erforderlichen Informationen überden Anlagenzustand und die radiologischeSituation in der Anlage und in derUmgebung liegen vor.593 Bandholz,RSKWenn man das Kapitel 3.3 im Modul 1 sieht,da gibt es zwei wesentliche Unterscheidungen.Es gibt zum einen den Abschnitt 3.3, wofestgelegt ist, dass die Warte und Notsteuerstelleräumlich zu trennen sind, und dass siederart zu schützen sind, dass eine von beidenüberlebt. Daraus kann man natürlichnicht schließen, dass beide geschützt seinmüssen, sondern nur eine von beiden. ZumZweiten ist es so, dass wenn Sie weitergehenin 3.3 (5), dann steht da: „Maßnahmendes anlageninternen Notfallsschutzes werden...“, das heißt, es wird eine Verknüpfungvorgenommen. Unter dem Thema Notsteuerstellewird auch der anlageninterne Notfallschutzeingesteuert, obwohl es keine Anfor-142

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)derung gibt, solange die Warte verfügbar ist.Unter 3.5 (6) steht in etwa „muss es langegenug aushalten können in der Notsteuerstelle“,sozusagen dass man sich da längereZeit aufhalten kann. Hier wird auch wiederthematisch das Thema Notsteuerstelle mitNotfallschutz und Notstandsfall wieder verknüpft.Insofern muss die Begrifflichkeit unddie Aufgabenstellungen sicherlich noch einmalüberdacht werden.Team 7: Eine Verknüpfung der Notsteuerstellemit den Maßnahmen des anlageninternenNotfallschutzes wird hier nicht beabsichtigtund ist auch nicht formuliert. Die angesprochene„zentrale Stelle“ ist vorrangignatürlich die Warte.Die Ziffer ist nach Modul 7 (Ziffer 3.3 (1)) und10 (Ziffer 4.2 (5)) verlagert.3.3 (6) Es sind die notwendigen Vorkehrungengetroffen, um einen längerenAufenthalt des Einsatzpersonals imNotfall an der für die Vorbereitung,Durchführung und Überwachung derMaßnahmen des anlageninternenNotfallschutzes vorgesehenen Stellenzu gewährleisten.585 ESN Änderungsvorschlag: Aus diesen Anforderungenlässt sich ableiten, dass auch für dieKrisenstabsräume eine Zuluftfilterung inAnalogie zur Wartenzuluftfilterung erforderlichist. Aus unserer Sicht ist ein solcherAnsatz durchaus verfolgenswert, jedochsollte er - wenn beabsichtigt - auch klar zumAusdruck gebracht werden.Team 1: Text wird nach Modul 10 (Ziffer 4.2(2)) verlagert und im Modul 1 gestrichen. DieAbgrenzung zwischen Notsteuerstelle undden Krisenstabräumen erfolgt dort in derFestlegung des Geltungsbereiches.3.3 (6) Es sind die notwendigen Vorkehrungengetroffen, um einen längeren Aufenthaltdes Einsatzpersonals im Notfall an derfür die Vorbereitung, Durchführung undÜberwachung der Maßnahmen desanlageninternen Notfallschutzes vorgesehenenStellen zu gewährleisten.3.4 Versorgungsfunktionen 3.4 Elektrische Energieversorgung Versorgungsfunktionen3.4 (1) Die elektrische Energieversorgungeines Kernkraftwerkes ist so ausgelegt,dass auf den Sicherheitsebenen1 bis 4a die elektrische Versorgungder Verbraucher unter Einhal-Team 5Team 1Text wurde auf der Grundlage der Kommentierungzum Modul 5 (Abs. 2.1) modifiziert.Ergänzung gemäß RSK Diskussion.3.4 (1) Die elektrische Energieversorgungeindes Kernkraftwerkes ist so ausgelegt,dass auf den Sicherheitsebenen 1bis 4a die elektrische Versorgung derVerbraucher unter Einhaltung ihrer143

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)tung ihrer elektrischen Versorgungsbedingungensichergestellt ist.Sie ist dabei so zuverlässig ausgelegt,dass sie die Nichtverfügbarkeitder zu versorgenden Systeme nichtbestimmt.Für die Notfallmaßnahmen der Sicherheitsebenen4b und 4c dürfenelektrische Einrichtungen aller Sicherheitsebenenverwendet werden,wenn sie geeignet sind, unter denjeweils zu unterstellenden Umgebungs-und Betriebsbedingungenihre Aufgabe zu erfüllen.Streichung des Absatzes, da über Ziffer 2.1(8) geregelt.elektrischen Versorgungsbedingungensichergestellt ist. Die elektrische EnergieversorgungSie ist dabei so zuverlässigausgelegt, dass sie die Nichtverfügbarkeitder zu versorgenden Systeme,deren Ausfall zu sicherheitstechnischnachteiligen Folgen führen kann,nicht bestimmt.Für die Notfallmaßnahmen der Sicherheitsebenen4b und 4c dürfen elektrischeEinrichtungen aller Sicherheitsebenenverwendet werden, wenn siegeeignet sind, unter den jeweils zuunterstellenden Umgebungs- und Betriebsbedingungenihre Aufgabe zuerfüllen.3.4 (2) Es sind mindestens zwei weitgehendunabhängige Netzanschlüssefür die Energieversorgung desKernkraftwerkes (Sicherheitsebene1 und 2) vorhanden. Zusätzlich zurelektrischen Energieversorgung ausden Netzanschlüssen und demHauptgenerator sind für die sicherheitstechnischwichtigen Einrichtungenzuverlässige Notstromversorgungsanlagenvorgesehen, die dieelektrische Energieversorgung dieserEinrichtungen bei Ausfall derNetzeinspeisung und des Hauptgeneratorsgewährleisten.Team 5 Anpassung an die Formulierung im Modul 5,Teil 2, Kap. 1.3.4 (2) Hierzu Es sind mindestens zwei, weitgehendunabhängige Netzanschlüssefür die Energieversorgung des Kernkraftwerkes(Sicherheitsebene 1 und 2)vorhanden. Zusätzlich zur elektrischenEnergieversorgung aus den Netzanschlüssenund dem Hauptgeneratorsind für die sicherheitstechnisch wichtigenEinrichtungen zuverlässige Notstromversorgungsanlagenvorhandengesehen,die die elektrische Energieversorgungdieser Einrichtungen beiAusfall der Netzeinspeisung und desHauptgenerators gewährleisten. Zusätzlichist eine Möglichkeit der Energieversorgungvorhanden, die unabhängigdavon die elektrische Energieversorgungfür mindestens eine Nachkühlketteeinschließlich der erforderlichenleittechnischen Einrichtungen beiAusfall der Netzanschlüsse sicherstellt.144

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)3.4 (3) Für die Notstromversorgung sindvoneinander unabhängige, redundanteNotstromanlagen vorgesehen,so dass die Notstromversorgungauch unter Beachtung der Vorgabendes Einzelfehlerkonzepts nach Ziffer3.1 (3) gewährleistet ist. Die Redundanzder Notstromanlagen entsprichtmindestens der Redundanzder zu versorgenden verfahrenstechnischenEinrichtungen.599 UM BW Die gewählte Formulierung ist für Modul 1 zudetailliert. Die Forderung nach der Anzahlder Redundanzen ist zu weit gehend. DasZiel der Zuverlässigkeit und Unabhängigkeitder Versorgung soll im Vordergrund stehen.Team 1: Dem Kommentar wird hinsichtlichdes Detaillierungsgrads gefolgt. Die Zifferwird nach Modul 5, Teil 2, Kap. 1 Ziffer 2 (9)verlagert.3.4 (3) Für die Notstromversorgung sind voneinanderunabhängige, redundanteNotstromanlagen vorgesehen, so dassdie Notstromversorgung auch unterBeachtung der Vorgaben des Einzelfehlerkonzeptsnach Ziffer 3.1 (3) gewährleistetist. Die Redundanz derNotstromanlagen entspricht mindestensder Redundanz der zu versorgendenverfahrenstechnischen Einrichtungen.622 Wildermann,UM BWEs wird gefordert: „die Redundanz der Notstromanlagenentspricht mindestens derRedundanz, der zu versorgenden verfahrenstechnischenEinrichtungen.“ Könnte mirda das Projekt in einem ersten Schritt nocheinmal den Hintergrund erläutern, was manda aufgeschrieben hat? Das ist, wenn dasals richtige Forderung sieht, ein Totschlagargumentfür die erste Baulinie SWR-69. Manhat vier verfahrenstechnische Redundanzen,teilweise sogar mehr, aber nur zweiNotstromversorgungs-Redundanzen. Ichweiß nicht, ob das beabsichtigt war, oder obman das überlegt hat.Team 1: Die Forderung „Die Redundanz derStränge der Notstromanlagen entsprichtmindestens der Redundanz der zu versorgendenverfahrenstechnischen Systeme“ istinhaltsgleich dem Satz „Die Redundanz derNotstromerzeuger und Verteilersystememuss der Redundanz der maschinentechnischesSysteme entsprechen“ aus dem BMI-Kriterium 7.1 des Jahres 1977. Wir sehenkeine Gründe, diese Forderung zu modifizieren.Es obliegt letztendlich der genehmigendenBehörde zu bewerten, ob ausreichendeGründe, z. B. gleichwertige Zuverlässigkeitvorliegen, bspw. durch die Umschaltmöglichkeitenzwischen den Strängen und der 4-mal-145

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)50%- Auslegung oder 3 mal 50%-Auslegungder Notstromerzeugeranlagen.622 Noack,RWE Power622 Waas,FANPDas geht beim SWR-69 nicht. Und ich findekeinen Weg, wie ich da heraus komme. Daswird alleine, und da gibt es viele anderePunkte, auf den Konflikt zwischen uns undden Aufsichtsbehörden hingeschoben. Dashalten wir nicht für anwendbar. Hier sehenwir, wie wichtig eine Verhältnismäßigkeitsbetrachtungist. Der SWR-69 hat vier Nachkühlsysteme,er hat zwei sabotagesichereNachkühlsysteme, also sechs Einspeisemöglichkeiten.Er braucht eigentlich nur eine, erist sechsfach redundant. Das ist „schlecht“nach dieser Formulierung, die ist auch imalten Regelwerk schlecht, weil nicht jedesSystem eine eigene Energieversorgung hat.Wenn man drei Systeme hat, mit drei elektrischenRedundanzen, ist es in Ordnung.Deshalb noch einmal die Bemerkung: imgesamten Ansatz fehlt eine Möglichkeit,solche Abweichungen auf sicherheitstechnischeRelevanz zu bewerten. Das ist einManko, das können wir durch die Kommentareheute nicht ausräumen.Team 1: Siehe Antwort auf vorhergehendenKommentar.Wir haben zwei Notstromstränge, die doppelteingespeist sind und insofern ist die Strängigkeitdort etwas anders als bei den verfahrenstechnischenSystemen. Da kann manVorteile sehen, da kann man Nachteile sehen,man muss das insgesamt bewerten.Aber die strikte Forderung, die Redundanzder Notstromerzeuger und Verteilersystememuss der Redundanz der maschinentechnischenSysteme entsprechen. Das ist eineMöglichkeit, dies sinnvoll zu erfüllen, aber esist eine spezifische Ausführung, die in der146

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Mehrheit gemacht wird, aber nicht immer so.Team 1: Siehe Antwort auf vorhergehendenKommentar.3.4 (4) Bei Einwirkungen von Außen dürfennicht alle Notstromversorgungsanlagengleichzeitig außer Funktiongesetzt werden.3.4 (5) Es ist gewährleistet, dass vor Ablaufder für den unterbrechungslosenDauerbetrieb der Notstromerzeugerzulässigen Zeit der Notstrombedarfanderweitig gedeckt werden kann.Dazu wird mit mindestens einerVerbindung zu einem Netz oderexternen Kraftwerk eine frühzeitigeNetzrückschaltung gesichert ermöglicht.3.4 (6) Die notwendige Energieversorgungfür die Durchführung der Notfallmaßnahmenauf den Sicherheitsebenen4b und 4c ist sichergestellt.3.4 (7) Zur Beherrschung eines Ausfalls derelektrischen Energieversorgung desKernkraftwerkes einschließlich derNotstromerzeugungsanlagen sindfolgende Maßnahmen vorgesehen:- mindestens eine zusätzlicheEinspeisemöglichkeit über ein imNahbereich des Kernkraftwerkeserdverlegtes Kabel,- Vorhaltung elektrischer Energiespeichermit ausreichender Kapazität,so dass die notwendigenFunktionen auf den Sicherheitsebenen3 bis 4b bis zur Wiederherstellungder elektrischen E-Team 5 Diese Anforderung ist bereits im Modul 5, T2,Kap.1, Abs. 2 (16) berücksichtigt und wirdhier gestrichen.Team 5 Diese Anforderung ist bereits im Modul 5,Teil 2, Kap.1, Ziffer 2 (15) berücksichtigt undwird hier gestrichen.Team 5 Diese Anforderung ist bereits im Modul 5,Teil 2, Kap.1, Ziffer 2 (17) berücksichtigt undwird hier gestrichen.1473.4 (4) Bei Einwirkungen von Außen dürfennicht alle Notstromversorgungsanlagengleichzeitig außer Funktion gesetztwerden.3.4 (5) Es ist gewährleistet, dass vor Ablaufder für den unterbrechungslosen Dauerbetriebder Notstromerzeuger zulässigenZeit der Notstrombedarf anderweitiggedeckt werden kann. Dazu wirdmit mindestens einer Verbindung zueinem Netz oder externen Kraftwerkeine frühzeitige Netzrückschaltunggesichert ermöglicht.3.4 (36) Die notwendige Energieversorgung fürdie Durchführung der geplanten NotfallmMaßnahmendes anlageninternenNotfallschutzes auf den Sicherheitsebenen4b und 4c ist sichergestellt.3.4 (7) Zur Beherrschung eines Ausfalls derelektrischen Energieversorgung desKernkraftwerkes einschließlich derNotstromerzeugungsanlagen sind folgendeMaßnahmen vorgesehen:- mindestens eine zusätzliche Einspeisemöglichkeitüber ein im Nahbereichdes Kernkraftwerkes erdverlegtesKabel,- Vorhaltung elektrischer Energiespeichermit ausreichender Kapazität, sodass die notwendigen Funktionenauf den Sicherheitsebenen 3 bis 4bbis zur Wiederherstellung der elektrischenEnergieversorgung durchge-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)nergieversorgung durchgeführtwerden können.führt werden können.3.4 (8) Das Kernkraftwerk verfügt überzuverlässige lüftungstechnischeEinrichtungen für folgende Räume:Team 1Wird nach Modul 10 Ziffer 3.4 (8) und Modul9 Ziffer 4.2 (1) verlagert.3.4 (8) Das Kernkraftwerk verfügt über zuverlässigelüftungstechnische Einrichtungenfür folgende Räume:a) Räume, in denen anders nichtsichergestellt werden kann, dassdie mit der Fortluft abzuleitendeMenge der radioaktiven Stoffe indie Umgebung zur Einhaltungder einschlägigen Anforderungengemäß Ziffer 2.4 (1) geringgehalten wird;a) Räume, in denen anders nicht sichergestelltwerden kann, dass diemit der Fortluft abzuleitende Mengeder radioaktiven Stoffe in die Umgebungzur Einhaltung der einschlägigenAnforderungen gemäßZiffer 2.4 (1) gering gehalten wird;b) Räume, in denen die für dieSicherheitsebenen 1 und 2 alszulässig spezifizierten Werte fürdie Raumluftzustände andersnicht eingehalten werden können;b) Räume, in denen die für die Sicherheitsebenen1 und 2 als zulässigspezifizierten Werte für die Raumluftzuständeanders nicht eingehaltenwerden können;c) Räume, in denen die Luft durchein Inertgas ersetzt ist, oder indenen aus Gründen des Arbeitsschutzesbestimmte Raumluftzuständeeingehalten werdenmüssen.c) Räume, in denen die Luft durch einInertgas ersetzt ist, oder in denenaus Gründen des Arbeitsschutzesbestimmte Raumluftzustände eingehaltenwerden müssen.3.4 (9) Die lüftungstechnischen Anlagensind so ausgelegt und beschaffenund mit den Eigenschaften der übrigenEinrichtungen so abgestimmt,dass auf den Sicherheitsebenen 1bis 3 die hierfür jeweils als zulässigspezifizierten Werte für die Raumluftzuständeund für die Ableitungoder etwaige Freisetzung radioaktiverStoffe nicht überschritten werdenkönnen. Umluftanlagen sind ingeeigneter Weise mit Fortluftanla-Team 1Wird nach Modul 9, Ziffern 4.2.1 (1) und4.2.2 (1) und nach Modul 10, Ziffer 3.3.3 (2)– (4) verlagert.1483.4 (9) Die lüftungstechnischen Anlagen sindso ausgelegt und beschaffen und mitden Eigenschaften der übrigen Einrichtungenso abgestimmt, dass auf denSicherheitsebenen 1 bis 3 die hierfürjeweils als zulässig spezifizierten Wertefür die Raumluftzustände und für dieAbleitung oder etwaige Freisetzungradioaktiver Stoffe nicht überschrittenwerden können. Umluftanlagen sind ingeeigneter Weise mit Fortluftanlagenkombiniert, so dass die einschlägigen

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)gen kombiniert, so dass die einschlägigenAnforderungen gemäßZiffer 2.4 (1) eingehalten werden.Auf der Sicherheitsebene 4 sind dielüftungstechnischen Anlagen sobeschaffen sein, dass sie ihre für dieMaßnahmen des anlageninternenNotfallschutzes benötigten sicherheitstechnischenFunktionen erfüllen.Anforderungen gemäß Ziffer 2.4 (1)eingehalten werden.Auf der Sicherheitsebene 4 sind dielüftungstechnischen Anlagen so beschaffensein, dass sie ihre für dieMaßnahmen des anlageninternen Notfallschutzesbenötigten sicherheitstechnischenFunktionen erfüllen.3.4 (10) Soweit die Konzentration radioaktiverStoffe in der Luft bestimmterRäume so groß werden kann, dassjeweils als zulässig spezifizierteWerte überschritten werden, verfügendie zugehörigen lüftungstechnischenEinrichtungen über Luftfilteranlagen.Eine Schaltung der lüftungstechnischenEinrichtungen so,dass die Abluft nur im Bedarfsfallüber Filteranlagen geführt wird, istzulässig. Die Luftfiltereinrichtungensind hinreichend zuverlässig und sobeschaffen, dass sie unter denjeweiligen Einsatzbedingungen denerforderlichen Abscheidegrad haben.Zur Überprüfung ihres Zustandessind die erforderlichen Einrichtungenvorgesehen.3.4 (11) Zur Vermeidung einer Verschleppungradioaktiver Stoffe durch dieRaumluft ist auf den Sicherheitsebenen1 und 2 die Luft im Kontrollbereichgrundsätzlich so geführt unddie Raumgruppen sind so gegeneinanderund gegenüber der Atmosphäreabgedichtet, dass die Luftvon Räumen oder Raumgruppengeringerer Kontaminationsgefähr-Team 1 Wird nach Modul 9, Ziffer 4.2 (2) verlagert. 3.4 (10) Soweit die Konzentration radioaktiverStoffe in der Luft bestimmter Räume sogroß werden kann, dass jeweils alszulässig spezifizierte Werte überschrittenwerden, verfügen die zugehörigenlüftungstechnischen Einrichtungen überLuftfilteranlagen. Eine Schaltung derlüftungstechnischen Einrichtungen so,dass die Abluft nur im Bedarfsfall überFilteranlagen geführt wird, ist zulässig.Die Luftfiltereinrichtungen sind hinreichendzuverlässig und so beschaffen,dass sie unter den jeweiligen Einsatzbedingungenden erforderlichen Abscheidegradhaben. Zur Überprüfungihres Zustandes sind die erforderlichenEinrichtungen vorgesehen.Team 1 Wird nach Modul 9, Ziffer 4.2.1 (3) verlagert. 3.4 (11) Zur Vermeidung einer Verschleppungradioaktiver Stoffe durch die Raumluftist auf den Sicherheitsebenen 1 und 2die Luft im Kontrollbereich grundsätzlichso geführt und die Raumgruppensind so gegeneinander und gegenüberder Atmosphäre abgedichtet, dass dieLuft von Räumen oder Raumgruppengeringerer Kontaminationsgefährdungzu solchen höherer geführt wird.149

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)dung zu solchen höherer geführtwird.3.5 Stahlenschutz 3.5 Strahlenschutz3.5 (1) Im Kernkraftwerk sind die personellen,organisatorischen, räumlichenund apparativen Voraussetzungengegeben, um eine Strahlenschutzüberwachungin der Anlage aufallen Sicherheitsebenen im erforderlichenUmfang hinreichend genauund zuverlässig gewährleisten zukönnen. Insbesondere sind vorgesehen:1. ortsfeste Einrichtungen zur Messungvon Ortsdosisleistungen;2. ortsfeste Einrichtungen zur Messungder Konzentration radioaktiverStoffe in der Raumluft vonRaumgruppen oder Räumen, indenen eine entsprechende Ü-berwachung zum Schutze vonPersonen oder zur frühzeitigenEntdeckung etwaiger freigesetzterradioaktiver Stoffe notwendigist;3. ortsfeste Einrichtungen zur Messungder Konzentration radioaktiverStoffe in Kreisläufen, in deneneine entsprechende Überwachungzur frühzeitigen Entdeckungetwaiger freigesetzter radioaktiverStoffe notwendig ist;4. Messgeräte zur Ermittlung vonOrtsdosisleistungen sowie Konzentrationund Art radioaktiverStoffe in Luft und Wasser;5. Einrichtungen zur Messung vonTeam 1 Streichungen sind nach Modul 9 verlagert. 3.5 (1) Im Kernkraftwerk sind die personellen,organisatorischen, räumlichen undapparativen Voraussetzungen gegeben,um eine hinreichend genaue undzuverlässige Strahlenschutzüberwachungin der Anlage auf allen Sicherheitsebenenim erforderlichen Umfanghinreichend genau und zuverlässiggewährleisten zu können. Insbesonderesind vorgesehen:1. ortsfeste Einrichtungen zurMessung von Ortsdosisleistungen;2. ortsfeste Einrichtungen zur Messungder Konzentration radioaktiverStoffe in der Raumluft von Raumgruppenoder Räumen, in denen eineentsprechende Überwachungzum Schutze von Personen oderzur frühzeitigen Entdeckung etwaigerfreigesetzter radioaktiver Stoffenotwendig ist;3. ortsfeste Einrichtungen zur Messungder Konzentration radioaktiverStoffe in Kreisläufen, in denen eineentsprechende Überwachung zurfrühzeitigen Entdeckung etwaigerfreigesetzter radioaktiver Stoffenotwendig ist;4. Messgeräte zur Ermittlung vonOrtsdosisleistungen sowie Konzentrationund Art radioaktiver Stoffe inLuft und Wasser;5. Einrichtungen zur Messung vonPersonendosen sowie der Kontami-150

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Personendosen sowie der Kontaminationvon Personen undGegenständen;6. geeignete Laboreinrichtungenzur Auswertung und Analyse radioaktiverProben.nation von Personen und Gegenständen;6. geeignete Laboreinrichtungenzur Auswertung und Analyse radioaktiverProben.3.5 (2) Im Kernkraftwerk sind die personellen,organisatorischen und apparativenVoraussetzungen gegeben, umauf allen Sicherheitsebenen imjeweils erforderlichen Umfang Art,Menge und Konzentration der mitder Fortluft und dem Abwasserabzuleitenden radioaktiven Stoffehinreichend genau und zuverlässigzu überwachen, zu registrierensowie die Ableitung erforderlichenfallszu begrenzen.Team 9Streichung, da hier ausschließlich Ableitungen,somit Sicherheitsebenen 1 und 2, angesprochen.Angleichung an Ziffer 3.5 (1)3.5 (2) Im Kernkraftwerk sind die personellen,organisatorischen und apparativenVoraussetzungen gegeben, um aufallen Sicherheitsebenen im jeweilserforderlichen Umfang Art, Menge undKonzentration der mit der Fortluft unddem Abwasser abzuleitenden radioaktivenStoffe hinreichend genau und zuverlässigzu überwachen, zu registrierensowie die Ableitung erforderlichenfallszu begrenzen.3.5 (3) Es sind die personellen, organisatorischenund apparativen Voraussetzungengegeben, um eine Strahlenschutzüberwachungder Umgebungauf den Sicherheitsebenen 1 bis 4im erforderlichen Umfang hinreichendschnell, genau und zuverlässigdurchführen zu können.Zur Immissionsüberwachung aufden Sicherheitsebenen 1 und 2 sindEinrichtungen zur Bestimmung vona) Ortsdosis, Ortsdosisleitung,b) Aktivitätskonzentration in Umgebungsluft,Boden, Bewuchs,Nahrungsmitteln, Gewässernund Niederschlag,c) für die Ausbreitung und Ablagerungradioaktiver Stoffe relevantenmeteorologischen und hydro-585 ESN Änderungsvorschlag: Die Darstellungen zurImmissionsüberwachung gehen im Detaillierungsgradüber die diesbezüglichen Darstellungenim Modul 9 (Strahlenschutz) hinausund sollten entsprechend eingekürzt werden.Vorschlag: Ersten Absatz stehen lassen, dieAufzählungen für die durchzuführenden Messungenvollständig weglassen.Team 1: Streichungen sind nach Modul 9verlagert.3.5 (3) Es sind die personellen, organisatorischenund apparativen Voraussetzungengegeben, um eine Strahlenschutzüberwachungder Umgebung auf denSicherheitsebenen 1 bis 4 im erforderlichenUmfang hinreichend schnell,genau und zuverlässig durchführen zukönnen.Zur Immissionsüberwachung auf denSicherheitsebenen 1 und 2 sind Einrichtungenzur Bestimmung vona) Ortsdosis, Ortsdosisleitung,b) Aktivitätskonzentration in Umgebungsluft,Boden, Bewuchs, Nahrungsmitteln,Gewässern und Niederschlag,c) für die Ausbreitung und Ablagerungradioaktiver Stoffe relevanten meteorologischenund hydrologischen151

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)logischen Parametervorhanden.Zur Immissionsüberwachung aufden Sicherheitsebenen 3 und 4 sindEinrichtungen zur Bestimmung vona) Ortsdosis, Ortsdosisleistung,b) Bodenkontamination,c) Aktivitätskonzentration in Umgebungsluft,Boden, Bewuchs,Nahrungsmitteln, Gewässernund Niederschlag,d) für die Ausbreitung und Ablagerungradioaktiver Stoffe relevantenmeteorologischen und hydrologischenParametervorhanden.Parametervorhanden.Zur Immissionsüberwachung auf denSicherheitsebenen 3 und 4 sind Einrichtungenzur Bestimmung vona) Ortsdosis, Ortsdosisleistung,b) Bodenkontamination,c) Aktivitätskonzentration in Umgebungsluft,Boden, Bewuchs, Nahrungsmitteln,Gewässern und Niederschlag,d) für die Ausbreitung und Ablagerungradioaktiver Stoffe relevanten meteorologischenund hydrologischenParametervorhanden.3.5 (4) Im Kernkraftwerk sind Maßnahmenund Einrichtungen vorgesehen, dieeine sichere Handhabung, Einschließungund Lagerung der unbestrahltenund bestrahlten Kernbrennstoffeund sonstiger radioaktiverStoffe ermöglichen. Diese Maßnahmensind so konzipiert unddiese Einrichtungen so beschaffen,angeordnet und abgeschirmt, dasseine unzulässige Strahlenexpositiondes Personals und in der Umgebungsowie die Freisetzung radioaktiverStoffe in die Umgebung nicht zuunterstellen sind.3.5 (5) Kernkraftwerke sind so beschaffen,dass sie unter Einhaltung der Strahlenschutzbestimmungenstillgelegtwerden können. Ein Konzept füreine Beseitigung nach der endgültigenStilllegung unter Einhaltung derStrahlenschutzbestimmungen ist3.5 (4) Im Kernkraftwerk sind Maßnahmen undEinrichtungen vorgesehen, die einesichere Handhabung, Einschließungund Lagerung der unbestrahlten undbestrahlten Kernbrennstoffe und sonstigerradioaktiver Stoffe ermöglichen.Diese Maßnahmen sind so konzipiertund diese Einrichtungen sind so beschaffen,angeordnet und abgeschirmt,dass eine unzulässige Strahlenexpositiondes Personals und in der Umgebungsowie die Freisetzung radioaktiverStoffe in die Umgebung nicht zu unterstellensind.3.5 (5) Kernkraftwerke sind so beschaffen,dass sie unter Einhaltung der Strahlenschutzbestimmungenstillgelegt werdenkönnen. Ein Konzept für eine Beseitigungnach der endgültigen Stilllegungunter Einhaltung der Strahlenschutzbestimmungenist vorhanden.152

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)vorhanden.4. Anforderungen zur Kontrolle derReaktivität4 (1) Die Kontrolle der Reaktivität imReaktorkern sowie bei der Brennelementlagerungist auf den Sicherheitsebenen1 bis 4a in allen Betriebsphasensichergestellt.4 (2) Der Reaktorkern, die zugehörigenKühlsysteme und die hierfür relevantenTeile der Überwachungs-,Regel- und Begrenzungseinrichtungensowie das Reaktorschutzsystemund die Sicherheitseinrichtungen zurAbschaltung des Reaktors sind soausgelegt und hergestellt sowiewerden in einem entsprechendenZustand gehalten, dass- auf der Sicherheitsebene 1 dieAuslegungsgrenzen sowie- auf den Sicherheitsebenen 2 bis4a die jeweils geltenden sicherheitstechnischenNachweiszieleund Nachweiskriterieneingehalten werden.4 (3) Der Reaktorkern ist so ausgelegt,dass auf Grund inhärenter reaktorphysikalischerRückkopplungseigenschaftendie in Betracht zu ziehendenschnellen Reaktivitätsanstiegeso weit abgefangen werden,dass im Zusammenwirken mit denübrigen inhärenten Eigenschaftender Anlage und den Abschalteinrichtungendie jeweils auf den Sicherheitsebenengeltenden sicherheitstechnischenNachweisziele und1534. Anforderungen zur Kontrolle derReaktivität4 (1) Die Kontrolle der Reaktivität im Reaktorkernsowie bei der Brennelementlagerungist auf den Sicherheitsebenen 1bis 4a in allen Betriebsphasen sichergestellt.4 (2) Der Reaktorkern, die zugehörigenKühlsysteme und die hierfür relevantenTeile der Überwachungs-, Regel- undBegrenzungseinrichtungen sowie dasReaktorschutzsystem und die Sicherheitseinrichtungenzur Abschaltung desReaktors sind so ausgelegt und hergestelltund sie sowie werden in einemsolchen entsprechenden Zustandgehalten, dass- auf der Sicherheitsebene 1 dieAuslegungsgrenzen sowie- auf den Sicherheitsebenen 2 bis 4adie jeweils geltenden sicherheitstechnischenNachweisziele undNachweiskriterieneingehalten werden.4 (3) Der Reaktorkern ist so ausgelegt, dassauf Grund inhärenter reaktorphysikalischerRückkopplungseigenschaften diein Betracht zu ziehenden schnellenReaktivitätsanstiege so weit abgefangenwerden, dass im Zusammenwirkenmit den übrigen inhärenten Eigenschaftender Anlage und den Abschalteinrichtungendie jeweils auf den Sicherheitsebenengeltenden sicherheitstechnischenNachweisziele und Nachweis-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Nachweiskriterien eingehalten werden.kriterien eingehalten werden.4 (4) Der Reaktorkern ist so ausgelegt,dass auf Grund inhärenter reaktorphysikalischerRückkopplungseigenschaftendie zu berücksichtigendenTransienten der Sicherheitsebene4a mit unterstelltem Ausfallder schnell wirkenden Abschalteinrichtung(Schnellabschaltsystem) soweit abgefangen werden, dass imZusammenwirken mit ansonstenbestimmungsgemäß wirksamenMaßnahmen und Einrichtungen derAnlage die für diese Ereignissegeltenden sicherheitstechnischenNachweisziele und Nachweiskriterieneingehalten werden. Im Rahmender Analyse von solchen Ereignissenwerden im Kurzzeitbereichnur Funktionen mit höherwertigerAnsteuerung berücksichtigt.4 (5) Der Reaktor besitzt mindestens zweivoneinander unabhängige und diversitäreAbschalteinrichtungen, vondenen eine ganz oder teilweise mitden Steuereinrichtungen identischsein kann.4 (4) Der Reaktorkern ist so ausgelegt, dassauf Grund inhärenter reaktorphysikalischerRückkopplungseigenschaften diezu berücksichtigenden Transienten derSicherheitsebene 4a mit unterstelltemAusfall der schnell wirkenden Abschalteinrichtung(Schnellabschaltsystem) soweit abgefangen werden, dass im Zusammenwirkenmit ansonsten bestimmungsgemäßwirksamen Maßnahmenund Einrichtungen der Anlage die fürdiese Ereignisse geltenden sicherheitstechnischenNachweisziele und Nachweiskriterieneingehalten werden. BeiIm Rahmen der Analyse von solchernEreignissen werden im Kurzzeitbereichnur Funktionen mit höherwertiger Ansteuerungberücksichtigt.Team 2 Angleichung der Begriffe aus Modul 2. 4 (5) Der Reaktor besitzt mindestens zweivoneinander unabhängige und diversitäreAbschalteinrichtungen, von deneneine ganz oder teilweise mit den Regelungs-bzw. BegrenzungsSteuereinrichtungenidentisch sein kann.4 (6) Mindestens eine der beiden Abschalteinrichtungenist allein in derLage, den Kernreaktor- aus jedem Zustand der Sicherheitsebenen1 bis 3 heraus,auch bei unterstelltem Nichteinfalldes reaktivitätswirksamstenSteuerelements (DWR) bzw.Nichteinschießen des reaktivitätswirksamstenSteuerstabsSiehe folgendenEinschubAntwort Team 1: siehe folgenden EinschubDer ergänzte letzte Satz entstammt dem BMISicherheitskriterium 5.3.4 (6) Mindestens eine der beiden Abschalteinrichtungenist allein in der Lage, denKernreaktor- aus jedem Zustand der Sicherheitsebenen1 bis 3 heraus, auch bei unterstelltemNichteinfall des reaktivitätswirksamstenSteuerelements(DWR) bzw. Nichteinschießen desreaktivitätswirksamsten Steuerstabs(SWR), sowie154

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)(SWR), sowie- bei den Notstandsfällen derSicherheitsebene 4aso schnell unterkritisch zu machen(Schnellabschaltsystem) und hinreichendlange zu halten, dass die aufden Sicherheitsebenen jeweils geltendensicherheitstechnischenNachweisziele und Nachweiskriteriennicht überschritten werden.- bei den Notstandsfällen der Sicherheitsebene4aso schnell unterkritisch zu machen(Schnellabschaltsystem) und hinreichendlange zu halten, dass die auf denSicherheitsebenen jeweils geltendensicherheitstechnischen Nachweiszieleund Nachweiskriterien eingehalten nichtüberschritten werden.Der Nichteinfall des reaktivitätswirksamstenSteuerelements (DWR) bzw.das Nichteinschießen des reaktivitätswirksamstenSteuerstabs (SWR) mussnicht unterstellt werden, wenn beideAbschalteinrichtungen einschließlichder Anregung durch das Reaktorschutzsystem,insbesondere hinsichtlichder Abschaltcharakteristik, derWirksamkeit und des Zeitverhaltens,gleichwertig sind.Einschub zu den Kommentaren, den „Stuck Rod“ betreffend:Komm.Nr.KommentatorKommentar493 VGB Power Stuck Rod und Einzelfehler• Die geforderte Überlagerung des Einzelfehlerkonzepts mit dem Postulat „stuck rod“ (Module 2 und 3) geht sowohl über die deutsche als auch die internationalePraxis weit hinaus.• Sie widerspricht den geltenden Interpretationen zu den Sicherheitskriterien: Einzelfehlerkonzept.• Gemäß BMI-Sicherheitskriterien ist für die Summe der Abschalteinrichtungen ein Fehler zu unterstellen.• Der in den Modulen 2 und 3 gewählte Ansatz, wonach der stuck rod, also der Fehler im Schnellabschaltsystem, zusätzlich zum Einzelfehler immer zuunterstellen ist, widerspricht den BMI-Sicherheitskriterien und der aktuellen Nachweispraxis im atomrechtlichen Aufsichtsverfahren.Wesentliche Änderung des gültigen Sicherheitsstandards !Team 11. Modul 2 wiederholt hinsichtlich des Postulats „stuck rod“ die in Modul 1 gestellten Anforderungen, so dass sich die Diskussion auf die Modul 1 Anforderungenbeschränken kann.2. Die Formulierung von Modul 1 Ziffer 4 (6) entspricht inhaltlich dem BMI Sicherheitskriterium 5.3 (siehe Zitat im folgenden Kommentar 505). Demnachist die bei der Reaktorschnellabschaltung zu erreichende Abschaltreaktivität auch für den „stuck rod“ zu erreichen.155

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.505(Auszug)KommentatorFANP156Kommentar3. Eine „Überlagerung des `stuck rod´ Postulats mit dem Einzelfehlerkonzept“ ist in Modul 1 nicht „gefordert“, ebenso ist eine explizite Anforderung, „wonachder stuck rod zusätzlich zum Einzelfehler immer zu unterstellen ist“, in Modul 1 nicht formuliert.4. Auf Grund der vielfachen Diskussionen zu diesem Punkt ist es erforderlich, in Revision B von Modul 1 hierzu eindeutige Anforderungen zu formulieren.5. Nach Auffassung der RSK (Protokoll 383. Sitzung) sowie auch bspw. der WENRA Referenz Levels (siehe Issue F 5.6) ist der „stuck rod“ nicht der„klassische“ Einzelfehler.6. Diese Auffassung ist u. E. aus formalen Gründen zutreffend, da im BMI Sicherheitskriterium 5.3 der „stuck rod“ auch im bestimmungsgemäßen Betriebanzusetzen ist, wogegen der Einzelfehler ein Postulat der Sicherheitsebene 3 ist. Nach unserer Auffassung dient das „stuck rod“ Postulat derEinführung eines „Margins“ zur Absicherung der Abschaltsicherheit bei Systemen mit „vielen“ Komponenten (Steuerstäben bzw. Steuerelementen).Aus diesen Gründen sollte das „stuck rod“ Postulat u. E. nicht mit dem Einzelfehler des Einzelfehlerkonzepts (EFK) gleichgesetzt werden.7. Auf Grund der Auslegung des Schnellabschaltsystems unter Zugrundelegung des „stuck rod“ Postulats wirkt das Postulat ebenenunabhängig, somitauch bei Ereignissen der Sicherheitsebene 3 mit Anforderung der Reaktorschnellabschaltschaltung (RESA). Hinsichtlich des Nachweiskriteriums „Erreichungder erforderlichen Abschaltreaktivität“ durch die RESA wird ein Einzelfehler gemäß EFK, der sich in der Störfallanalyse auswirken würde, inder Praxis nicht unterstellt, da das Schnellabschaltsystem „einzelfehlerfest“ ausgelegt ist. Ein Präzisierungsbedarf hinsichtlich „stuck rod“ und Einzelfehlerbesteht bei diesen Ereignissen u. E. nicht.8. Mindestens eine Abschalteinrichtung ist gemäß Ziffer 4 (7) von Modul 1 alleine in der Lage, die dauerhafte Unterkritikalität sicherzustellen. Bei dieserAbschalteinrichtung gilt, sofern die Unterkritikalität mit Steuerstäben herbeigeführt wird (SWR), das unter Nummer 7 Gesagte (siehe hierzu Ziffer 4 (7)Modul 1, letzter Satz). Sofern die dauerhafte Unterkritikalität mit anderen Einrichtungen (Bor) herbeigeführt wird, gilt für diese Einrichtung das EFK wiefür jede andere Sicherheitseinrichtung.9. Nur für einen ggf. ereignisspezifisch vorhandenen Übergangsbereich nach erfolgter RESA bis zur Sicherstellung der dauerhaften Unterkritikalitätdurch die dafür vorgesehene Einrichtung, bei dem sowohl das Schnellabschaltsystem als auch Boreinspeisesysteme in ihrer Wirksamkeit benötigtsein können, um die geforderte Unterkritikalität zu erreichen, stellt sich die Frage der „Überlagerung“ des „stuck rod“ Postulats mit dem Einzelfehlergemäß EFK. Dies betrifft „reflux condenser“ Szenarien bei KMV-Störfällen sowie eventuell bei manchen Anlagen das Erdbeben. Für diesen Übergangsbereichist eine Klarstellung des Zusammenwirkens „Stuck rod“ Postulat mit EFK vorzunehmen.10. In diesem Übergangsbereich ist es u. E. sicherheitstechnisch nicht erforderlich, eine Überlagerung des „stuck rod“ mit dem EFK zu fordern. Hier istu. E. der „stuck rod“ wie ein Einzelfehler zu behandeln, d.h. dann zu unterstellen, wenn er die ungünstigsten Auswirkungen zeigt. In diesem Fall istdamit der Einzelfehler des EFK „verbraucht“.11. Eine entsprechende Formulierung ist in Modul 1 Ziffer 4 (7) Revision B umgesetzt.Stuck rod nicht der Einzelfehler?BMI-SicherheitskriterienKriterium 5.3 Einrichtungen zur Steuerung und Abschaltung des KernreaktorsDie Einrichtungen zur Steuerung und Abschaltung des Kernreaktors müssen alle im bestimmungsgemäßen Betrieb und bei Störfällen möglichen Reaktivitätsänderungenbeherrschen, so dass die jeweils spezifizierten Grenzwerte für das Reaktorsystem bei den in Betrachtung zu ziehenden Transienten nichtüberschritten werden.Die sich aus der Reaktivitätsbilanz ergebende Abschaltreaktivität muss auch für den Fall, dass Steuerelemente – mindestens das reaktivitätswirksamsteSteuerelement – voll ausgefallen sind, eine ausreichende Abschaltreserve enthalten.Interpretationen zum Einzelfehlerkonzept(2) Anwendungsbereich des EinzelfehlerkriteriumsEin Einzelfehler ist auch bei der Auslegung der Sicherheitseinrichtungen zur Reaktorabschaltung zu unterstellen.(6) Einzelfehler in mehreren zur Beherrschung des Anforderungsfalles erforderlichen Sicherheitseinrichtungen

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentarMüssen zur Beherrschung eines zu unterstellenden Anforderungsfalles mehrere der im Anwendungsbereich genannten Sicherheitseinrichtungen gleichzeitigoder auch zeitlich nacheinander ihre Funktion erfüllen, so ist das Auftreten eines Einzelfehlers für die Summe der Sicherheitseinrichtungen nachMaßgabe der Grundsätze des Einzelfehlerkonzeptes zu unterstellen, nicht aber für mehrere der benötigten Sicherheitseinrichtungen gleichzeitig.Davon abweichend ist in der Störfallanalyse bei Annahme des Ausfalls der ersten Anregung des Reaktorschutzsystems das gleichzeitige Auftreten einesEinzelfehlers an aktiven Systemteilen zu unterstellen, bei gleichzeitigem Instandsetzungsfall jedoch erst nach einem Zeitraum von 100 Stunden(KTA3501).KTA 31034 Auslegung4.1 Übergeordnete Anforderungen(1) …(2) Das Schnellabschaltsystem muss auch bei Auftreten eines Einzelfehlers, zum Beispiel Versagen des reaktivitätswirksamsten Steuerelements, seineunter 3.1 (1) a) beschriebene sicherheitstechnische Funktion erfüllen.(3) Die Abschaltsysteme, die Teil des Sicherheitssystems sind, müssen in ihrer Gesamtheit in der Lage sein, den Reaktor auch bei Auftreten eines Einzelfehlersbeliebig lange unterkritisch zu halten.Fazit:> BMI-Sicherheitskriterien geben vor, dass für Bilanzierung der Abschaltreaktivität immer auch die Nettobankwirksamkeit ausreichend sein muss. Sielassen aber offen, ob der stuck rod für Nachweise auf der Sicherheitsebene 3 dem Einzelfehler entspricht. Ähnlich RSK-LL 3.1.2 (9)> Die Interpretationen zum Einzelfehlerkonzept sowie KTA 3103 sprechen für Nachweise auf der Sicherheitsebene 3 eindeutig vom stuck rod als Einzelfehler.> Der Verweis auf im Ausland vorgenommene Kombination von stuck rod und Einzelfehler als Begründung übersieht, dass im Ausland das Einzelfehlerkonzeptanders gehandhabt wird (keine weitere Überlagerung eines Reparaturfalls).Die neue Anforderung, stuck rod und (deutsches) Einzelfehlerkonzept zu kombinieren, ist somit weder mit dem bestehenden deutschen Regelwerk nochmit der internationalen Praxis vereinbar. Es sind auch keine neuen Erkenntnisse zur Begründung vorhanden.Team 1Siehe Antwort auf vorhergehenden Kommentar. Hier nur der erneute Hinweis, dass u. E. eine sprachliche Gleichsetzung des „stuck rod“ Postulats mitdem Einzelfehler des Einzelfehlerkonzepts (EFK), wie in der KTA 3103 vorgenommen, nicht sachgerecht ist. Es ist außerdem darauf hinzuweisen, dassentgegen der Aussage im Kommentar, in den Interpretationen zum EFK nicht eindeutig vom „stuck rod“ als Einzelfehler gesprochen wird. Dies ist eineInterpretation des Kommentators.612 FANP Stuck rod + Einzelfehlerkonzept?> Ansatz Team: Stuck rod ist immer zu unterstellen, Einzelfehlerkonzept ist auf Sicherheitsebene 3 zusätzlich zu berücksichtigenBegründung: ergibt sich aus BMI-SiKri, international üblich> Einwand: logische Konsequenz dieses Ansatzes wäre, dass es auch Doppel-Stuck rod gibt; wird jedoch weder in Deutschland noch international praktiziert> Reaktion Team: Ausnahmeregelung, Einzelfehler wird nicht in Steuerelement gelegt> Einwand: Addition von SR und EF-Konzept auf SiE 3 ist in Deutschland nicht Begutachtungspraxis• Allerdings in Analysen meist auch nicht relevant, da Bankwirksamkeit Reserven hat• Relevant bei• Abfahren nach Erdbeben in Zustand „kalt, Xe-frei“• Reflux condensor bei kleinem Leck mit Zusatzbedingungen• Abfahren nach station black out157

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorKommentar> Reaktion Team: Ausnahme für Erdbeben, da „genehmigt“, aber nicht für andere Fälle, da in der Form nur begutachtet, aber nicht „genehmigt.> Einwand: Wo bleibt die technische Logik?RegelwerkstexteBMI-SicherheitskriterienKriterium 5.3 Einrichtungen zur Steuerung und Abschaltung des KernreaktorsDie Einrichtungen zur Steuerung und Abschaltung des Kernreaktors müssen alle im bestimmungsgemäßen Betrieb und bei Störfällen möglichen Reaktivitätsänderungenbeherrschen, so dass die jeweils spezifizierten Grenzwerte für das Reaktorsystem bei den in Betrachtung zu ziehenden Transienten nichtüberschritten werden.Die sich aus der Reaktivitätsbilanz ergebende Abschaltreaktivität muss auch für den Fall, dass Steuerelemente – mindestens das reaktivitätswirksamsteSteuerelement – voll ausgefallen sind, eine ausreichende Abschaltreserve enthalten.Interpretationen zum Einzelfehlerkonzept(2) Anwendungsbereich des EinzelfehlerkriteriumsEin Einzelfehler ist auch bei der Auslegung der- Sicherheitseinrichtungen zur Reaktorabschaltung ……zu unterstellen.(6) Einzelfehler in mehreren zur Beherrschung des Anforderungsfalles erforderlichen SicherheitseinrichtungenMüssen zur Beherrschung eines zu unterstellenden Anforderungsfalles mehrere der im Anwendungsbereich genannten Sicherheitseinrichtungen gleichzeitigoder auch zeitlich nacheinander ihre Funktion erfüllen, so ist das Auftreten eines Einzelfehlers für die Summe der Sicherheitseinrichtungen nachMaßgabe der Grundsätze des Einzelfehlerkonzeptes zu unterstellen, nicht aber für mehrere der benötigten Sicherheitseinrichtungen gleichzeitig.Davon abweichend ist in der Störfallanalyse bei Annahme des Ausfalls der ersten Anregung des Reaktorschutzsystems das gleichzeitige Auftreten einesEinzelfehlers an aktiven Systemteilen zu unterstellen, bei gleichzeitigem Instandsetzungsfall jedoch erst nach einem Zeitraum von 100 Stunden(KTA3501).KTA 31034 Auslegung4.1 Übergeordnete Anforderungen(1) …(2) Das Schnellabschaltsystem muss auch bei Auftreten eines Einzelfehlers, zum Beispiel Versagen des reaktivitätswirksamsten Steuerelements,seine unter 3.1 (1) a) beschriebene sicherheitstechnische Funktion erfüllen.(3) Die Abschaltsysteme, die Teil des Sicherheitssystems sind, müssen in ihrer Gesamtheit in der Lage sein, den Reaktor auch bei Auftreten einesEinzelfehlers beliebig lange unterkritisch zu halten.Fazit Regelwerkstexte:> BMI-Sicherheitskriterien geben vor, dass für Bilanzierung der Abschaltreaktivität immer auch die Nettobankwirksamkeit ausreichend sein muss. Sielassen aber offen, ob der stuck rod für Nachweise auf der Sicherheitsebene 3 dem Einzelfehler entspricht. Ähnlich RSK-LL 3.1.2 (9)> Die Interpretationen zum Einzelfehlerkonzept sowie KTA 3103 sprechen für Nachweise auf der Sicherheitsebene 3 eindeutig vom stuck rod als Einzelfehler.> Der Verweis auf im Ausland vorgenommene Kombination von stuck rod und Einzelfehler als Begründung übersieht, dass im Ausland das Einzelfehlerkonzeptanders gehandhabt wird (keine weitere Überlagerung eines Reparaturfalls).Die neue Anforderung, stuck rod und (deutsches) Einzelfehlerkonzept zu kombinieren, ist somit weder mit dem bestehenden deutschen Regelwerk vereinbarnoch aus der internationalen Praxis abzuleiten.158

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorTeam 1KommentarNeue Erkenntnisse?> Überlagerungen von Postulaten werden typischerweise vorgenommen, wenn Analyse oder Erfahrung zeigt, dass das gleichzeitige Eintreten aufgrundder Wahrscheinlichkeit und des Schadensausmaßes in Betracht gezogen werden muss. (z.B. bisherige Praxis der Überlagerung von Notstromfall mitStörfall)> Gibt es eine neue Erkenntnis, dass Stuck rod nach dem heutigen Kenntnisstand für deutsche KKW als wahrscheinlicher eingestuft werden muss, alsfrüher angenommen? Nein, das Gegenteil ist der Fall. In deutschen DWR z.B. hat es in den vergangenen knapp 40 Jahren insgesamt näherungsweise75 000 Einwürfe von Steuerelementen gegeben ohne einen einzigen stuck rod!Auf Grund der Betriebserfahrung ist festzustellen, dass es sich bei einem stuck rod um einen besonders unwahrscheinlichen Einzelfehlertyp handelt. Esbesteht somit auch aufgrund neuer Erkenntnisse keinerlei Anlass, den stuck rod als Zusatzpostulat mit dem Einzelfehlerkonzept zu überlagern. Wiederkein Kredit für gute „präventive Technik“?Siehe Antwort auf vorhergehenden Kommentar.615 VGB Power Die geforderte Überlagerung des Konzepts „Einzelfehler plus Reparaturfall“ mit dem Postulat „stuck rod“ (Module 2 und 3) geht sowohl über die deutscheals auch die internationale Praxis weit hinaus. Sie widerspricht den geltenden Interpretationen zu den Sicherheitskriterien.Gemäß BMI-Sicherheitskriterien ist für die Summe der Abschalteinrichtungen ein Fehler zu unterstellen:Kriterium 5.3 Einrichtungen zur Steuerung und Abschaltung des KernreaktorsDie Einrichtungen zur Steuerung und Abschaltung des Kernreaktors müssen alle im bestimmungsgemäßen Betrieb und bei Störfällen möglichen Reaktivitätsänderungenbeherrschen, so dass die jeweils spezifizierten Grenzwerte für das Reaktorsystem bei den in Betrachtung zu ziehenden Transientennicht überschritten werden.…Die sich aus der Reaktivitätsbilanz ergebende Abschaltreaktivität muss auch für den Fall, dass Steuerelemente – mindestens das reaktivitätswirksamsteSteuerelement – voll ausgefallen sind, eine ausreichende Abschaltreserve enthalten.Diese Kriterien sind entsprechend der gültigen Interpretation zum Einzelfehlerkonzept (…) eindeutig definiert:(2) Anwendungsbereich des Einzelfehlerkriteriums…Ein Einzelfehler ist auch bei der Auslegung der- Sicherheitseinrichtungen zur Reaktorabschaltung …zu unterstellen.(6) Einzelfehler in mehreren zur Beherrschung des Anforderungsfalles erforderlichen SicherheitseinrichtungenMüssen zur Beherrschung eines zu unterstellenden Anforderungsfalles mehrere der im Anwendungsbereich genannten Sicherheitseinrichtungengleichzeitig oder auch zeitlich nacheinander ihre Funktion erfüllen, so ist das Auftreten eines Einzelfehlers für die Summe der Sicherheitseinrichtungennach Maßgabe der Grundsätze des Einzelfehlerkonzeptes zu unterstellen, nicht aber für mehrere der benötigten Sicherheitseinrichtungengleichzeitig.Der in den Modulen 2 und 3 gewählte Ansatz, wonach der stuck rod, also der Fehler im Schnellabschaltsystem, zusätzlich zum Einzelfehler immer zuunterstellen ist, widerspricht den BMI- Sicherheitskriterien und der aktuellen Nachweispraxis im atomrechtlichen Aufsichtsverfahren.Team 1Siehe Antwort auf vorhergehenden Kommentar.159

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)4 (7) Mindestens eine Abschalteinrichtungist allein in der Lage, den Reaktornach erfolgter Abschaltung aufden Sicherheitsebenen 1 bis 4a,auch bei der für die Reaktivitätsbilanzungünstigsten Temperatur, dieunter den in Betracht zu ziehendenEreignissen möglich ist, dauerhaftunterkritisch zu halten.Bei Kühlmittelverlustereignissenkönnen zur Sicherstellung der dauerhaftenUnterkritikalität die Einrichtungenzur Notkühlung herangezogenwerden.Sofern die dauerhafte Abschaltungmittels Steuerstäben sichergestelltwird, wird auf den Sicherheitsebenen1 bis 3 das Nichteinfahren deswirksamsten Steuerstabs unterstellt.4 (8) Die Einbauten des Reaktordruckbehälterssind so beschaffen und angeordnet,dass bei den auf denSicherheitsebenen 1 und 2 auftretendenEinwirkungen die anforderungsgerechteFunktionsfähigkeitder Einbauten erhalten bleibt.Die Einbauten sind so beschaffen,dass bei störfallbedingten Einwirkungensowie bei Einwirkungen ausden Ereignissen der Sicherheits-Team 1 Anforderungen sind durch Ziffern 7.1 (2), 7.2(1), 7.3 (1) und 7.4 (1) von Modul 2 erfasst.Ziffer 4 (8) Modul 1 wird gestrichen.1604 (7) Mindestens eine Abschalteinrichtung istallein in der Lage, den Reaktor nacherfolgter Abschaltung auf den Sicherheitsebenen1 bis 4a, auch bei der fürdie Reaktivitätsbilanz ungünstigstenTemperatur, die unter den in Betracht zuziehenden Ereignissen möglich ist, dauerhaftunterkritisch zu halten.Bei Kühlmittelverluststörfällen ereignissenkönnen zur Sicherstellung der dauerhaftenUnterkritikalität die Einrichtungenzur Notkühlung herangezogen werden.Beim Nachweis, dass die geforderteUnterkritikalität nach erfolgter Abschaltungdurch das Schnellabschaltsystemaufrecht erhalten bleibt, wird der unterstellteNichteinfall des reaktivitätswirksamstenSteuerelements bei Ereignissender Sicherheitsebene 3 wie einEinzelfehler gemäß Ziffer 3.1 (4) behandelt.Sofern die dauerhafte Abschaltungdurchmittels Steuerstäben sichergestelltwird, wird auf den Sicherheitsebenen 1bis 3 das Nichteinfahren bzw. Nichteinschießendes wirksamsten Steuerstabsunterstellt.4 (8) Die Einbauten des Reaktordruckbehälterssind so beschaffen und angeordnet,dass bei den auf den Sicherheitsebenen1 und 2 auftretenden Einwirkungen dieanforderungsgerechte Funktionsfähigkeitder Einbauten erhalten bleibt.Die Einbauten sind so beschaffen, dassbei störfallbedingten Einwirkungen sowiebei Einwirkungen aus den Ereignissender Sicherheitsebene 4a die sicherheitstechnischenNachweisziele eingehalten

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)ebene 4a die sicherheitstechnischenNachweisziele eingehalten werdenund damit die sichere Abschaltungdes Reaktors und die ausreichendeAbfuhr der Nachwärme gewährleistetsind und unzulässige Folgen, wiez.B. unzulässige Reaktivitätserhöhungen,ausgeschlossen werdenkönnen.werden und damit die sichere Abschaltungdes Reaktors und die ausreichendeAbfuhr der Nachwärme gewährleistetsind und unzulässige Folgen, wie z.B.unzulässige Reaktivitätserhöhungen,ausgeschlossen werden können.4 (9) Maßnahmen und Einrichtungen zurHandhabung und Lagerung derunbestrahlten und bestrahlten Kernbrennstoffesind derart vorgesehen,dass ein Kritikalitätsereignis in denLagereinrichtungen auch unter Störfallbedingungenbzw. bei den Ereignissender Sicherheitsebene 4anicht zu unterstellen ist.4 (10) Bei Ereignissen und Zuständen derSicherheitsebene 4b soll durch dieMaßnahmen des anlageninternenNotfallschutzes die Kontrolle derReaktivität im Reaktorkern sowie beider Brennelementlagerung soweiterhalten oder wieder hergestelltwerden, dass Zustände, die zumVerlust der Kern- bzw. Brennelementkühlungführen würden, vermiedenwerden können.585 ESN Bemerkung: Hier wird dargestellt, dassdurch anlageninterne Notfallschutzmaßnahmendie Kontrolle der Reaktivität im Reaktorkern/BE-Lagerung erhalten oder wiederhergestellt werden soll, so dass Zustände,die zum Verlust der Kern-/ BE-Kühlung vermiedenwerden. U.E. existieren derartigeNotfallmaßnahmen (z.B. Boreinspeisung) indeutschen KKWs nicht – insofern wird mitder hier verwendeten Formulierung eineneue Anforderung gestellt.Team 1: Sofern bei Ereignissen/Zuständender Sicherheitsebene 4b die Kontrolle derReaktivität im Kern bzw. BE- Becken in Fragegestellt ist, sind u. E. Notfallmaßnahmenmit der angesprochenen Aufgabenstellungvorzuplanen (siehe auch Ziffer 2.3 (3)). Dadurch diese Ziffer ausreichend erfasst, wirdZiffer 4 (10) gestrichen.4 (89) Maßnahmen und Einrichtungen zurHandhabung und Lagerung der unbestrahltenund bestrahlten Kernbrennstoffesind derart vorgesehen, dass einKritikalitätsereignis in den Lagereinrichtungenauch unter Störfallbedingungenbzw. bei den Ereignissen der Sicherheitsebene4a nicht zu unterstellen ist.4 (10) Bei Ereignissen und Zuständen derSicherheitsebene 4b soll durch dieMaßnahmen des anlageninternen Notfallschutzesdie Kontrolle der Reaktivitätim Reaktorkern sowie bei der Brennelementlagerungsoweit erhalten oder wiederhergestellt werden, dass Zustände,die zum Verlust der Kern- bzw. Brennelementkühlungführen würden, vermiedenwerden können.5. Anforderungen zur Kühlung der 5. Anforderungen zur Kühlung der161

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)BrennelementeBrennelemente5 (1) Die Kühlung der Brennelemente(Wärmeabfuhr aus dem Reaktorkernund den Brennelementlagereinrichtungen)ist auf den Sicherheitsebenen1 bis 4a in allen Betriebsphasensichergestellt.5 (1) Die Kühlung der Brennelemente (Wärmeabfuhraus dem Reaktorkern und denBrennelementlagereinrichtungen) ist aufden Sicherheitsebenen 1 bis 4a in allenBetriebsphasen sichergestellt.5 (2) Dazu wird die im Brennelementerzeugte Wärme derart abgeführt,dass die auf den Sicherheitsebenengeltenden sicherheitstechnischenNachweisziele und Nachweiskriterienim Hinblick auf die Einwirkungender Brennelemente und derübrigen sicherheitstechnisch wichtigenEinrichtungen während ihrergesamten Einsatzzeit in allen Betriebsphaseneingehalten werden.Dies ist dadurch sichergestellt, dassa) in ausreichendem Umfang Kühlmittelund Wärmesenken zur Verfügungstehen sowieb) der Wärmetransport vom Brennstoffbis zur Wärmesenke undc) die Wärmeabfuhr bei Handhabungund Lagerung der Brennelementegewährleistet ist.Team 1Streichung „in allen Betriebsphasen“, dabereits in Ziffer 5 (1) geregelt.5 (2) Dazu wird die im Brennelement erzeugteWärme derart abgeführt, dass die aufden Sicherheitsebenen geltenden sicherheitstechnischenNachweisziele undNachweiskriterien im Hinblick auf dieEinwirkungen auf die der Brennelementeund dier übrigen sicherheitstechnischwichtigen Einrichtungen während ihrergesamten Einsatzzeit in allen Betriebsphaseneingehalten werden.Dies ist dadurch sichergestellt, dassa) in ausreichendem Umfang Kühlmittelund Wärmesenken zur Verfügungstehen sowieb) der Wärmetransport vom Brennstoffbis zur Wärmesenke undc) die Wärmeabfuhr bei Handhabungund Lagerung der Brennelementegewährleistet ist.5 (3) Es ist ein zuverlässiges und redundantaufgebautes System zum Abfahrendes Reaktors und zur Nachwärmeabfuhrim bestimmungsgemäßenBetrieb vorgesehen, welchesso beschaffen ist, dass auch nachUnterbrechung der Wärmeabfuhrvom Reaktor zur Hauptwärmesenkeauch bei Auftreten eines Einzelfehlerswährend eines Instandhaltungs-5 (3) Es ist ein zuverlässiges und redundantaufgebautes System zum Abfahren desReaktors und zur Nachwärmeabfuhr imbestimmungsgemäßen Betrieb vorgesehen,welches so beschaffen ist, dassauch nach Unterbrechung der Wärmeabfuhrvom Reaktor zur Hauptwärmesenke,auch bei Auftreten eines Einzelfehlerswährend eines Instandhaltungsfallesim Nachwärmeabfuhrsystem, die162

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)falles im Nachwärmeabfuhrsystemdie sicherheitstechnischen Nachweiszieleund Nachweiskriterien fürdie Brennelemente, für die Kerneinbauten,für die druckführende Umschließungdes Reaktorkühlmittelssowie für den Sicherheitseinschlusserfüllt werden.sicherheitstechnischen Nachweiszieleund Nachweiskriterien für die Brennelemente,für die Kerneinbauten, für dieDdruckführende Umschließung desReaktorkühlmittels sowie für den Sicherheitseinschlusserfüllt werden.5 (4) Es ist ein zuverlässiges und redundantaufgebautes System für dieNotkühlung (Notkühlsystem) desReaktorkerns bei Kühlmittelverluststörfällenvorgesehen, welchesgewährleistet, dass für die in Betrachtkommenden Bruchgrößen,Bruchlagen, Betriebszustände undTransienten im Reaktorkühlsystema) die sicherheitstechnischen Aufgabenauch unter Beachtung derVorgaben des Einzelfehlerkonzeptserfüllt werden,b) die jeweils geltenden sicherheitstechnischenNachweiszieleund Nachweiskriterien für dieBrennelemente, die Kerneinbautenund für den Sicherheitseinschlussnicht überschritten werden,c) chemische Reaktionen auf einsicherheitstechnisch unbedenklichesMaß beschränkt werden.5 (5) Es ist ein zuverlässiges, redundantaufgebautes System zum Abfahrendes Reaktors und zur Nachwärmeabfuhrbei Störfällen ohne Kühlmittelverlustvorgesehen, welchesgewährleistet, dass auch nach Unterbrechungoder Störung der Wär-5 (4) Es ist ein zuverlässiges und redundantaufgebautes System für die Notkühlung(Notkühlsystem) des Reaktorkerns beiKühlmittelverluststörfällen vorgesehen,welches gewährleistet, dass für die inBetracht kommenden Bruchgrößen,Bruchlagen, Betriebszustände undTransienten im Reaktorkühlsystema) die sicherheitstechnischen Aufgabenauch unter Beachtung der Vorgabenvon Ziffer 3.1 (4) des Einzelfehlerkonzeptserfüllt werden,b) die jeweils geltenden sicherheitstechnischenNachweisziele undNachweiskriterien für die Brennelemente,die Kerneinbauten und fürden Sicherheitseinschluss eingehaltennicht überschritten werden.,c) chemische Reaktionen auf ein sicherheitstechnischunbedenklichesMaß beschränkt werden.5 (5) Es ist ein zuverlässiges, redundant aufgebautesSystem zum Abfahren desReaktors und zur Nachwärmeabfuhr beiStörfällen ohne Kühlmittelverlust vorgesehen,welches gewährleistet, dassauch nach Unterbrechung oder Störungder Wärmeabfuhr vom Reaktor zur163

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)meabfuhr vom Reaktor zur Hauptwärmesenkedie sicherheitstechnischenNachweisziele und Nachweiskriterienauch unter Beachtungder Vorgaben des Einzelfehlerkonzeptserfüllt werden.Hauptwärmesenke die sicherheitstechnischenNachweisziele und Nachweiskriterienauch unter Beachtung der Vorgabenvon Ziffer 3.1 (4) des Einzelfehlerkonzeptserfüllt werden.5 (6) Die Einrichtungen zur Lagerungbestrahlter Kernbrennstoffe verfügenüber ausreichende Lagerkapazitätensowie eine ausreichendwirksame und hinreichend zuverlässigeNachwärmeabfuhr auf denSicherheitsebenen 1 bis 4a. Einevollständige Auslagerung des Reaktorkernsin die vorhandenen Lagereinrichtungenist jederzeit möglich.508 Vattenfall Im Modul 1, Kapitel 5, Absatz 5 (6) wirdgefordert: "Eine vollständige Auslagerungdes Reaktorkerns in die vorhandenen Lagereinrichtungenmuss jederzeit möglichsein." Diese Forderung ist sicherheitstechnischnicht begründbar und folglich ersatzloszu streichen. Eine unterstellte Leckage amReaktordruckgefäß kann mit heute verfügbarerTechnik an beliebiger Stelle ggf. in Verbindungmit der Entladung weniger Brennelementebehoben werden. Die Forderungnach einer "jederzeit" möglichen Endladbarkeitsuggeriert einen aus sicherheitstechnischerSicht kurzfristigen Handlungsbedarf,der sich aus dem bestehenden Auslegungskonzeptder Anlagen nicht ableiten lässt.Eine höhere Beladung des Lagerbeckens mitabgebrannten, bereits über Jahre abgeklungenenBrennelementen wirkt sich auch ausradiologischer Sicht nicht nachteilig aus, daderen Beitrag zum Aktivitätsinventar im Vergleichzu den jeweils zuletzt entladenenBrennelementen vernachlässigbar gering ist.Team 1: Es ist richtig, dass ein unmittelbarersicherheitstechnischer Grund für die Erforderniseiner vollständigen Auslagerung desKerns nicht bekannt ist. Diese Anforderunggehört allerdings zur „good practice“, auchinternational (siehe bspw. IAEA, NS-G 1.4,5.14: “In determining the adequacy of thestorage capacity, consideration should begiven to meeting the maximum requirementsfor fuel storage that may arise at any timeduring the lifetime of the reactor. In addition,1645 (6) Die Einrichtungen zur Lagerung bestrahlterKernbrennstoffe verfügen überausreichende Lagerkapazitäten sowieeine ausreichend wirksame und hinreichendzuverlässige Nachwärmeabfuhrauf den Sicherheitsebenen 1 bis 4a.Eine vollständige Auslagerung des Reaktorkernsin die vorhandenen Lagereinrichtungenist jederzeit möglich.

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)depending on the reactor type, free spaceshould be provided for unloading one fullcore at any time”. Insofern gehört diese Anforderungu. E. zum Regelungsumfang vonModul 1.5 (7) Bei Ereignissen und Zuständen derSicherheitsebene 4b ist das vorrangigeZiel die Vermeidung schwererKernschäden. Hierzu wird die Erhaltungoder Wiederherstellung derKühlung der Brennelemente durchMaßnahmen des anlageninternenNotfallschutzes angestrebt.6. Anforderungen zum Erhalt derBarrierenintegritätTeam 1 Durch Ziffer 2.3 (3) ausreichend erfasst ,daher wird Ziffer 5 (7) gestrichen.585 ESN Änderungsvorschlag: Im Abschnitt 6 sindkeine Anforderungen zu Erhalt der Barriereintegritätauf den Ebenen 4b/c enthalten,diese sollten ergänzt werden.Team 1: Ein gegenüber Ziffer 2.2 (6) Modul1 hinausgehender Umfang von Anforderungeninnerhalb von Modul 1 ist u. E. nichterforderlich.5 (7) Bei Ereignissen und Zuständen derSicherheitsebene 4b ist das vorrangigeZiel die Vermeidung schwerer Kernschäden.Hierzu wird die Erhaltung oderWiederherstellung der Kühlung derBrennelemente durch Maßnahmen desanlageninternen Notfallschutzes angestrebt.6. Anforderungen zum Erhalt der Barrierenintegrität6 (1) Die Brennstabhüllrohre (1. Barrieregemäß Ziffer 2.2 (3a)) sind so beschaffenund angeordnet, dass aufden Sicherheitsebenen 1 bis 3 derenIntegrität während ihrer gesamtenEinsatz- und Lagerzeit sichergestelltist, abgesehen vom zulässigenUmfang betrieblich bedingter Hüllrohrschäden.Unter den Bedingungen von Kühlmittelverluststörfällenwird der zulässigeBrennstabschadensumfangnicht überschritten.Bei den Ereignissen der Sicherheitsebene4a ist der Erhalt einerkühl- und abschaltbaren Geometriedes Reaktorkerns gewährleistet, beiTeam 1Streichung der in Modul 3 bereits detailliertergeregelten Anforderungen.6 (1) Die Brennstabhüllrohre (1. Barrieregemäß Ziffer 2.2 (3a)) sind so beschaffenund angeordnet, dass auf den Sicherheitsebenen1 bis 4a die jeweilsgeltenden sicherheitstechnischenNachweisziele und Nachweiskriterieneingehalten werden. 3 deren Integritätwährend ihrer gesamten Einsatz- undLagerzeit sichergestellt ist, abgesehenvom zulässigen Umfang betrieblichbedingter Hüllrohrschäden.Unter den Bedingungen von Kühlmittelverluststörfällenwird der zulässigeBrennstabschadensumfang nicht überschritten.Bei den Ereignissen der Sicherheitsebene4a ist der Erhalt einer kühl- und ab-165

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Betriebszuständen mit geöffnetemReaktordruckbehälter und Sicherheitsbehälterdie Integrität derBrennstabhüllrohre.schaltbaren Geometrie des Reaktorkernsgewährleistet, bei Betriebszuständenmit geöffnetem Reaktordruckbehälterund Sicherheitsbehälter die Integritätder Brennstabhüllrohre.6 (2a) Die Komponenten, die Reaktorkühlmittelführen und unter höheremals atmosphärischem Druck stehen(Druckführende Umschließung, 2.Barriere gemäß Ziffer 2.2 (3a)), sindso beschaffen und angeordnet sowiewerden so betrieben, dass dasAuftreten von Lecks, die auslegungsgemäßnicht beherrscht werden,rasch fortschreitenden Rissenund spröden Brüchen nicht unterstelltwerden muss.6 (2b) Zu diesem Zweck wird bei der Auslegungein sicherheitstechnischausreichender Zuschlag (gemäßZiffer 3.1 (1)) zu den Werten derEinwirkungen vorgesehen, um zugewährleisten, dass die Auslegungsbedingungender DruckführendenUmschließung im BestimmungsgemäßenBetrieb nicht überschrittenwerden. Einrichtungen füreine Überwachung auf etwaigeLeckagen während des Betriebessind vorgesehen.6 (2a) Die Komponenten, die Reaktorkühlmittelführen und unter höherem als atmosphärischemDruck stehen (DruckführendeUmschließung, 2. Barriere gemäßZiffer 2.2 (3a)), sind so beschaffen undangeordnet sowie werden so betrieben,dass das Auftreten von Lecks, die auslegungsgemäßnicht beherrscht werden,rasch fortschreitenden Rissen und sprödenBrüchen nicht unterstellt werdenmuss.6 (2b) Zu diesem Zweck wird bei der Auslegungein sicherheitstechnisch ausreichenderZuschlag (gemäß Ziffer 3.1(21)) auf die ermittelten zu den Wertender Einwirkungen vorgesehen, um zugewährleisten, dass die Auslegungsbedingungender Druckführenden Umschließungim bBestimmungsgemäßenBetrieb nicht überschritten werden. Einrichtungenfür eine Überwachung aufetwaige Leckagen während des Betriebessind installiert. vorgesehen.166

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)6 (2c) Zur Vermeidung der Überschreitungdes zulässigen Druckes in derdruckführenden Umschließung (beiDWR Anlagen einschließlich derSekundärseite des Dampferzeugers)sind wirksame und zuverlässigeEinrichtungen zur Druckbegrenzungund zur Überdruckabsicherungvorgesehen. Die Einrichtungen sindso beschaffen, dass die bei dersekundärseitigen und primärseitigenDruckentlastung auf den Sicherheitsebenen4b und 4c zu betrachtendenMedien sicher abgeführtwerden können.6 (2d) Die Komponenten der druckführendenUmschließung sind so angeordnetund verankert, dass bei anihnen auftretenden Störfällen keinesicherheitstechnisch unzulässigenFolgeschäden an anderen sicherheitstechnischwichtigen Einrichtungenverursacht werden können.585 ESN Änderungsvorschlag: Die im zweiten Satzangeführten Maßnahmen (SDE, PDE) sindMaßnahmen der Sicherheitsebene 4b. Insofernist die in diesem Kontext gemachteAngabe "Sicherheitsebene 4c" in Frage zustellen.Team 1: Der Kommentar ist berechtigt. DieMaßnahmen PDE und SDE des anlageninternenNotfallschutzes bei DWR sind fürEreignisse der Ebene 4b ausgelegt.Team 1 Sachverhalte sind entsprechend in Modul 4geregelt. Ziffer 6 (2d) Modul 1 wird gestrichen.6 (2c) Zur Vermeidung der Überschreitung deszulässigen Druckes in der DdruckführendenUmschließung (bei DWR Anlageneinschließlich der Sekundärseitedes Dampferzeugers) sind wirksameund zuverlässige Einrichtungen zurDruckbegrenzung und zur Überdruckabsicherungvorgesehen. Die Einrichtungensind so beschaffen, dass die bei dersekundärseitigen und primärseitigenDruckentlastung auf dern Sicherheitsebenen4b und 4c zu betrachtendenMedien sicher abgeführt werden können.6 (2d) Die Komponenten der druckführendenUmschließung sind so angeordnet undverankert, dass bei an ihnen auftretendenStörfällen keine sicherheitstechnischunzulässigen Folgeschäden ananderen sicherheitstechnisch wichtigenEinrichtungen verursacht werden können.6 (2e) Das Kernkraftwerk wird so betrieben,dass die jeweils geltendensicherheitstechnischen Nachweiszieleund Nachweiskriterien für dieBelastung der druckführenden Umschließungdes Reaktorkühlmittelsauf den Sicherheitsebenen 1 bis 4anicht erfüllt.6 (3a) Das Kernkraftwerk besitzt einenSicherheitseinschluss (3. Barrieregemäß Ziffer 2.2 (3a)), der seinesicherheitstechnische Aufgabe unterallen Bedingungen der Sicherheitsebenen1 bis 3 sowie der Transien-Team 1 Sprachliche Anpassung. 6 (2de) Das Kernkraftwerk wird so betrieben,dass die jeweils zulässigen Werte fürEinwirkungen auf die geltenden sicherheitstechnischenNachweisziele undNachweiskriterien für die Belastung derDdruckführenden Umschließung desReaktorkühlmittels auf den Sicherheitsebenen1 bis 4a nicht überschrittenwerden. nicht erfüllt.6 (3a) Das Kernkraftwerk besitzt einen Sicherheitseinschluss(3. Barriere gemäß Ziffer2.2 (3a)), der seine sicherheitstechnischeAufgabe unter allen Bedingungender Sicherheitsebenen 1 bis 3 sowie beider Transienten mit Ausfall der Reaktor-167

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)ten mit Ausfall der Reaktorschnellabschaltungin der Sicherheitsebene4a erfüllen kann. Dies gilt in denBetriebsphasen A und B sowie inder Betriebsphase C bis zum Zeitpunktdes Öffnens des Sicherheitsbehälters.In den Betriebsphasen C bis E, beidenen der Sicherheitsbehälter geöffnetsein kann, ist sichergestellt,dass unter den Bedingungen derSicherheitsebene 1 sowie bei denzu unterstellenden Ereignissen derSicherheitsebenen 2 und 3 wirksameund zuverlässige Rückhalteeinrichtungenvorhanden sind und einunzulässiger Verlust von Kühlmittelaus dem Sicherheitsbehälter durchkurzfristig mögliche Maßnahmenunterbunden wird.Einrichtungen, die radioaktive Stoffeenthalten, werden innerhalb desSicherheitseinschlusses untergebracht,soweit eine unzulässigeFreisetzung radioaktiver Stoffe in dieUmgebung nicht auf andere Weiseausreichend zuverlässig verhindertwerden kann. In dem Sicherheitsbehältersind grundsätzlich die unterhohem Druck stehenden, Primärkühlmittelführenden Komponentender Reaktoranlage untergebracht.Hiervon ausgenommen werdenkönnen Abschnitte der Frischdampfleitungenund Speisewasserleitungensowie sonstiger Leitungen,soweit dies technisch notwendig istund sofern gewährleistet ist, dassderen Bruch nicht zu unzulässigerStrahlenexposition in der Umgebungschnellabschaltung (in der Sicherheitsebene4a) erfüllen kann. Dies gilt in denBetriebsphasen A und B sowie in derBetriebsphase C bis zum Zeitpunkt desÖffnens des Sicherheitsbehälters.In den Betriebsphasen C bis E, bei denender Sicherheitsbehälter geöffnetsein kann, ist sichergestellt, dass unterden Bedingungen der Sicherheitsebene1 sowie bei den zu unterstellenden Ereignissender Sicherheitsebenen 2 und3 wirksame und zuverlässige Rückhaltefunktioneneinrichtungen vorhanden sindund ein unzulässiger Verlust von Kühlmittelaus dem Sicherheitsbehälterdurch kurzfristig mögliche Maßnahmenunterbunden wird.Einrichtungen, die radioaktive Stoffeenthalten, werden innerhalb des Sicherheitseinschlussesuntergebracht, soweiteine unzulässige Freisetzung radioaktiverStoffe in die Umgebung nicht aufandere Weise ausreichend zuverlässigverhindert werden kann.In dem Sicherheitsbehälter sind grundsätzlichdie unter hohem Druck stehenden,Primärkühlmittel führenden Komponentender ReaktoraAnlage untergebracht.Hiervon ausgenommen werdenkönnen Abschnitte der Frischdampfleitungenund Speisewasserleitungensowie sonstiger Leitungen, soweit diestechnisch notwendig ist und sofern gewährleistetist, dass deren Bruch solcherLeitungen nicht zu unzulässiger Strahlenexpositionin der Umgebung führt.Es ist ein zuverlässiger, ausreichendschneller und hinreichend langzeitigerAbschluss der Durchdringungen durchden Sicherheitsbehälter ist gewährleis-168

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)führt. Es ist ein zuverlässiger, ausreichendschneller und hinreichendlangzeitiger Abschluss der Durchdringungendurch den Sicherheitsbehältergewährleistet.tet.6 (3b) Bei Kühlmittelverluststörfällen wirdim Sumpfbetrieb ein langfristigerTemperatur- oder Druckanstieg imSicherheitsbehälter verhindert.6 (3b) Bei Kühlmittelverluststörfällen wird währenddes im Sumpfbetriebs ein langfristigerTemperatur- oder Druckanstieg imSicherheitsbehälter verhindert.7. Zu berücksichtigende Ereignisse 7. Zu berücksichtigende Betriebszuständeund Ereignisse7.1 Störungen und Störfälle 7.1 Betriebszustände, Störungen undStörfälle7.1 (1) Der Auslegung der gemäß Ziffer 2.1(3) auf den Sicherheitsebenen zuverwirklichenden Maßnahmen undEinrichtungen sind jeweils zugrundegelegt:- die in der Sicherheitsebene 1 zuerwartenden Betriebszuständeeinschließlich von Prüfzuständen,- die Ereignisse, deren Eintretenwährend der Betriebsdauer derAnlage zu erwarten ist (Sicherheitsebene2), sowie- ein abdeckendes Spektrum anEreignissen, deren Eintreten währendder Betriebsdauer der Anlagenicht zu erwarten, jedoch dennochzu unterstellen ist (Sicherheitsebene3).7.1 (2) Die Auslegung der jeweiligen Maßnahmenund Einrichtungen erfolgtderart , dass für die zu berücksichti-1697.1 (1) Der Auslegung der gemäß Ziffer 2.1 (3)auf den Sicherheitsebenen 1 bis 3 zuverwirklichenden Maßnahmen und Einrichtungensind jeweils zu gGrundegelegt:- die in der Sicherheitsebene 1 zu erwartendenBetriebszustände einschließlichvon Prüfzuständen,- die Ereignisse, deren Eintreten währendder Betriebsdauer der Anlage zuerwarten ist (Sicherheitsebene 2), sowie- ein abdeckendes Spektrum an Ereignissen,deren Eintreten während derBetriebsdauer der Anlage auf Grundder Zuverlässigkeit und Wirksamkeitder vorhandenen Maßnahmen und Einrichtungennicht zu erwarten, jedochdennoch zu unterstellen ist (Sicherheitsebene3).7.1 (2) Die Auslegung der jeweiligen Maßnahmenund Einrichtungen erfolgt derart ,dass für die zu berücksichtigenden Be-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)genden Betriebszustände und Ereignisseunter Berücksichtigungfestgelegter Randbedingungennachgewiesen wird, dass die jeweiliggeltenden sicherheitstechnischenNachweisziele und Nachweiskriterienerfüllt werden.triebszustände und Ereignisabläufseunter Berücksichtigung festgelegterRandbedingungen nachgewiesen wird,dass die jeweilig geltenden sicherheitstechnischenNachweisziele und Nachweiskriterienerfüllt werden.7.1 (3) Die Vollständigkeit und der abdeckendeCharakter der zu betrachtendenEreignisse sind anlagenspezifischgewährleistet.7.1 (3) Die Vollständigkeit und der abdeckendeCharakter der zu betrachtenden Ereignissabläufesind anlagenspezifisch gewährleistet.HinweisDie auf den einzelnen Sicherheitsebenenmindestens herangezogenen Ereignissesowie die jeweilig einzuhaltenden sicherheitstechnischenNachweisziele undNachweiskriterien sind in „Sicherheitsanforderungenfür Kernkraftwerke: BeiDruck- und Siedewasserreaktoren zuberücksichtigende Ereignisse" dargestellt.Hinweis Die auf den einzelnen Sicherheitsebenen 2bis 4a mindestens herangezogenen Ereignisabläufsesowie die jeweilig einzuhaltendensicherheitstechnischen Nachweisziele undNachweiskriterien sind in „Sicherheitsanforderungenfür Kernkraftwerke: Bei Druck- undSiedewasserreaktoren zu berücksichtigendeEreignisse" (Modul 3) dargestellt.7.2 Übergreifende Einwirkungen vonInnen (EVI) und Außen (EVA)7.2 (1) Alle Einrichtungen, die erforderlichsind, den Kernreaktor sicher abzuschalten,ihn in abgeschaltetemZustand zu halten, die Nachwärmeabzuführen oder eine etwaige Freisetzungradioaktiver Stoffe zu verhindern,sind so ausgelegt undbefinden sich in einem solchenZustand und werden dort gehalten,dass sie ihre sicherheitstechnischenAufgaben auch bei naturbedingtenEinwirkungen, soweit sie in Betrachtzu ziehen sind, oder sonstigen Einwirkungenvon Außen, wie StörmaßnahmenDritter, erfüllen können.7.2 Übergreifende Einwirkungen voniInnen (EVI) und aAußen (EVA)7.2 (1) Alle Einrichtungen, die erforderlich sind,den Kernreaktor sicher abzuschalten,und ihn in abgeschaltetem Zustand zuhalten, die Nachwärme abzuführen odereine etwaige Freisetzung radioaktiverStoffe zu verhindern, sind so ausgelegtund befinden sich dauerhaft in einemsolchen Zustand, und werden dortgehalten, dass sie ihre sicherheitstechnischenAufgaben auch bei naturbedingtenEinwirkungen, soweit sie in Betrachtzu ziehen sind, oder sonstigen Einwirkungenvon aAußen, wie StörmaßnahmenDritter, erfüllen können.170

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)7.2 (2) Der Auslegung dieser Einrichtungensind zugrunde gelegt:1. die jeweils folgenschwerstennaturbedingten Einwirkungen o-der sonstigen Einwirkungen vonAußen, die an dem betreffendenStandort berücksichtigt werdenmüssen;2. den Besonderheiten lange andauernderäußerer Einwirkungenist Rechnung zu tragen;3. Kombinationen mehrerer naturbedingteroder sonstiger Einwirkungenvon Außen (z.B. Erdbeben,Hochwasser, Sturm, Blitz,Brände) oder Kombinationen dieserEinwirkungen mit internenEreignissen (z.B. Rohrleitungsbruch,Brände in der Anlage,Rauchentwicklung, Notstromfall)sind dann zu unterstellen, wenndie zu kombinierenden Ereignissein einem kausalen Zusammenhangstehen können oderwenn ihr gleichzeitiges Eintretenauf Grund von Wahrscheinlichkeitsbetrachtungenoder nachdem Stand von Wissenschaft undTechnik unterstellt werden muss.7.2 (3) Die erkennbare zukünftige Entwicklungder Eigenschaften des Standortesim Hinblick auf die zu betrachtendenEinwirkungen von Außen istberücksichtigt.7.2 (4) Brände und Explosionen in derAnlage werden verhütet. Die sicherheitstechnischwichtigen Maßnah-7.2 (2) Der Auslegung dieser Einrichtungensind zu gGrunde gelegt:1. die jeweils folgenschwersten naturbedingtenEinwirkungen oder sonstigenEinwirkungen von aAußen, diean dem betreffenden Standort berücksichtigtwerden müssen;2. dien Besonderheiten lange andauernderäußerer Einwirkungen istRechnung zu tragen;3. Kombinationen mehrerer naturbedingteroder sonstiger Einwirkungenvon aAußen (z.B. Erdbeben, Hochwasser,Sturm, Blitz, Brände) oderKombinationen dieser Einwirkungenmit internen Ereignissen (z.B. Rohrleitungsbruch,Brände in der Anlage,Rauchentwicklung, Notstromfall); dieseKombinationen werden sind dannzu unterstellt, en, wenn die zu kombinierendenEreignisse in einem kausalenZusammenhang stehen könnenoder wenn ihr gleichzeitiges Eintretenauf Grund von Wahrscheinlichkeitsbetrachtungenoder nach dem Standvon Wissenschaft und Technik unterstelltwerden muss.7.2 (3) Die erkennbare zukünftige Entwicklungder Eigenschaften des Standortes imHinblick auf die zu betrachtenden Einwirkungenvon aAußen ist berücksichtigt.7.2 (4) Brände und Explosionen in der Anlagewerden verhütet. Zudem sind Maßnahmenund Einrichtungen zur Beherr-171

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)men und Einrichtungen sind sobeschaffen und angeordnet, dassdie Erfüllung ihrer Aufgaben durchBrände und Explosionen nicht unzulässigbeeinträchtigt wird.schung von Bränden vorhanden. Diesicherheitstechnisch wichtigen Maßnahmenund Einrichtungen sind so beschaffenund angeordnet, dass die Erfüllungihrer Aufgaben durch Brände undExplosionen nicht unzulässig beeinträchtigtwird.7.2 (5) Es sind die Maßnahmen getroffen,die zur Verhinderung unzulässigerFolgen einer anlageninternen Überflutungvon sicherheitstechnischwichtigen Einrichtungen erforderlichsind.7.2 (6) Die zueinander redundanten Teilsystemevon Sicherheitseinrichtungensind räumlich getrennt aufgestelltoder aber sie sind geeignetgeschützt, um bei Einwirkungen vonAußen bzw. von Innen (wie Brandoder Überflutung) einen redundanzübergreifendenFunktionsausfall zuverhindern.7.2 (5) Es sind die Maßnahmen und Einrichtungenvorgesehen, getroffen, die zur Verhinderungunzulässiger Folgen eineranlageninternen Überflutung von sicherheitstechnischwichtigen Einrichtungenerforderlich sind.7.2 (6) Die zueinander redundanten Teilsystemevon Sicherheitseinrichtungen sindräumlich getrennt aufgestellt oder soaber sie sind geeignet geschützt, dassum bei Einwirkungen von aAußen bzw.von iInnen (wie Brand oder Überflutung)einen redundanzübergreifendern Funktionsausfallnicht zu unterstellen ist. zuverhindern.7.3 Notstandsfälle 7.3 Notstandsfälle7.3 (1) Bei der Auslegung der Anlage gegenEinwirkungen von Außen sindauch zivilisatorisch bedingte Einwirkungender Sicherheitsebene 4a(Notstandsfälle) berücksichtigt.7.3 (2) Die erkennbare zukünftige Entwicklungder Eigenschaften des Standortesim Hinblick auf zu betrachtendeNotstandsfälle ist berücksichtigt.7.3 (1) Bei der Auslegung der Anlage gegenEinwirkungen von aAußen sind auchzivilisatorisch bedingte Einwirkungen derSicherheitsebene 4a (Notstandsfälle)berücksichtigt.7.3 (2) Die erkennbare zukünftige Entwicklungder Eigenschaften des Standortes imHinblick auf zu betrachtende Notstandsfälleist berücksichtigt.Team 1 Verlagerung von Ziffer 3.2.5 (6) Modul 6Rev. A nach Modul 1.1727.3 (3) Kombinationen mehrerer Einwirkungenvon außen, die der Sicherheitsebene 4azugeordnet sind oder Kombinationendieser Einwirkungen mit internen Ereig-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)nissen (z.B. Rohrleitungsbruch, Brändein der Anlage, Rauchentwicklung, Notstromfall)werden dann unterstellt, wenndie zu kombinierenden Ereignisse ineinem kausalen Zusammenhang stehenkönnen oder wenn ihr gleichzeitigesEintreten auf Grund von Wahrscheinlichkeitsbetrachtungenunterstellt werdenmuss.7.4 Ereignisse mit Mehrfachversagenvon Sicherheitseinrichtungen7.4 (1) Für die Auslegung von Notfallmaßnahmender Sicherheitsebene 4bzur Wiederherstellung und zumErhalt der Kühlung der Brennelementeim Reaktorkern sind Ereignissein den Ereignisgruppen- Transienten,- kleine und mittlere (bis 0,1 F)Lecks am Reaktorkühlsystem innerhalbdes Sicherheitsbehälters,- Lecks mit Umgehung des Sicherheitsbehälterszugrunde gelegt.Für die Auswahl repräsentativerEreignisse ist in den Ereignisgruppenzusätzlich der Ausfall von Systemfunktionenunterstellt, die zuBeherrschung der Ereignisse erforderlichsind.622 Noack,RWE PowerAnalysen in der Sicherheitsebene 4b zumMehrfach-Versagen von Sicherheitseinrichtungenhaben wir bisher nicht durchgeführt.Ich möchte nur darauf hinweisen. Wir habensehr viele Störfälle in der Sicherheitsebene3. Wenn wir dazu Mehrfachversagen vonSicherheitseinrichtungen unterstellen müssen,dann ist das ein neuer Freiheitsgrad.Das potenziert die Anzahl der Untersuchungen.Wie geht man damit um? Ist diese Forderungüberhaupt gerechtfertigt? Wenn manes dann tut, haben wir etablierte Verfahren?Wie komme ich bei diesem Potenzieren vonMöglichkeiten zu einem praktikablen Weg?Das sollte erst einmal in der Fachwelt geklärtsein, bevor eine solche Forderung in dasRegelwerk überführt wird.Team 7: Die Darstellung der Vorgehensweisebei der Ermittlung des Ereignisspektrumsfür die Planung von Maßnahmen der Sicherheitsebene4b wurde präzisiert. Die Vorgehensweiseist näher erläutert im Modul 7,Kapitel 2.2.1 (Revision B). Die Formulierungenin Modul 1 und Modul 7 wurden angeglichen.1737.4 Ereignisse mit Mehrfachversagen vonSicherheitseinrichtungen7.4 (1) Der Planung von präventiven Maßnahmendes anlageninternen Notfallschutzesder Sicherheitsebene 4b Für dieAuslegung von Notfallmaßnahmen derSicherheitsebene 4b zur Wiederherstellungund zum Erhalt der Kühlung derBrennelemente im Reaktorkern sindEreignisse in folgenden Ereignisgruppenzu Grunde gelegt:- Transienten,- Kühlmittelverluststörfälle innerhalbdes Sicherheitsbehälters infolge vonkleinen und mittleren Lecks am Reaktorkühlkreislauf,kleine und mittlere(bis 0,1 F) Lecks am Reaktorkühlsysteminnerhalb des Sicherheitsbehälters,- Kühlmittelverluststörfälle Lecks mitUmgehung des Sicherheitsbehälterszugrunde gelegt.Für diese Ereignisse wird zur Planungvon präventiven Maßnahmen des anlageninternenNotfallschutzes zum einender vollständige Ausfall jeweils einer derzur Beherrschung der Ereignisse erforderlichenSicherheitsfunktionen und zumanderen jeweils einer der erforderlichen

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)Versorgungsfunktionen unterstellt.Fürdie Auswahl repräsentativer Ereignisseist in den Ereignisgruppen zusätzlich derAusfall von Systemfunktionen unterstellt,die zu Beherrschung der Ereignisseerforderlich sind.7.5 Unfälle mit schweren Kernschäden7.5 (1) Für die Auslegung von Notfallmaßnahmenund -strategien auf derSicherheitsebene 4c wird das für diebetreffende Anlage ermittelte anlagenspezifischrepräsentative Spektrumvon Ereignissen und Ereignisabläufenund die damit im Zusammenhangstehenden Phänomeneund Vorgänge bei Unfällen mitschweren Kernschäden betrachtet.Insbesondere werden die Schwachstellender Anlage in Bezug aufAktivitätsaustrag (Freisetzungspfadein die Umgebung) berücksichtigt.Für diese Phänomene und Vorgängesind Maßnahmen des anlageninternenNotfallschutzes und Notfallstrategienzur Unterstützung desanlageninternen Krisenstabs zurVermeidung oder Beherrschungoder Begrenzung ihrer radiologischenFolgen vorgesehen.585 ESN Änderungsvorschlag: Die verwendete Formulierung"Insbesondere werden dieSchwachstellen..." ist missverständlich. Siekann so interpretiert werden ,dass Anlagen(bekannte) Schwachstellen haben dürfen,diese jedoch erst ab der Ebene 4b zu berücksichtigensind. Im zweiten Absatz sollteaus dem Satzteil „...zur Vermeidung oderBeherrschung oder Begrenzung ihrer radiologischenFolgen vorgesehen“ die Beherrschunggestrichen werden, da radiologischeFolgen nicht beherrscht sondern nur begrenztbzw. gemindert werden können.Team 1: Den Vorschlägen wird gefolgt.1747.5 Unfälle mit schweren Kernschäden7.5 (1) Für die Planung von mitigativen Maßnahmendes anlageninternen Notfallschutzesder Sicherheitsebene 4c wirdein Ereignisspektrum zu Grunde gelegt,das die für den betreffenden Anlagentyprelevanten Phänomene bei Unfällen mitschweren Kernschäden berücksichtigt.Für die Auslegung von Notfallmaßnahmenund -strategien auf der Sicherheitsebene4c wird das für die betreffendeAnlage ermittelte anlagenspezifischrepräsentative Spektrum von Ereignissenund Ereignisabläufen und die damitim Zusammenhang stehenden Phänomeneund Vorgänge bei Unfällen mitschweren Kernschäden betrachtet. Insbesonderewerden die Schwachstellender Anlage in Bezug auf Aktivitätsaustrag(Freisetzungspfade in die Umgebung)berücksichtigt.Dabei werden insbesondere Phänomenebetrachtet, die die Integrität des Sicherheitsbehältersgefährden sowieAuswirkungen in Bezug auf die Freisetzungradioaktiver Stoffe und möglicheFreisetzungspfade dieser in die Umgebunghaben. Für diese Phänomene undVorgänge sind Maßnahmen des anlageninternenNotfallschutzes und Notfallstrategienzur Unterstützung des anlageninternenKrisenstabs zur Vermei-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)dung oder Beherrschung oder Begrenzungihrer radiologischen Folgen vorgesehen.622 Noack,RWE PowerZur Sicherheitsebene 4c besteht Dissens.Ich möchte nur noch einmal festhalten, dassdie Forderungen, die hier aufgestellt werden,einen Kenntnisstand implizieren, den esnicht gibt. Als Beispiel: benennen Sie mirjemanden, der mir sagen kann, wie die Viskositätvon Corium ist. Oder benennen Siemir jemanden, der mir klar darlegen kann,wie es kam, dass der RDB bei TMI nichtdurch geschmolzen ist. Also, es gibt da sogroße Unsicherheiten und ich soll jetzt Anlagenauslegungauf Basis dieses unsicherenKenntnisstandes in Regelwerksqualitätdurchführen?Team 7: Der Planung von Notfallstrategien,Notfallmaßnahmen und Handlungsempfehlungender Sicherheitsebene 4c sind diejenigenKenntnisse zu Grunde zu legen, diegesichert vorliegen.8. Anforderungen an Dokumentationund Nachweisführung8. Anforderungen an Dokumentationund Nachweisführung175

E N T W U R FModul 1, Rev. B: Synoptische DarstellungEinschub zu den Kommentaren, die „schutzzielorientierte Bewertung“ betreffend:Komm.Nr.Kommentator176Kommentar501 FANP Was ist Schutzziel-orientiert bei KTA 2000?Sicherheitsziel: Schutz vor ionisierender StrahlungSchutzziele:- Kontrolle der Reaktivität- Kühlung der Brennelemente- Einschluss radioaktiver StoffeSicherheitsfunktionen: den SZ zugeordnete, überwiegend verfahrenstechnische Funktionen (z.B. Dampferzeugerbespeisung), die sich übergeordnet füreinen Anlagentyp definieren lassen.Ziel/Vorteil: Maßnahmen und Einrichtungen können systematischer und transparenter überprüft werden hinsichtlich ihrer Bedeutung für die Gewährleistungder Sicherheitsfunktionen auf den verschiedenen Sicherheitsebenen und damit für die Einhaltung der Schutzziele. Mit dieser Vorgehensweise kannunter Hinzuziehen des heutigen Kenntnisstandes (SvWuT) bewertet werden,- welche Anforderungen im Regelwerk unter Berücksichtigung anlagenspezifischer Merkmale eine nennenswerte sicherheitstechnische Bedeutung haben,- welche Anforderungen nur pragmatische, an der Konvoi-Ausführung orientiert Festlegungen waren, aber nur eine von mehreren vergleichbaren Lösungendarstellen,- wo technische Anforderungen im vorhandenen Regelwerk anlagenspezifisch fehlen.Fazit: Die SZ-orientierte Vorgehensweise gleicht die ±-Defizite des Regelwerks bei anlagenspezifischen Analysen aus. Wer sagt, die SZ-orientierte Bewertungwird nicht mehr verfolgt, kann auch formulieren: die Sicherheits-orientierte Bewertung wird nicht mehr verfolgt.Team 1siehe Antwort folgenden Kommentar 534. Es wäre u. E. auch nicht sachgerecht, bei der Aufstellung von Anforderungen eine Methode einzuführen, mittelsderer bspw. bewertet werden soll „welche Anforderungen im Regelwerk unter Berücksichtigung anlagenspezifischer Merkmale eine nennenswerte sicherheitstechnischeBedeutung haben“. Diese Bewertung sollte u. E. mit der Verabschiedung der Anforderungen erfolgt sein. Sofern „Defizite“ im Regelwerkbestehen, sind diese im Rahmen von Regelwerksaktualisierungen zu beheben.534 UM BW Die Vorgehensweise der schutzzielorientierten Bewertung kommt im Modul 1 nicht vor. Diese Vorgehensweise war in der Vergangenheit in atomrechtlichenVerfahren in Deutschland eingeführt und angewendet worden. Sie kann, bei strukturierter Anwendung und klaren Vorgaben, zielführend zur Bewertungsicherheitstechnischer Fragestellungen angewendet werden. Im Modul 1 sollte ein entsprechendes Kapitel eingefügt werden. Detailregelungen zurDurchführung sollten dann im Modul 6 enthalten sein.Team 1590 Waas,FANPEs wird aus dem Kommentar nicht klar, welche Möglichkeiten für die Art der Nachweisführung in den Modulen vermisst wird. Sofern unter „mittels derschutzzielorientierten Bewertung“ die Bewertung der Einhaltung der Nachweiskriterien gemäß Modul 3 gemeint ist, ist das in den Modulen beschriebeneNachweisverfahren hiermit kompatibel. Sofern jedoch darunter etwas anderes zu verstehen ist, kann diesem Vorgehen nicht gefolgt werden, da dieKenntnis darüber, dass damit ein gleichwertiger Nachweis erbracht werden könnte, nicht vorliegt. Eine solche Kenntnis ist jedoch u. E. Voraussetzung füreine Regelungssetzung. Siehe auch Antwort auf den übergeordneten Kommentar 580 (dort zu Ziffer 2.5).Ich habe die Position des BMU, die schutzzielorientierte Betrachtung oder Bewertung würde nicht mehr verfolgt, nie verstanden. Ich möchte es einmalüberspitzen, dann kann man auch sagen: Die sicherheitsorientierte Bewertung wollen wir nicht haben. Das Konzept war ja zu sagen, es gibt ein Sicherheitsziel.Das ist insbesondere der Schutz vor der ionisierenden Strahlung. Darunter gab es die grundlegenden Schutzziele, die Sie jetzt „grundlegendeSicherheitsfunktion“ nennen. Die Umbenennung ist eine Geschmacksfrage. Aber das Wesentliche in der schutzzielorientierten Bewertung, was ja auch inKTA-2000 drin war, war, dass man sagte, wir klopfen die technischen Maßnahmen danach ab, was sie für die Einhaltung oder möglichst gute Einhaltung

E N T W U R FModul 1, Rev. B: Synoptische DarstellungKomm.Nr.KommentatorTeam 1622 Schwarz,EnKKTeam 1Kommentardieser Schutzziele, Kernkühlung, Aktivitätseinschluss, Unterkritikalität bringen und bewerten damit auch die sicherheitstechnische Bedeutung, je nachdemwie viel die Maßnahmen bringen, die sicherheitstechnische Bedeutung von solchen Systemfunktionen oder Komponenten in dieser Richtung. Genau dasist ja die Basis, wie man sicherheitstechnische Bedeutung ableitet. Also warum aus Ihrer Sicht, eine solche schutzzielorientierte Bewertung, die eigentlichzu der Einstufung führt, etwas Verwerfliches ist, muss ich ehrlich sagen, das habe ich noch nie verstanden.Siehe Antwort auf vorhergehenden Kommentar.Unter dem Begriff „Schutzziele“ werden nicht nur Kriterien genannt, sondern es werden auch verschiedene Möglichkeiten genannt, wie dieses Schutzzieleinzuhalten ist. Das ist das Schutzziel BHB und nicht eine Auflistung von Kriterien, die erfüllt sind oder nicht. Dieser Grundgedanke, dass wenn einSchutzziel verletzt ist, dass man diese Schutzziel durch verschiedene andere Einrichtungen, die nicht zwangsläufig dafür vorgesehen sind, aber die verfügbarsind, dass man dieses Schutzziel vielleicht wiedererlangt. Das fehlt mir völlig bei diesen Begriffen. Das geht natürlich einher mit den Sicherheitsfunktionen,wie wir es schon einmal diskutiert haben. Das sind elementare Dinge, wie man zum Beispiel eine Klassifizierung nach Abstufungen hingekriegtund das sind elementare Dinge, die sagen, wenn ich eine Einrichtung nicht mehr habe, kann ich mein Ziel auch mit mehreren anderen Einrichtungenerfüllen. Das geht mir völlig ab und das ist das, was ich unter dem Begriff Schutzziele sehen würde und nicht irgendwelche Kriterien oder Zahlenwerte.Vielleicht kann man da einfach noch rein gucken, was ein Schutzziel- BHB wirklich beinhaltet. Es sind nicht nur Kriterien, die sich in Temperatur oderDruck auswirken. Es sind eben Hinweise, mit welchen Systemen oder systemtechnischen Einrichtungen kannst du es jetzt erreichen, wieder innerhalbdeiner Schutzziele zu gelangen. Das ist ein Grundgedanke, der drinnen ist, die auch einmal im Regelwerk drinnen war, den ich interpretiere, wo Sie sagen,mit den Sicherheitsfunktionen, das haben wir ja auch noch, was wir, jetzt zugegeben, nicht finden. Das ist ein Grundgedanke dessen, was hier indem Regelwerk wieder zu finden. Das sind nicht nur Zahlenwerte. Und das, was wir diskutiert haben und versucht haben rüber zu bringen, dass dieserGrundgedanke: „Ich kann meine Schutzziele mit mehreren Einrichtungen erfüllen“. Dass dieser Grundgedanke hier für uns nicht erkennbar ist. Es sindnicht nur Schutzzielkriterien. Es ist auch eine Vorgehensweise, die dort beschrieben ist.Modul 1 formuliert keine Anforderungen an das schutzzielorientierte BHB.Ziffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)8 (1) Der Betreiber ist jederzeit in derLage nachzuweisen, dass er dieAnforderungen der Genehmigungund Anordnungen der zuständigenBehörden einhält.597 Noack,RWE PowerSoweit ich informiert bin über die internationaleVorgehensweise beim Betrieb von Kernkraftwerken(„technical specifications") sind daganz klare Grenzwerte in den Betriebshandbüchernvorgegeben. Beim Einhalten dieserGrenzwerte ist der Betrieb zulässig. Eine ständigeNachvollziehbarkeit von Sicherheitsanalysen,so würde ich diesen Satz verstehen,wird meines Wissens nicht gefordert. Und mitdem „nachvollziehbar" habe ich auch ein Problem.Nachvollziehbar wem gegenüber? Dasstellt eine Anforderung an die Fachkunde vonbeiden Beteiligten. Etwas, das für mich nach-8 (1) Der Betreiber ist jederzeit in der Lagenachzuweisen, dass er die Anforderungender Genehmigung und die Anordnungender zuständigen Behördeneinhält.177

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)vollziehbar ist, kann für einen Partner, dem iches erkläre, nicht nachvollziehbar sein.Team 1: Die Genehmigungsanforderungensind einzuhalten. Dazu ist die Anlage entsprechendzu betreiben. Dieses ist derart zu dokumentieren,dass damit die Einhaltung gezeigtwerden kann. Nach unserer Auffassungsollte diese Anforderung unstrittig sein.Nachvollziehbarkeit (siehe Ziffer 8 (3)) ist eineGrundvoraussetzung der Nachweisführung.Vorausgesetzt werden kann dabei die in atomrechtlichenZusammenhängen übliche Fachkunde.597 Schwarz,EnKK622 Noack,RWE PowerEs gibt in der Sicherheitsspezifikation ein Kapitel,das Auflagen und Bedingungen zum Betriebenthält. Und diese Dinge sind natürlicheinzuhalten und diese Dinge sind natürlichjederzeit nachzuweisen. Das ist so festgelegtim Reglement und das ist so festgelegt in derGenehmigung. Das, was da jetzt aufgeführt istdas steht sicherlich nicht in diesen Bedingungenund Auflagen zum Betrieb der Anlage.Diesen Anspruch kann man sicherlich erheben,wenn diese zeitlichen Vorgaben wie „jederzeit“,„kurzfristig“ und dergleichen weggenommenwerden. Natürlich müssen in derLage sein, nachzuweisen, dass wir die Genehmigungeneinhalten. Natürlich müssen wiraktuelle Dokumente verfügbar haben. Aberdiese kurzfristigen Bezeichnungen wie „jederzeit“und „kurzfristig“, das ist nicht erfüllbar.Das ist mit der Genehmigung, die wir jetzthaben, schlicht und ergreifend auch nichtmachbar.Team 1: Dem Kommentar wird insofern gefolgt,als die Formulierungen „jederzeit“ sowie„kurzfristig“ gestrichen werden.Wir würden gerne die Forderung nach permanenterNachweispflicht der Störfallbeherr-178

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)schung und zur Behördeninformation, die nahean der Biblis-Auflage liegen, diskutieren, die jazumindest, was den Sofortvollzug betrifft, vomVerwaltungsgerichtshof Baden-Württembergals rechtswidrig bezeichnet wurde. Ehe mansolche Formulierungen, solche Festlegungenin ein übergeordnetes Regelwerk einführt,sollte man dieses zumindest abwarten. UnsereBetreibermeinung ist bekannt. Wir denken,dass es genügend Möglichkeiten der Aufsichtjetzt bereits gibt, dass diese Möglichkeitenausreichen.Team 1: Siehe Antwort auf Kommentar 597.Die Formulierungen „jederzeit“ sowie „kurzfristig“werden gestrichen.8 (2) Der Betreiber hält jederzeit einevollständige, qualifizierte und aktuelleDokumentation des Zustandesdes Kernkraftwerkes verfügbar.8 (2) Der Betreiber hält jederzeit eine vollständige,qualifizierte und aktuelleDokumentation des Zustandes desKernkraftwerkes verfügbar.Team 1Verlagerung der Ziffer 3.1 (4b) Rev. A an dieseStelle.1798 (4) Die sicherheitstechnischen Aufgabenaller Einrichtungen sind klar definiertund dokumentiert. Entsprechend ihrersicherheitstechnischen Bedeutung sindfür alle Einrichtungen mit sicherheitstechnischerBedeutung Auslegungsvorschriften,Werkstoffvorschriften, Bauvorschriftenund Prüfvorschriften sowieBetriebsvorschriften und Instandhaltungsvorschriftenvorgehalten bzw.aufgestellt und sie werden angewendet.In den Prüfvorschriften sind Vorprüfung,Werkstoffprüfungen, Bauprüfungen,Druckprüfungen, Abnahmeprüfungenund Funktionsprüfungen sowieregelmäßig wiederkehrende Prüfungenim Einzelnen festgelegt.Die Einhaltung dieser Vorschriften wirdim Rahmen eines Qualitätsgewährleistungsprogrammsüberwacht. Das Er-

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)gebnis der Qualitätsüberwachung mitden Ergebnissen der Prüfungen wirddokumentiert. Die zur Beurteilung derQualität notwendigen Unterlagen überAuslegung, Fertigung, Errichtung undPrüfungen sowie Betrieb und Instandhaltungder sicherheitstechnisch wichtigenEinrichtungen sind während dergesamten Betriebsdauer der Anlageverfügbar.Team 1Verlagerung der Ziffer 3.1 (11) Rev. A an dieseStelle.8 (3) Für den sicheren Betrieb einer Anlagesind schriftliche Anweisungen erstellt,in denena) in denen die für die Sicherheitsebenen1 bis 4a erforderlichen, sicherheitstechnischrelevanten Grenzwerteund Bedingungen, technischenHandlungen und Anweisungensowie organisatorischen Abläufevorgeschrieben werden (z.B. Betriebshandbuch– BHB) und,b) in denen die erforderlichen wiederkehrendenPrüfungen an sicherheitstechnischwichtigen Maßnahmenund Einrichtungen festgelegtsind (z. B. Prüfhandbuch – PHB).Die schriftlichen Anweisungen, die imRahmen des anlageninternen Notfallschutzesgenutzt werden, umfassenNotfallstrategien, Notfallprozeduren,Handlungsempfehlungen und Durchführungsanweisungen.Sie liegen z. B.in Form eines Notfallhandbuchs (NHB)vor.8 (3) Der Betreiber ist jederzeit in derLage, anhand dieser Dokumentationoder anhand kurzfristig durchführbarerUntersuchungen die Sicherheitder Anlage nachvollziehbar8 (53) Der Betreiber ist jederzeit in der Lage,anhand dieser Dokumentation oderanhand kurzfristig durchführbarer Untersuchungendie Sicherheit der Anlagenachvollziehbar nachzuweisen.180

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)nachzuweisen.8 (4) An Untersuchungsmethoden imHinblick auf die Nachweisführungder Erfüllung der technischen Sicherheitsanforderungenkönnengrundsätzlich herangezogen werden:a) Systemanalysen,b) Rechnerische Analysen vonEreignissen und Zuständen,c) probabilistische Analysen,d) Messungen bzw. Experimente,e) ingenieurmäßige Bewertungen.Team 1 Angleichung an Modul 6 Formulierungen. 8 (64) Alsn Untersuchungsmethoden zum imHinblick auf die Nachweisführung derErfüllung der technischen Sicherheitsanforderungenkönnen grundsätzlichherangezogen werden:Die deterministischen Methodena) Systemanalysen,b) Rechnerische Analysen von Ereignissenbzw. und Zuständen,c) probabilistische Analysen,cd) Messungen bzw. Experimente,de) ingenieurmäßige Bewertungen,sowiee) probabilistische Analysen.8 (5) Als Grundlage für Nachweisführungenliegen vor:a) eine aktuelle Zusammenstellungder sicherheitstechnisch wichtigenInformationen über dieKraftwerksanlage bzw. die jeweiligbetroffenen sicherheitstechnischrelevanten Maßnahmenund Einrichtungen, mit Angabeder auf den jeweiligen SicherheitsebenendurchzuführendenAufgaben bzw. zu erfüllendensicherheitstechnischenFunktionen sowie zu Aufbau,Anordnung und Auslegung,b) ein dokumentierter Vergleichdes realen Zustands der Kraftwerksanlagebzw. der jeweiligbetroffenen sicherheitstechnischrelevanten Maßnahmen undEinrichtungen mit dem geneh-597 Stratmann,UM BWHier wird ein Sicherheitsebenenbezug gefordert,der jetzt in der Anlagendokumentationnicht durchgängig oder gar nicht vorhandenist. Würden Sie dann verlangen, dass daskomplett alles neu gemacht wird, um diesenPunkt zu erfüllen?Team 1: Die Fähigkeit der Zuordnung der inFrage stehenden Einrichtung(en) zu ihrerAufgabenstellung (bestimmungsgemäßerBetrieb, Störfall oder Notfallmaßnahme) sollteu. E. jeder Betreiber haben. Die Anforderungeiner Neuerstellung der kompletten Anlagendokumentationist nicht gestellt (siehe auchBeschränkung auf die betroffenen Einrichtungenin Revision B). Aussagen darüber, wie beiNichterfüllung einer Anforderung vorzugehenist, werden von uns nicht vorgenommenAngleichung an Formulierungen in Modul 6.8 (75) Als Grundlage für Nachweisführungenliegen vor:a) eine aktuelle Zusammenstellung dersicherheitstechnisch wichtigen Informationenüber den bestehendenZustand der die Kraftwerksanlagebzw. die jeweilig betroffenen sicherheitstechnischwichtigen relevantenMaßnahmen und Einrichtungen mitAngabe der auf den jeweiligen SicherheitsebenendurchzuführendenAufgaben bzw. zu erfüllenden sicherheitstechnischenFunktionensowie zu Aufbau, Anordnung undAuslegung,b) ein dokumentierter Vergleich desbestehenden realen Zustands derKraftwerksanlage bzw. der jeweiligbetroffenen sicherheitstechnisch relevantenMaßnahmen und Einrichtungenmit dem genehmigten bzw.181

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)migten bzw. in den GenehmigungsunterlagenbeschriebenenZustand.in den Genehmigungsunterlagenbeschriebenen Zustand.597 Micklinghoff,E.ON KKEs besteht doch weitgehend Einigkeit, dassdas Sicherheitsebenenkonzept in erster Linieein Konzept der Ereignisse, der Anlagenzuständeund der Funktionen ist und nicht vonKomponenten und Systemen und Klassifizierung.Das heißt, die Hardware sicherheitsebenenbezogenzu sortieren, macht wenig Sinn,sondern das ist eine Klassifizierung von Anlagenzuständenund Funktionen. Das Gleiche istnatürlich mit der Dokumentation. Die Dokumentationkann man sicherheitsebenenbezogenmachen, aber natürlich nicht die gesamteAnlage.Team 1: siehe Antwort auf vorhergehendenKommentar.8 (6) Bei der rechnerischen Analyse vonEreignissen und Zuständen werdena) für den jeweiligen Anwendungsbereichvalidierte Berechnungsverfahrenverwendet,b) mit der Berechnung verbundeneUnsicherheiten quantifiziert bzw.durch geeignete Verfahren abgedeckt.622 Noack,RWE PowerEtwas Ähnliches gilt für die geforderte Quantifizierungvon Unsicherheiten. Auch da sinddas Verfahren, die im Aufsichtsverfahren nichtetabliert sind. Man sollte erst Erfahrungensammeln und dann mit diesen Unsicherheitsanalysenin das Aufsichts- und Genehmigungsverfahrengehen. Nicht direkt von Forschungund Entwicklung in ein übergeordnetesRegelwerk springen.Team 1: Sofern Verfahren zur Quantifizierungvon Unsicherheiten oder aber zu deren Abdeckungerst noch etabliert werden müssten,lägen zu den betroffenen Sachverhalten keinebelastbaren Nachweise vor. Das Vorliegeneiner solchen Ausgangslage ist uns nicht bekanntund auch nicht glaubhaft, zumal vergleichbareAufgabenstellungen nicht nur in derKerntechnik bestehen. Sollte dies dennoch derFall sein, wären die entsprechenden Nachweisezurück zu ziehen, nicht jedoch die Anforderung.8 (86) Bei der rechnerischen Analyse vonEreignisabläufsen bzw. und Zuständenwerdena) für den jeweiligen Anwendungsbereichvalidierte Berechnungsverfahrenverwendet,b) mit der Berechnung verbundeneUnsicherheiten quantifiziert bzw.durch geeignete Verfahren abgedeckt.182

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)8 (7a) Ergänzend zu deterministischenSicherheitsanalysen wird durchprobabilistische Sicherheitsanalysen(PSA) die Ausgewogenheit dersicherheitstechnischen Auslegungüberprüft, um eventuell vorhandeneSchwachstellen zu identifizieren.507 Kleen Stichwort: Deterministische Formulierung desRegelwerkes, Zielsetzung der sicherheitstechnischenAuslegung: Das bestehende Auslegungskonzeptder Kernkraftwerke basiert aufeiner Zusammenführung von deterministischenund probabilistischen Anforderungen,die letztlich eine zuverlässige Vermeidung undBeherrschung von Störfällen gewährleistensollen (z. B. Anforderungen an Redundanzund Diversität). Dies spiegelt sich wieder in derinternationalen Praxis, in der Anforderungenan neue Anlagen sowie an die Nachrüstungbestehender Anlagen spezifiziert werden.Abgesehen von der Fortschreibung deterministischerAnforderungen ist gleichermaßenauch eine Fortschreibung probabilistischerZielsetzungen zu verzeichnen, die wesentlichenEinfluss auf die zu treffenden Maßnahmenhaben. Vor diesem Hintergrund ist einerein deterministische Formulierung des Regelwerksnicht hinreichend, um den Stand vonWissenschaft und Technik zu beschreiben.Team 1: Es besteht u. E. Einigkeit darüber,auch international, dass die Kernpunkte derRegelwerksanforderungen deterministischerNatur sein sollen. Diesem Ansatz folgen auchdie Module 1-11. Probabilistische Analysensind dabei, wie in Ziffer 8 (7) Revision A ausgeführt,ergänzend heranzuziehen, um auchmittels dieser Methode die Sicherheit weiter zuverbessern.Die Formulierung darüber hinaus gehenderprobabilistischer „Zielsetzungen“ im Sinneprobabilistischer Akzeptanzwerte war und istnicht Aufgabe von Modul 1.534 UM BW Die Stellung der Probabilistik im Regelwerkmuss im Modul 1 entsprechend dem internationalüblichen Stand detaillierter und klarerdefiniert und dargestellt werden. Ein definiertesZiel bei der Überarbeitung des Regelwerks1838 (97a) Ergänzend zu deterministischen Sicherheitsanalysenwird durch probabilistischeSicherheitsanalysen (PSA) dieAusgewogenheit der sicherheitstechnischenAuslegung überprüft, um eventuellvorhandene Schwachstellen zuidentifizieren.

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)war es, internationale Entwicklungen zu berücksichtigen.Im Bereich der Beschreibungder Stellung der Probabilistik (Ziffer 8 (7) desEntwurfs) ist dies klar erkennbar nicht erfolgt.So fehlt z.B. die international übliche Einbindungder Probabilistik in sicherheitstechnischeBewertungen zur Notwendigkeit und Dringlichkeitvon Maßnahmen. Hier wurden auch Empfehlungenaus dem WENRA-Prozess („PSAshall be used to identify the need for modificationsof the plant and its procedures …”) offensichtlichnicht beachtet.Team 1: Die Berücksichtigung der Probabilistikin sicherheitstechnische Bewertungen zur„Notwendigkeit und Dringlichkeit von Maßnahmen“war und ist Praxis in den Verfahren.In Modul 1 werden diesbezüglich keine Anforderungengestellt, die in diese Praxis eingreifen.Diesbezügliche Anforderungen sind imÜbrigen über die Einbindung der PSA in dieSÜ bereits geregelt. Gegen die Aufnahmeeiner Formulierung, wie im Kommentar mitWENRA in Bezug genommen, spricht u. E.,dass eine solche Anforderung ohne die entsprechendeRegelung, wie hierbei konkretverfahren werden soll, nicht zielführend ist.Siehe auch Antwort auf vorhergehendenKommentar.590 UM BW Das deutsche Regelwerk ist sehr stark deterministischaufgebaut. Die Stellung der Probabilistikist eine ergänzende im jetzigen Regelwerkund sie wird auch durch den Ansatz, denSie jetzt getroffen haben, auch nicht wesentlichverändert. Im internationalen Vergleich istes so, dass die Probabilistik dort wesentlichmehr angewendet wird, zum Beispiel für Sicherheitsbewertungen,z. B. auch für das Abgrenzenund Einsortieren von Ereignisabläufenin bestimmte Sicherheitsebenen. Dieser Ansatzkommt mir in Ihrem Regelwerk deutlich zu184

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)kurz. Könnten Sie da auch noch mal daraufeingehen, ob das eine bewusste Einschätzungaufseiten des Projektes war oder wieso habenSie jetzt in diesem Falle diese internationalenEntwicklungen eigentlich nicht übernommen?Team 1: Siehe Antwort auf vorhergehendenKommentar.622 Wildermann,UM BWDie PSAs gehören inzwischen zum Standardder Bewertungen. Ich möchte sogar hier etwaszitieren, was uns Herr Niehaus übersandt hat,ein Rechtsgutachten, das im Auftrag des BMUerstellt worden ist, in dem relativ klar ausgesagtworden ist: „Wenn die PSA vollständig ist,wenn sie nach vernünftigen Kriterien und Vorgabengemacht ist, dann ist es geradezuPflicht der Behörde, diese Unterlage mit zunutzen, mit zu bewerten für eine Sicherheitsbewertung.“Wenn sie dies nicht täte, würdesie praktisch ihr Ermessen falsch ausüben.Das ist da relativ klar dargestellt worden indiesem Gutachten. Es sind die Voraussetzungengenannt worden nämlich: dass die PSAwirklich alle Bereiche abdeckt und nach einemvernünftigen akzeptierten methodischen Rahmengemacht worden ist. Aber ich denke, soweit sind wir zwischenzeitlich. Diese methodischenRahmen gibt es. Und daraufhin ist es,glaube ich, unstrittig, dass die PSA hier zurSicherheitsbewertung gehört. Das, was imModul 1 dazu ausgeführt worden ist, das istder Minimalkonsens, wenn man ganz ehrlichist, der im Moment vom Bund akzeptiert wird.Es ist nicht das, was in der „Community“ alsForderung, als vernünftiger Rahmen für diePSA definiert worden ist. Und wenn ich mir dieVeröffentlichungen der GRS zu diesem Themaanschaue, dann muss ich ehrlich gesagt sagen,weicht das ziemlich stark ab von dem,was sich in diesem Papier wieder findet. Alsooffensichtlich scheint es da auch im Bereich185

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)der Berater und der Entscheider beim BMUdurchaus Differenzen zu geben. Die sieht manin diesem Papier relativ deutlich. Weil die GRSselbst, in ihrem Forschungsvorhaben auchdeutlich weiter geht mit dem Anwendungsbereichder PSA und mit den Möglichkeiten derAnwendungen der PSA. Deshalb denke ich, isthier der Stand der PSA für die Sicherheitsbewertung,glaube ich, unbestritten.Team 1: Siehe Antwort auf vorhergehendenKommentar.590 Kleen,VENE622 Noack,RWE PowerEs gibt auch eine zweite Ebene und das sindprobabilistische Zielsetzungen, die wir abfragenbeim Zusammenwirken der Systeme.Gerade wenn Sie jetzt den Vergleich zumAusland ansprechen, dann stellen wir fest, imDialog mit unseren schwedischen Partnern,dass, wenn jetzt Nachrüstungen geplant werden,probabilistische Zielsetzungen angesprochenwerden und die Nachrüstungen so ausgeführtwerden, dass man in Richtung Probabilistikein entsprechend verbessertes Ergebnisfindet. Genauso einen Ansatz würden wiruns hier auch wünschen, als einen fortschrittlichenPunkt in dem neuen Regelwerk.Team 1: siehe Antwort auf vorhergehendenKommentar.Man sollte schon deutlich machen, wo man alsRegelwerksersteller Möglichkeiten der Verhältnismäßigkeitsbewertungauch auf Seitendes Betreibers, für die Betreiber kann ich hiernur sprechen, hier sieht. Ein wesentlichesInstrument, was international etabliert ist, diePSA, die soll hier lediglich ergänzend zu deterministischenAnalysen eingesetzt werden.Der Safety Series- Bericht, "Assessment ofdefence in-depth", lässt den Einsatz der PSAeindeutig zu. Die PSA wäre auch ein sehrgutes Werkzeug, um die Verhältnismäßigkeit186

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)von Maßnahmen zu bewerten. Ich möchte jetztnoch einmal einwenden, dass unsere jetzigenPSÜ-Leitfäden, die auch gut etabliert sind, diedie Nutzung der PSA zu Bewertung der Notwendigkeitund Dringlichkeit von Maßnahmenausdrücklich zulassen. Wir gehen hier wiedereinen Schritt zurück von der internationalenEntwicklung. Ich habe vor kurzem ein IAEA-Papier in der Hand gehabt, wo im Vorwortstand, die 90er-Jahre sind gekennzeichnetdurch die Entwicklung der PSA einer Nutzungzur "risk informed regulation". Die 90er-Jahre!Wir sind jetzt 2005, und gehen diesen Schrittzurück. WENRA sagt zur Nutzung der PSA:"To identify the need for modifications". Undauch die Convention on Nuclear Safety habeich hier beispielhaft. Es gibt viele IAEA- Dokumente,die auf die Nutzung der PSA hinweisen.Aber auch auf der Convention on NuclearSafety, auf dem 2. Review Meeting, im April2002 wird festgestellt, dass viele "contractingparties", also viele Länder mit Kernkraftwerken,die PSA nutzen zu "identification of areasof potential improvement in design, plantupgrading or regulatory effectiveness". Dawäre unsere Bitte, diesen Bewertungsmaßstabuns zur Verfügung zu stellen, im Sinne diesesRegelwerks.Team 1: Wie bereits ausgeführt, ist die Berücksichtigungder Probabilistik in sicherheitstechnischeBewertungen zur „Notwendigkeitund Dringlichkeit von Maßnahmen“ Praxis inden Verfahren. Wie im Kommentar angemerkt,liegen hierzu mit den SÜ/PSA Leitfäden bereitsRegelungen bzw. Formulierungen vor.Eine Wiederholung oder Präzisierung dieserFormulierungen in Modul 1 ist u. E. wedererforderlich noch zielführend (siehe auch Antwortoben).8 (7b) In Ergänzung der (deterministi- 8 (97b) In Ergänzung der (deterministischen)187

E N T W U R FModul 1, Rev. B: Synoptische DarstellungZiffer Textvorschlag Modul 1 (Rev. A)Komm.Nr.KommentatorKommentar bzw. AntwortZiffer(Neu)Textvorschlag Modul 1 (Rev. B)schen) Nachweisführungen werdenprobabilistische Analysen (PSA)angewendet, um die sicherheitsrelevantenAuswirkungen von Änderungenin der Anlage zu beurteilen,bei denen ein nennenswerter Einflussauf die Ergebnisse der PSAnicht offensichtlich auszuschließenist.Nachweisführungen werden probabilistischeSicherheitsaAnalysen (PSA)angewendet, um die sicherheitsrelevantenAuswirkungen von Änderungenin der Anlage zu beurteilen, bei denenein nennenswerter Einfluss auf dieErgebnisse der PSA nicht offensichtlichauszuschließen ist.8 (7c) Probabilistische Analysen werdenentsprechend den Anforderungender diesbezüglich gültigen behördlichenVorgaben durchgeführt.Team 1Streichung, da vom Detaillierungsgrad her inModul 6 anzusiedeln.8 (7c) Probabilistische Analysen werden entsprechendden Anforderungen derdiesbezüglich gültigen behördlichenVorgaben durchgeführt.8 (8) Eine Messung bzw. Experimentkann als Nachweis herangezogenwerden, wenna) die Übertragbarkeit der experimentellenBedingungen auf dieAnlagenzustände des jeweiligenAnwendungszusammenhangsqualifiziert ist undb) mit der Messung verbundeneUnsicherheiten quantifiziertsind.8 (108) Eine Messung oder ein bzw. Experimentkann als Nachweis herangezogenwerden, wenna) die Übertragbarkeit der experimentellenBedingungen auf die Anlagenzuständedes jeweiligen Anwendungszusammenhangsqualifiziertist undb) die mit der Messung verbundenenUnsicherheiten quantifiziert sind.8 (9) Ingenieurmäßige Abschätzungenkönnen bei Nachweisführungenherangezogen werden, wenn hierzuein Bewertungsmaßstab vorliegt,der auf technisch-wissenschaftlichnachvollziehbaren Grundlagenberuht.8 (119) Ingenieurmäßige Bewertungen Abschätzungenkönnen bei Nachweisführungenherangezogen werden, wennhierzu ein Bewertungsmaßstab vorliegt,der auf technisch-wissenschaftlichnachvollziehbaren Grundlagen beruht.188

E N T W U R FModul 1, Rev. B: FließtextGliederungGrundsätze ................................................................................................ 11 Organisatorische Grundlagen der Sicherheit......................................... 12 Technisches Sicherheitskonzept ............................................................ 32.1 Konzept der gestaffelten Sicherheitsebenen .............................................. 42.2 Konzept des gestaffelten Einschlusses der radioaktiven Inventare(Barrierenkonzept) ...................................................................................... 82.3 Konzept der Grundlegenden Sicherheitsfunktionen (Schutzziele)............ 112.4 Radiologische Sicherheitsziele ................................................................. 123 Übergreifende technische Anforderungen ........................................... 143.1 Generelle Anforderungen.......................................................................... 143.2 Leittechnik ................................................................................................. 183.3 Warten....................................................................................................... 213.4 Elektrische Energieversorgung ................................................................. 213.5 Strahlenschutz .......................................................................................... 224 Anforderungen zur Kontrolle der Reaktivität ....................................... 235 Anforderungen zur Kühlung der Brennelemente................................. 256 Anforderungen zum Erhalt der Barrierenintegrität.............................. 277 Zu berücksichtigende Betriebszustände und Ereignisse ................... 297.1 Betriebszustände, Störungen und Störfälle............................................... 297.2 Übergreifende Einwirkungen von innen (EVI) und außen (EVA) .............. 297.3 Notstandsfälle ........................................................................................... 317.4 Ereignisse mit Mehrfachversagen von Sicherheitseinrichtungen.............. 317.5 Unfälle mit schweren Kernschäden........................................................... 328 Anforderungen an Dokumentation und Nachweisführung ................. 32I

E N T W U R FModul 1, Rev. B: FließtextGrundsätzeDie Verantwortung für die Gewährleistung der Sicherheit trägt der Betreiber. Er gibt derEinhaltung der Sicherheitsziele Vorrang vor der Einhaltung anderer betrieblicher Ziele.Die Grundlage für einen sicheren Betrieb von Kernkraftwerken ist das sicherheitsgerichteteZusammenwirken technischer, organisatorischer und personeller Faktoren(Mensch-Technik-Organisation). Diese drei gleichgewichtigen Bereiche sind in allenFunktionsbereichen des Kernkraftwerks ganzheitlich miteinander vernetzt.Auch bei einem hohen Automatisierungsgrad der Technik haben die Fähigkeiten undHandlungen des Personals eine hohe Bedeutung für die Sicherheit des Kernkraftwerks.Die organisatorischen Bedingungen sind derart, dass sicherheitsgerichtetesHandeln gefordert und gefördert wird.Dies erfordert eine hohe Sicherheitskultur, die das gesamte Unternehmen durchdringtund deren stetige Verbesserung angestrebt wird.1 Organisatorische Grundlagen der Sicherheit1 (1) Unternehmen mit hoher Sicherheitskultur betreiben ein Sicherheitsmanagement,das die Ziele und Aktivitäten aller Unternehmensbereiche zur Gewährleistungeines sicheren Betriebs zusammenfasst.Das Sicherheitsmanagement umfasst die Gesamtheit der Tätigkeiten zursachgerechten Planung, Organisation, Leitung und Kontrolle von Personenund Arbeitsaktivitäten. Die Zielsetzungen des Sicherheitsmanagementssind die−−−Gewährleistung der Sicherheit, diestetige Verbesserung der Sicherheit, sowie dieFörderung der Sicherheitskultur.Dies erfordert die Gewährleistung einer hohen Qualität der sicherheitsrelevantenInfrastruktur, Prozesse und Tätigkeiten.1

E N T W U R FModul 1, Rev. B: Fließtext1 (2) Zur Realisierung des Sicherheitsmanagements wird ein Sicherheitsmanagementsystemeingerichtet, das alle Festlegungen, Regelungen und organisatorischenHilfsmittel zur Abwicklung sicherheitsrelevanter Tätigkeitenund Prozesse zusammenfasst, das auf allen Ebenen des gestaffelten Sicherheitskonzeptsgemäß Ziffer 2.1 (1) wirkt.1 (3) Die Abgrenzungen und die Schnittstellen sowie das Zusammenwirken unddie Wechselwirkungen des Sicherheitsmanagementsystems mit anderenManagementsystemen des Unternehmens sind so festgelegt und geregelt,dass Sicherheitsziele nicht durch andere Unternehmensziele beeinträchtigtwerden. In entsprechender Weise ist das Verhältnis zu externen Organisationengeregelt.Um die Zielsetzungen des Sicherheitsmanagements zu erreichen, ist dasUnternehmen als selbst lernendes System organisiert.Das Sicherheitsmanagementsystem ist geeignet, frühzeitig Hinweise aufeine mögliche Beeinträchtigung der Sicherheit zu geben.Das Sicherheitsmanagementsystem ist als „geschlossener Managementzyklus“gestaltet. Dieser wird auch auf alle Tätigkeiten, Prozesse und Elementedes Sicherheitsmanagementsystems angewendet.1 (4) Das Sicherheitsmanagementsystem erfüllt folgende Anforderungen:a) Die Sicherheitspolitik demonstriert das Bekenntnis des Betreibers zueiner hohen Sicherheitskultur. Sie stellt den Vorrang der Sicherheit vorallen anderen, Unternehmenszielen heraus. Zur Umsetzung der Sicherheitspolitikwerden eindeutige messbare und widerspruchsfreieSicherheitsziele entwickelt sowie die Maßnahmen zur Erreichung dieserZiele abgeleitet.b) Die erforderlichen materiellen, personellen und finanziellen Ressourcenzum Erreichen der Sicherheitsziele sind bereitgestellt. Diese Ressourcenumfassen:−−die Infrastruktur einschließlich der sicher zu betreibenden Anlage,eine ausreichende Anzahl von geeigneten und qualifizierten Personenmit der erforderlichen Fachkunde, Erfahrung und Zuverläs-2

E N T W U R FModul 1, Rev. B: Fließtextsigkeit; die Entwicklung der Fachkunde durch Ausbildung, Schulungund Weiterbildung wird gewährleistet,−ausreichende Finanzmittel, um die Sicherheit des Kernkraftwerksüber die gesamte Betriebsdauer zu gewährleisten,− ergonomisch angemessene Arbeitumgebung und Arbeitsbedingungenund−die geregelte Zusammenarbeit mit externen Organisationen.c) Aufgaben, Verantwortung und Befugnisse (Entscheidungs- und Weisungsbefugnisse)innerhalb des Unternehmens sind bis herunter aufdie Ausführungsebene eindeutig zugeordnet, mit den Betroffenen abgestimmtsowie bekannt gemacht und umgesetzt.d) Alle sicherheitsrelevanten Prozesse werden mit hoher Qualität geplant,durchgeführt, überwacht und gegebenenfalls verbessert. Die Schnittstellenzwischen den Prozessen sind festgelegt.e) Es ist sichergestellt, dass sicherheitsrelevante Tätigkeiten nur durchhierfür geeignetes Personal durchgeführt werden.1 (5) Das Sicherheitsmanagementsystem wird in geeigneten Abständen sowiebei Vorliegen wesentlicher neuer Erkenntnisse überprüft und gegebenenfallsverbessert.1 (6) Planung, Durchführung, Überprüfung und Verbesserung des Sicherheitsmanagementsystemswerden systematisch und nachvollziehbar dokumentiert.2 Technisches Sicherheitskonzept2 (1) Zum sicheren Einschluss der im Kernkraftwerk vorhandenen radioaktivenStoffe ist ein Sicherheitskonzept realisiert, welches die Einhaltung der radiologischenSicherheitsziele (siehe Ziffern 2.4) verbindet mit dem mehrfachenEinschluss der radioaktiven Stoffe durch Barrieren, unterstütztdurch Rückhaltefunktionen, (siehe Ziffern 2.2) und dem Schutz der Barrie-3

E N T W U R FModul 1, Rev. B: Fließtextren und Rückhaltefunktionen durch Maßnahmen und Einrichtungen aufmehreren gestaffelten Sicherheitsebenen (siehe Ziffern 2.1).2.1 Konzept der gestaffelten Sicherheitsebenen2.1 (1) Der Einschluss der im Kernkraftwerk befindlichen radioaktiven Stoffe istsichergestellt.Zur Erreichung dieses Ziels ist ein Sicherheitskonzept umgesetzt, bei demgestaffelte Maßnahmen und Einrichtungen Sicherheitsebenen bilden, welchedurch die folgenden Anlagenzustände charakterisiert sind:− Sicherheitsebene 1: Normalbetrieb (Bestimmungsgemäßer Betrieb)− Sicherheitsebene 2: anomaler Betrieb (Bestimmungsgemäßer Betrieb)− Sicherheitsebene 3: Störfälle−Sicherheitsebene 4a: sehr seltene Ereignisse− Sicherheitsebene 4b: Ereignisse mit Mehrfachversagen von Sicherheitseinrichtungen−Sicherheitsebene 4c: Unfälle mit schweren Kernschäden (Ziel hierbeiist es, den Einschluss der radioaktiven Stoffesoweit als möglich aufrecht zu erhalten).2.1 (2) Darüber hinausgehend sind für Unfälle mit schweren Kernschäden, beidenen sich erhebliche Freisetzungen radioaktiver Stoffe in die Umgebungmit den Maßnahmen des anlageninternen Notfallschutzes nicht vermeidenoder begrenzen lassen, Maßnahmen des Katastrophenschutzes geplant,Sicherheitsebene 5.2.1 (3a) Das Sicherheitskonzept ist präventiv gestaltet. Es sind Maßnahmen undEinrichtungen vorgesehen, die− auf der Sicherheitsebene 1odas Eintreten von Störungen, Störfällen oder Ereignissen mit Mehrfachversagenvon Sicherheitseinrichtungen vermeiden,4

E N T W U R FModul 1, Rev. B: Fließtext− auf der Sicherheitsebene 2oeintretende Störungen beherrschen sowieo das Eintreten von Störfällen oder Ereignissen mit Mehrfachversagenvon Sicherheitseinrichtungen vermeiden,− auf der Sicherheitsebene 3oStörfälle beherrschen sowieo das Eintreten von Ereignissen mit Mehrfachversagen von Sicherheitseinrichtungenverhindern;−auf der Sicherheitsebene 4aoAuswirkungen von sehr seltenen Ereignissen beherrschen;−auf der Sicherheitsebene 4bo bei Ereignissen mit Mehrfachversagen von Sicherheitseinrichtungenschwere Kernschäden vermeiden (präventive Maßnahmen desanlageninternen Notfallschutzes).2.1 (3b) Auf der Sicherheitsebene 4c sind Maßnahmen des anlageninternen Notfallschutzesvorgesehen, die bei Unfällen mit schweren Kernschäden dieFreisetzungen radioaktiver Stoffe in die Umgebung so weit wie möglich begrenzen(mitigative Maßnahmen).2.1 (4) Das gestaffelte Sicherheitskonzept ist für alle Betriebsphasen unter Berücksichtigungder jeweiligen Besonderheiten der verschiedenen Betriebsphasenumgesetzt.2.1 (5) Auf den Sicherheitsebenen 2 und 3 sind Maßnahmen und Einrichtungenderart vorgesehen, dass beim Versagen von Maßnahmen oder Einrichtungenauf den Ebenen 1 oder 2 die Maßnahmen und Einrichtungen auf dernachfolgenden Sicherheitsebene eigenständig den sicherheitstechnisch gefordertenZustand der Anlage herstellen.Maßnahmen und Einrichtungen, die auf allen oder mehreren dieser Sicherheitsebenenwirksam sein müssen, sind für die aus diesen Ebenen resultierendenEinwirkungen gemäß den für diese Ebenen geltenden Anforderungenausgelegt.5

E N T W U R FModul 1, Rev. B: Fließtext2.1 (6) Es ist sichergestellt, dass ein einzelnes technisches Versagen odermenschliches Fehlverhalten auf einer der Sicherheitsebenen 1 bis 3 dieWirksamkeit und Zuverlässigkeit der Maßnahmen und Einrichtungen dernächsten Ebenen nicht gefährdet.2.1 (7) Eine Inanspruchnahme von Maßnahmen und Einrichtungen der Sicherheitsebene3 beim Nachweis der Erfüllung von Anforderungen vorgelagerterSicherheitsebenen ist dann zulässig, wenn−−−andere technische Lösungen nicht sinnvoll sind,nachteilige Auswirkungen auf die Zuverlässigkeit und Wirksamkeit derin Anspruch genommenen Maßnahmen und Einrichtungen für die Störfallbeherrschung(Sicherheitsebene 3) ausgeschlossen sind undbei den zu unterstellenden Ausfällen hinsichtlich der in Anspruch genommenenMaßnahmen und Einrichtungen die Einhaltung der sicherheitstechnischenNachweiskriterien der Sicherheitsebene 3 gewährleistetist.2.1 (8) Für die Sicherheitsebene 4 werden neben den eigens auf dieser Ebenevorgesehenen Maßnahmen und Einrichtungen auch Maßnahmen und Einrichtungender Sicherheitsebenen 1 bis 3 genutzt.2.1 (9) Die auf den Sicherheitsebenen 4b und 4c eigens für den anlageninternenNotfallschutz vorgesehenen Maßnahmen und Einrichtungen werden aufden anderen Sicherheitsebenen nicht herangezogen.2.1 (10) Qualität und Zuverlässigkeit aller Maßnahmen und Einrichtungen desKernkraftwerks entsprechen ihrer sicherheitstechnischen Bedeutung.Alle sicherheitstechnisch relevanten Einrichtungen sind hinsichtlich ihrersicherheitstechnischen Bedeutung für die Erfüllung der sicherheitstechnischenZielsetzungen im Gestaffelten Sicherheitskonzept klassifiziert.−In eine Klasse höchster sicherheitstechnischer Bedeutung sind eingeordnet:o Einrichtungen, deren Versagen zu einer nicht beherrschbaren Verletzungvon Barrieren führt und6

E N T W U R FModul 1, Rev. B: Fließtexto Einrichtungen der Sicherheitsebene 3, die zur wirksamen und zuverlässigenStörfallbeherrschung erforderlich sind, einschließlichder notwendigen Hilfs- und Versorgungseinrichtungen.−In weitere Klassen abgestufter sicherheitstechnischer Bedeutung sindeingeordnet:o Einrichtungen der Sicherheitsebene 2, die zur wirksamen und zuverlässigenStörfallvermeidung erforderlich sind, einschließlich dernotwendigen Hilfs- und Versorgungseinrichtungen.oEinrichtungen zur• Einhaltung festgelegter radiologischer Werte, insbesonderedurch Aufrechterhaltung der erforderlichen Wirksamkeit vonBarrieren und Rückhaltefunktionen,• Durchführung der für den Betrieb der Anlage erforderlichenAufgaben mit sicherheitstechnischer Bedeutung gemäß Ziffer2.1 (3), die nicht den vorgenannten Klassen zugeordnet sind.2.1 (11) Die gemäß Ziffer 2.1 (10) klassifizierten Maßnahmen und Einrichtungenaller vier Sicherheitsebenen sind entsprechend den spezifizierten Anforderungenfür die unterschiedlichen Betriebsphasen grundsätzlich verfügbar.Unverfügbarkeiten sind in Abhängigkeit ihrer sicherheitstechnischen Auswirkungenbefristet, die dabei einzuhaltenden Bedingungen sind spezifiziert.2.1 (12) Die Maßnahmen und Einrichtungen der Sicherheitsebenen 1 bis 3 erfüllenhohe Anforderungen ana) die Qualität und Zuverlässigkeit bei Auslegung, Fertigung, Errichtungund Betrieb sowieb) die Qualifikation (Fachkunde und Zuverlässigkeit) des Personals.2.1 (13) Zur Unterstützung des Katastrophenschutzes sind Maßnahmen innerhalbund außerhalb der Anlage vorgesehen, um die Folgen von Unfällen mit potenziellenoder tatsächlich eingetretenen Freisetzungen radioaktiver Stoffein die Umgebung festzustellen und ihre Auswirkungen auf Mensch undUmwelt soweit wie möglich zu vermindern (Sicherheitsebene 5).7

E N T W U R FModul 1, Rev. B: FließtextDie im Notfall zu ergreifenden Maßnahmen werden regelmäßig geprobt.Der Betreiber wirkt bei der behördlichen Katastrophenschutzplanung mitund stellt eigene Vorsorge- und Schutzmaßnahmen auf, die in den Betriebsvorschriftender Anlage erfasst sind.2.2 Konzept des gestaffelten Einschlusses der radioaktiven Inventare(Barrierenkonzept)2.2 (1) Der Einschluss der im Kernkraftwerk befindlichen radioaktiven Stoffe wirddurch gestaffelte Barrieren sowie durch Rückhaltefunktionen sichergestellt.Die Barrieren und Rückhaltefunktionen sind insgesamt so ausgelegt undwerden während der gesamten Betriebsdauer in einem solchen Zustandgehalten, dass bei allen Ereignissen bzw. Anlagenzuständen auf den verschiedenenSicherheitsebenen und den dabei auftretenden mechanischen,thermischen, chemischen und durch Strahlung hervorgerufenen Belastungendie unter Ziffer 2.4 angegebenen radiologischen Sicherheitsziele eingehaltenwerden.2.2 (2) Wenn auf Grund geplanter betrieblicher Vorgänge Barrieren nicht wirksamsind, sind zur Einhaltung der radiologischen Sicherheitsziele (siehe Ziffer2.4 (1)) andere Maßnahmen und Einrichtungen verfügbar, die eine den jeweiligenBedingungen entsprechende wirksame und zuverlässige Rückhaltefunktionsicherstellen.2.2 (3) Auf den Sicherheitsebenen 1 und 2 sind neben den erforderlichen Rückhaltefunktionenzur Erfüllung der radiologischen Sicherheitsziele mindestensfolgende Barrieren wirksam:a) für den Einschluss der radioaktiven Stoffe im Reaktorkern während derBetriebsphasen A bis C (in Phase C bis zum Zeitpunkt des Öffnens desSicherheitsbehälters):1. die Brennstabhüllrohre, abgesehen von zulässigen, betrieblich bedingtenHüllrohrschäden,2. die druckführende Umschließung des Reaktorkühlmittels und3. der Sicherheitsbehälter.8

E N T W U R FModul 1, Rev. B: Fließtextb) für den Einschluss der radioaktiven Stoffe im Reaktorkern während derBetriebsphasen C (nach dem Öffnen des Sicherheitsbehälters) bis Edie Brennstabhüllrohre, abgesehen von zulässigen, betrieblich bedingtenHüllrohrschäden.c) für den Einschluss der radioaktiven Stoffe in bestrahlten Brennelementen,die in der Anlage gehandhabt bzw. gelagert werden, während derBetriebsphasen A bis F die Brennstabhüllrohre, abgesehen von zulässigen,betrieblich bedingten Hüllrohrschäden, sowie der Sicherheitsbehälter.Ist kein Sicherheitsbehälter vorhanden, so ist dies durch Rückhaltefunktionenkompensiert.Dies gilt unbeschadet der Barriere „verschlossener Transport- und Lagerbehälter“.d) Der sichere kontrollierte Einschluss der radioaktiven Stoffe an anderenStellen der Anlage ist in allen Betriebsphasen durch Rückhaltefunktionengegeben.2.2 (4) Auf der Sicherheitsebene 3 sind neben den Rückhaltefunktionen zur Erfüllungder radiologischen Sicherheitsziele gewährleistet:a) für den Einschluss der radioaktiven Stoffe im Reaktorkern während derBetriebsphasen A bis C (in der Phase C bis zum Zeitpunkt des Öffnensdes Sicherheitsbehälters)−bei den Ereignissen, bei denen als einleitendes Ereignis kein Versageneiner Barriere postuliert wird, alle drei Barrieren gemäß Ziffer2.2 (3a),− bei Störfällen mit Kühlmittelverlust die Brennstabhüllrohre (mitAusnahme großer Lecks) sowie der Sicherheitsbehälter und−bei Störfällen mit ereignisbedingter Umgehung des Sicherheitsbehältersdie Brennstabhüllrohre.b) für den Einschluss der radioaktiven Stoffe im Reaktorkern während derBetriebsphasen C (nach dem Öffnen des Sicherheitsbehälters) bis Emindestens die Brennstabhüllrohre (abgesehen von ereignisspezifischpostulierten Hüllrohrschäden).9

E N T W U R FModul 1, Rev. B: Fließtextc) bei der Handhabung und Lagerung von Brennelementen die Brennstabhüllrohre(abgesehen von ereignisspezifisch postulierten Hüllrohrschäden).Ist kein Sicherheitsbehälter vorhanden, so ist dies durchRückhaltefunktionen kompensiert.2.2 (5) Auf der Sicherheitsebene 4a sind für den Einschluss der radioaktiven Stoffeim Reaktorkern−−während der Betriebsphasen A bis C die Integrität der druckführendenUmschließung sowie ereignisabhängig entweder der Brennstabhüllrohreoder des Sicherheitsbehälterswährend der Betriebsphasen D bis E die Integrität der Brennstabhüllrohregewährleistet.Für den Einschluss der radioaktiven Stoffe in bestrahlten, gelagertenBrennelementen ist die Integrität der Brennstabhüllrohre gewährleistet.2.2 (6) Auf der Sicherheitsebene 4b wird durch die geplanten Maßnahmen desanlageninternen Notfallschutzes neben der Aufrechterhaltung von Rückhaltefunktionenhinsichtlich des Aktivitätsinventars des Reaktorkerns−−bei Ereignisabläufen mit Umgehung des Sicherheitsbehälters die Aufrechterhaltungder Integrität der Brennstabhüllrohre,ansonsten die Aufrechterhaltung der Funktion des Sicherheitsbehältersangestrebt.Für den Einschluss der radioaktiven Stoffe in bestrahlten, gelagertenBrennelementen wird auf der Sicherheitsebene 4b die Integrität mindestenseiner Barriere angestrebt.Auf der Sicherheitsebene 4c wird durch die geplanten Maßnahmen desanlageninternen Notfallschutzes angestrebt, die Integrität des Sicherheitsbehältersso lange wie möglich zu erhalten.10

E N T W U R FModul 1, Rev. B: Fließtext2.3 Konzept der Grundlegenden Sicherheitsfunktionen (Schutzziele)2.3 (1) Mit den gemäß Ziffer 2.1 (3a) vorgesehenen Maßnahmen und Einrichtungenwerden entsprechend den jeweiligen Anforderungen auf den Sicherheitsebenendie folgenden grundlegenden Sicherheitsfunktionen (Schutzziele)erfüllt:a) Kontrolle der Reaktivität,b) Kühlung der Brennelemente undc) Einschluss der radioaktiven Stoffe.2.3 (2) Auf den Sicherheitsebenen 1 bis 4a werden folgende Anforderungen eingehalten:Zur Kontrolle der Reaktivität:− Reaktivitätsänderungen sind auf als zulässig bestätigte Werte beschränkt,−−der Reaktorkern kann sicher abgeschaltet und langfristig unterkritischgehalten werden,bei der Handhabung von Brennelementen sowie im Lager für unbestrahlteBrennelemente und im Brennelementlagerbecken ist Unterkritikalitätsichergestellt.Zur Kühlung der Brennelemente:−−−Kühlmittel und Wärmesenken sind stets in ausreichender Wirksamkeitvorhanden,der Wärmetransport vom Brennstoff bis zur Wärmesenke ist sichergestellt,die Wärmeabfuhr aus dem Brennelementlagerbecken ist sichergestellt.Zum Einschluss der radioaktiven Stoffe:−Die sich auf den verschiedenen Sicherheitsebenen ergebenden mechanischen,thermischen, chemischen und durch Strahlung hervorgeru-11

E N T W U R FModul 1, Rev. B: Fließtextfenen Belastungen sind so begrenzt, dass die unter Ziffer 2.4 angegebenenradiologischen Sicherheitsziele eingehalten werden und dieKontrolle der Reaktivität sowie die Kühlung der Brennelemente sichergestelltsind.2.3 (3) Auf der Sicherheitsebene 4b wird durch Maßnahmen des anlageninternenNotfallschutzes angestrebt, die Kontrolle der Reaktivität sowie die Kühlungder Brennelemente zu erhalten oder wieder herzustellen und die Anlage ineinen langfristig sicheren Zustand zu überführen. Es ist das Ziel, die Integritätdes Sicherheitseinschlusses oder mindestens einer anderen Barriere zuerhalten.2.3 (4) Auf der Sicherheitsebene 4c wird durch Maßnahmen des anlageninternenNotfallschutzes angestrebt, die Integrität des Sicherheitsbehälters so langewie möglich zu erhalten, die radioaktiven Stoffe soweit wie möglich zurückzuhaltenund einen langfristig kontrollierbaren Zustand zu erreichen.2.4 Radiologische Sicherheitsziele2.4 (1) Auf den Sicherheitsebenen 1 und 2−−−wird die Strahlenexposition des Personals bei allen Tätigkeiten unterBerücksichtigung aller Umstände des Einzelfalls auch unterhalb derGrenzwerte der Strahlenschutzverordnung so gering wie möglichgehalten,erfolgt jede Ableitung radioaktiver Stoffe mit Luft oder Wasser kontrolliertauf den dafür vorgesehenen Ableitungspfaden; die Ableitungenwerden überwacht und nach Art und Aktivität dokumentiert und spezifiziert;undwird jede Strahlenexposition oder Kontamination von Mensch und Umweltdurch Direktstrahlung aus der Anlage sowie durch die Ableitungradioaktiver Stoffe unter Berücksichtigung aller Umstände des Einzelfallsauch unterhalb der Grenzwerte der Strahlenschutzverordnung sogering wie möglich gehalten.12

E N T W U R FModul 1, Rev. B: FließtextAuf der Sicherheitsebene 3−−−−werden bei der Planung von Tätigkeiten zur Beherrschung von Ereignissen,zur Minderung ihrer Auswirkungen oder zur Beseitigung ihrerFolgen für die Strahlenexposition des Personals höchstens die einschlägigenGrenzwerte der Strahlenschutzverordnung zu Grunde gelegt,werden für die Auslegung der Anlage zum Schutz der Bevölkerung vorfreisetzungsbedingten Strahlenexpositionen höchstens die einschlägigenStörfallplanungswerte der Strahlenschutzverordnung zu Grundegelegt,erfolgt eine etwaige Freisetzung auf analysierten Freisetzungspfaden;die Freisetzung wird überwacht und nach Art und Aktivität dokumentiertund spezifiziert; undwerden die radiologischen Auswirkungen innerhalb und außerhalb derAnlage unter Berücksichtigung aller Umstände des Einzelfalls so geringwie möglich gehalten.Auf der Sicherheitsebene 4−−−werden bei der Planung von Tätigkeiten zur Beherrschung von Ereignissender Sicherheitsebene 4a sowie bei der Planung von Tätigkeitenim Rahmen von Maßnahmen des anlageninternen Notfallschutzes fürdie voraussichtliche Strahlenexposition des Personals die einschlägigenVorgaben der Strahlenschutzverordnung zu Grunde gelegt,wird die Überwachung von Freisetzungen radioaktiver Stoffe aus derAnlage nach Art und Aktivität sichergestellt undwerden radiologische Auswirkungen innerhalb und außerhalb der Anlageunter Berücksichtigung aller Umstände des Einzelfalls so gering wiemöglich gehalten.2.4 (2) Alle sicherheitstechnisch wichtigen Einrichtungen eines Kernkraftwerkswerden so ausgelegt, in einem solchen Zustand gehalten und so gegen13

E N T W U R FModul 1, Rev. B: FließtextEinwirkungen geschützt, dass sie ihre sicherheitstechnischen Aufgaben zurEinhaltung der Anforderungen gemäß Ziffer 2.4 (1) erfüllen.Alle Einrichtungen eines Kernkraftwerks, die radioaktive Stoffe enthaltenoder enthalten können, sind so beschaffen, angeordnet und abgeschirmt,dass bezüglich der Strahlenexposition von Personen bei allen auf den Sicherheitsebenen1 und 2 erforderlichen Tätigkeiten sowie bei der Planungvon Tätigkeiten zur Beherrschung von Ereignissen der Sicherheitsebenen 3und 4a sowie im Rahmen von Maßnahmen des anlageninternen Notfallschutzesdie einschlägigen Anforderungen gemäß Ziffer 2.4 (1) erfüllt werden.3 Übergreifende technische Anforderungen3.1 Generelle Anforderungen3.1 (1) Bei Auslegung, Fertigung, Errichtung und Prüfung sowie Betrieb und Instandhaltungder sicherheitstechnisch wichtigen Anlagenteile werdenGrundsätze und Verfahren angewendet, die entsprechend den besonderensicherheitstechnischen Erfordernissen der Kerntechnik dem Stand vonWissenschaft und Technik entsprechen. Bei Anwendung von anerkanntenRegeln der Technik sind diese im Einzelfall daraufhin überprüft, ob sie demStand von Wissenschaft und Technik entsprechen.3.1 (2) Auf Maßnahmen und Einrichtungen der Sicherheitsebenen 1 bis 3 werdenbezüglich aller Betriebsphasen sicherheitsfördernde Auslegungs-, Fertigungs-und Betriebsgrundsätze angewendet. Insbesondere sind verwirklicht:a) sicherheitstechnisch begründete Sicherheitszuschläge bei der Auslegungder Komponenten; hierbei können anerkannte Regeln und Standardsangewendet werden;b) Verwendung geeigneter Werkstoffe sowie betriebsbewährter oder ausreichendgeprüfter Einrichtungen,14

E N T W U R FModul 1, Rev. B: Fließtextc) Instandhaltungsfreundliche Gestaltung von Einrichtungen unter besondererBerücksichtigung der Strahlenexposition des Personals,d) ergonomische Maßnahmen an den Arbeitsplätzen,e) Sicherstellung und Erhalt der Qualitätsmerkmale bei Fertigung, Errichtungund Betrieb,f) Durchführung von wiederkehrenden Prüfungen in dem sicherheitstechnischnotwendigen Umfang,g) zuverlässige Überwachung der in den jeweiligen Betriebsphasen relevantenBetriebszustände, einschließlich der Alterung,h) Aufstellung eines Überwachungskonzepts mit Überwachungseinrichtungenzur Erkennung betriebsbedingter Schäden,i) Aufzeichnung, Auswertung und sicherheitsbezogene Verwertung vonBetriebserfahrungen.3.1 (3) Auf Maßnahmen und Einrichtungen der Sicherheitsebene 3 (Sicherheitseinrichtungen)werden zusätzlich zu Ziffer 3.1 (2) folgende Grundsätze angewendet:a) Redundanz,b) Diversität,c) Entmaschung von redundanten Teilsystemen, soweit dies nicht mit sicherheitstechnischenNachteilen verbunden ist,d) räumliche Trennung redundanter Teilsysteme;e) sicherheitsgerichtetes Systemverhalten bei Fehlfunktion von Teilsystemenoder Anlagenteilen;f) Bevorzugung passiver gegenüber aktiver Sicherheitseinrichtungen;g) Bevorzugung von Prinzipien der inhärent sicheren Auslegung;h) die Hilfssysteme und die Hilfsmedienversorgung der Sicherheitseinrichtungensind so zuverlässig ausgelegt, das sie die Nichtverfügbarkeitder zu versorgenden Einrichtungen nicht bestimmen;15

E N T W U R FModul 1, Rev. B: Fließtexti) Automatisierung (von Hand auszulösende Einrichtungen werden in derStörfallanalyse grundsätzlich nicht vor Ablauf von 30 Minuten berücksichtigt).3.1 (4) Sicherheitseinrichtungen bzw. von diesen zu erfüllende Sicherheitsfunktionensind so redundant und entmascht, dass im Anforderungsfall ein zufälligerAusfall in der Sicherheitseinrichtung (Einzelfehler) unter Berücksichtigungder Besonderheiten von aktiven und passiven Einrichtungen sowieunterschiedlicher Betriebsphasen und Betriebszustände beherrscht wird(Einzelfehlerkonzept).Sofern gemäß den Betriebsvorschriften betriebsbegleitende Instandhaltungsarbeitenan einer Redundanz mit damit einhergehender Unverfügbarkeitvon Sicherheitseinrichtungen zulässig sind, wird zusätzlich zum Einzelfehlergrundsätzlich unterstellt, dass eine Redundanz der von solchen Arbeitenbetroffenen Sicherheitseinrichtung zum Zeitpunkt der Anforderungnicht verfügbar ist.3.1 (5) Die Zuverlässigkeit und Wirksamkeit der Maßnahmen und Einrichtungender Sicherheitsebene 3, einschließlich der Hilfs- und Versorgungssysteme,ist bei Anforderung auch sichergestellt−−−bei allen bei den Ereignisabläufen zu unterstellenden Bedingungen,bei zusätzlichen störfallbedingten Folgeausfällen,bei gleichzeitigem oder zeitlich versetztem Ausfall der Eigenbedarfsversorgungsowie− bei den Ausfällen gemäß dem Einzelfehlerkonzept nach Ziffer 3.1 (4).3.1 (6) Bei der Analyse von Ereignissen der Sicherheitsebene 3 wird grundsätzlichdie Nichtberücksichtigung der ersten Anregung des Reaktorschutzsystemsbzw. der ersten Anregung der Reaktorschnellabschaltung unterstellt, sofernnicht aus physikalisch-technischen Gründen nur ein Anregekriterium verfügbarist.16

E N T W U R FModul 1, Rev. B: FließtextBei unterstellter Nichtberücksichtigung der ersten Anregung wird dasgleichzeitige Auftreten eines Einzelfehlers gemäß Ziffer 3.1 (4) an aktivenSystemteilen unterstellt, nicht jedoch bei gleichzeitigem Instandhaltungsfall.3.1 (7) In Betriebsphasen außerhalb der Betriebsphasen A und B, in denen Teileder Sicherheitseinrichtungen planungsgemäß nicht verfügbar sind, ist diezuverlässige und wirksame Beherrschung für die in diesen Phasen zu unterstellendenEreignisse unter diesen Bedingungen gewährleistet.3.1 (8) Die Maßnahmen und Einrichtungen der Sicherheitsebene 4a erfüllen folgendeAnforderungen:a) sicherheitstechnisch nachteilige Auswirkungen auf Maßnahmen undEinrichtungen der Sicherheitsebenen 1 bis 3 sind ausgeschlossen;b) bei Notstandsfällen ist die verfahrenstechnische Autarkie der Notstandseinrichtungenim Hinblick auf alle Kühl- und Betriebsmittel, dienotwendig sind, um die Anlage in einen sicheren Zustand zu bringenund in einem sicheren Zustand zu halten, mindestens für 10 Stundensichergestellt.3.1 (9) Die Maßnahmen und Einrichtungen des anlageninternen Notfallschutzessind bei allen bei ihrer Planung zu Grunde gelegten Ereignisabläufen undPhänomenen wirksam und mit dem vorhandenen Sicherheitskonzept verträglich.Die Maßnahmen des anlageninternen Notfallschutzes richten sich aus anden von der Anlagentechnik gegebenen Möglichkeiten.3.1 (10) Alle sicherheitsrelevanten Einrichtungen sind so beschaffen und angeordnet,dass sie entsprechend ihrer sicherheitstechnischen Bedeutung undAufgabe vor ihrer Inbetriebnahme und danach in regelmäßigen Zeitabständenin hinreichendem Umfang geprüft und gewartet werden können, umden spezifikationsgerechten Zustand feststellen und sich anbahnende Abweichungenvon prüfbaren Qualitätsmerkmalen erkennen zu können.3.1 (10a) Wenn an Einrichtungen regelmäßig wiederkehrende Prüfungen nach demStand der Technik nicht in dem für die Erkennung etwaiger Mängel erfor-17

E N T W U R FModul 1, Rev. B: Fließtextderlichen Umfang durchgeführt werden können, ist dies in Ausnahmefällenzulässig, z.B.−−wenn eine Prüfaussage von vergleichbaren Stellen herangezogen werdenkann und die Prüfung bei der Herstellung keine Befunde ergebenhat oderbei vorwiegend ruhender Beanspruchung und wirksamen Schutzmaßnahmengegen Einflüsse von Korrosion und Alterung.3.1 (10b) Im Falle einer solchen eingeschränkten Prüfbarkeit werden für die Beherrschungmöglicher Folgen aus diesem Mangel solche Maßnahmen und Einrichtungenvorgesehen, dass bei den unter diesen Umständen in Betrachtzu ziehenden Ereignissen die Einhaltung der jeweiligen sicherheitstechnischenNachweisziele und Nachweiskriterien sichergestellt ist.3.1 (10c) Kombinationen von störfallauslösenden Ereignissen auf Grund eingeschränkterPrüfbarkeit mit sonstigen störfallauslösenden Ereignissen odergemeinsame Ausfälle von gleichartigen und gleichartig belasteten Einrichtungenmit eingeschränkter Prüfbarkeit werden unterstellt, sofern nicht bestätigtist,−−dass durch in Ziffer 3.1 (10b) genannte Maßnahmen sicherheitstechnischbedeutsame Zustands- und Funktionsbeeinträchtigungen ausgeschlossensind, oderdass ihr gleichzeitiges Eintreten auf Grund von Wahrscheinlichkeitsbetrachtungenoder nach dem Stand von Wissenschaft und Technik nichtunterstellt werden muss.3.2 Leittechnik3.2 (1) Das Kernkraftwerk ist mit betrieblichen Steuer- und Regeleinrichtungen mitFunktionen auf der Sicherheitsebene 1 ausgerüstet, die so ausgelegt sindund betrieben werden, dass auch ohne Inanspruchnahme von Einrichtungender Sicherheitsebene 2 ein möglichst störungsfreier Betrieb der Anlagegewährleistet ist.18

E N T W U R FModul 1, Rev. B: Fließtext3.2 (2) Das Kernkraftwerk ist mit leittechnischen Einrichtungen mit Funktionen aufder Sicherheitsebene 2 ausgerüstet, die geeignet sind, bei Ereignissen derSicherheitsebene 2 eine Anforderung an die Schutzaktionen der Sicherheitsebene3 zu vermeiden.3.2 (3) Das Kernkraftwerk ist mit zuverlässigen leittechnischen Einrichtungen mitFunktionen auf der Sicherheitsebene 3 ausgerüstet (Reaktorschutzsystem),deren Leittechnikfunktionen bei Erreichen festgelegter AnsprechwerteSchutzaktionen auslösen.Diese Einrichtungen sind nach folgenden Grundsätzen ausgelegt:−redundante Auslegung von Komponenten, Baugruppen und Teilsystemen,− räumlich getrennte Installation entsprechend dem Wirkungsbereichmöglicher versagensauslösender Ereignisse,−−−−−−Diversität,selbsttätige Überwachung auf einen Ausfall hin,Anpassung der Komponenten an die möglichen Umgebungsbedingungen,einfache Struktur der Software,Begrenzung des Funktionsumfangs auf das sicherheitstechnisch notwendigeMaß,Einsatz fehlervermeidender, fehlerentdeckender und fehlerbeherrschenderMaßnahmen und Einrichtungen.3.2 (4) Das Kernkraftwerk hat Überwachungs- und Meldeeinrichtungen, die aufden Sicherheitsebenen 1 bis 4a jederzeit einen ausreichenden Überblicküber den sicherheitsrelevanten Zustand der Anlage und die ablaufendenrelevanten Prozesse ermöglichen und alle sicherheitstechnisch wichtigenBetriebsparameter registrieren können.Es sind Gefahrenmeldeeinrichtungen vorhanden, die Veränderungen desBetriebszustandes, aus denen sich eine Verminderung der Sicherheit er-19

E N T W U R FModul 1, Rev. B: Fließtextgeben könnte, so frühzeitig anzeigen, dass die Einhaltung der jeweiligensicherheitstechnischen Nachweisziele gewährleistet werden kann.3.2 (5) Das Kernkraftwerk hat eine Störfallinstrumentierung, die bei Ereignisabläufenund Anlagenzuständen der Sicherheitsebenen 3 und 41. ausreichende Informationen über den Zustand der Anlage liefert, umdie erforderlichen Schutzmaßnahmen für Personal und Anlage bzw. diegeplanten Notfallmaßnahmen ergreifen und ihre Wirksamkeit feststellenzu können,2. Hinweise auf den Verlauf des Ereignisablaufes gibt und die Dokumentationdes Ereignisses ermöglicht,3. eine Abschätzung der Auswirkungen auf die Umgebung gestattet.3.2 (6) Auf den Sicherheitsebenen 4b und 4c dürfen Maßnahmen des anlageninternenNotfallschutzes Vorrang vor konkurrierenden Aktionen der vorgelagertenSicherheitsebenen haben. Eingriffe in Einrichtungen, die auf den Sicherheitsebenen1 bis 4a Leittechnikfunktionen ausführen, sind erlaubt,wenn Maßnahmen des anlageninternen Notfallschutzes dies erfordern.3.2 (7) Die von leittechnischen Einrichtungen auszuführenden Funktionen sindentsprechend ihrer sicherheitstechnischen Bedeutung gemäß Ziffer2.1 (10) klassifiziert. Die Anforderungen an Entwurf, Implementierung, Qualifizierung,Inbetriebsetzung, Betrieb und Modifizierung der Software bzw.an Auslegung, Fertigung, Errichtung und Betrieb der Hardware (Komponenten,Baugruppen und Teilsysteme) für leittechnische Einrichtungen sindentsprechend der sicherheitstechnischen Klassifizierung festgelegt.3.2 (8) Der unberechtigte Zugriff auf Informations- und Leittechniksysteme derAnlage wird verhindert. Die Wirksamkeit und Zuverlässigkeit der hierfürvorgesehenen Maßnahmen entsprechen der sicherheitstechnischen Bedeutungder Informations- und Leittechniksysteme.20

E N T W U R FModul 1, Rev. B: Fließtext3.3 Warten3.3 (1) Es ist eine Warte vorhanden, von der aus das Kernkraftwerk sicher betriebenwerden kann und von der aus bei Störfällen Maßnahmen ergriffenwerden können, um das Kernkraftwerk in einem sicheren Zustand zu halten.3.3 (2) Außerhalb der Warte ist eine Notsteuerstelle vorgesehen, mit deren Hilfebei Funktionsausfall der Warte einschließlich der in Betracht zu ziehendenWartennebenräume, wie z.B. Rangierverteiler und Elektronikraum, der Reaktorabgeschaltet und unterkritisch gehalten, die Nachwärme abgeführtund die hierfür wesentlichen Betriebsparameter überwacht werden können.3.3 (3) Die Warte und die Notsteuerstelle sind so voneinander räumlich getrennt,werden voneinander unabhängig mit Energie versorgt und sind derart gegenEinwirkungen von außen geschützt, dass Warte und Notsteuerstellenicht gleichzeitig außer Funktion gesetzt werden können.3.3 (4) Die ergonomische Auslegung der Warte und der Notsteuerstelle unterstütztsicherheitsgerichtetes Verhalten des Personals.3.4 Elektrische Energieversorgung3.4 (1) Die elektrische Energieversorgung des Kernkraftwerks ist so ausgelegt,dass auf den Sicherheitsebenen 1 bis 4a die elektrische Versorgung derVerbraucher unter Einhaltung ihrer elektrischen Versorgungsbedingungensichergestellt ist. Die elektrische Energieversorgung ist so zuverlässig ausgelegt,dass sie die Nichtverfügbarkeit der zu versorgenden Systeme, derenAusfall zu sicherheitstechnisch nachteiligen Folgen führen kann, nichtbestimmt..3.4 (2) Hierzu sind mindestens zwei, weitgehend unabhängige Netzanschlüsse fürdie Energieversorgung des Kernkraftwerks vorhanden. Zusätzlich zur elektrischenEnergieversorgung aus den Netzanschlüssen und dem Hauptgeneratorsind für die sicherheitstechnisch wichtigen Einrichtungen zuverlässigeNotstromversorgungsanlagen vorhanden, die die elektrische Energieversorgungdieser Einrichtungen bei Ausfall der Netzeinspeisung und des21

E N T W U R FModul 1, Rev. B: FließtextHauptgenerators gewährleisten. Zusätzlich ist eine Möglichkeit der Energieversorgungvorhanden, die unabhängig davon die elektrische Energieversorgungfür mindestens eine Nachkühlkette einschließlich der erforderlichenleittechnischen Einrichtungen bei Ausfall der Netzanschlüsse sicherstellt.3.4 (3) Die notwendige Energieversorgung für die Durchführung der geplantenMaßnahmen des anlageninternen Notfallschutzes ist sichergestellt.3.5 Strahlenschutz3.5 (1) Im Kernkraftwerk sind die personellen, organisatorischen, räumlichen undapparativen Voraussetzungen gegeben, um eine hinreichend genaue undzuverlässige Strahlenschutzüberwachung in der Anlage auf allen Sicherheitsebenenim erforderlichen Umfang gewährleisten zu können.3.5 (2) Im Kernkraftwerk sind die personellen, organisatorischen und apparativenVoraussetzungen gegeben, um im jeweils erforderlichen Umfang Art, Mengeund Konzentration der mit der Fortluft und dem Abwasser abzuleitendenradioaktiven Stoffe hinreichend genau und zuverlässig zu überwachen, zuregistrieren sowie die Ableitung erforderlichenfalls zu begrenzen.3.5 (3) Es sind die personellen, organisatorischen und apparativen Voraussetzungengegeben, um eine Strahlenschutzüberwachung der Umgebung auf denSicherheitsebenen 1 bis 4 im erforderlichen Umfang hinreichend schnell,genau und zuverlässig durchführen zu können.3.5 (4) Im Kernkraftwerk sind Maßnahmen und Einrichtungen vorgesehen, die einesichere Handhabung, Einschließung und Lagerung der unbestrahlten undbestrahlten Kernbrennstoffe und sonstiger radioaktiver Stoffe ermöglichen.Diese Maßnahmen sind so konzipiert und diese Einrichtungen sind so beschaffen,angeordnet und abgeschirmt, dass eine unzulässige Strahlenexpositiondes Personals und in der Umgebung sowie die Freisetzung radioaktiverStoffe in die Umgebung nicht zu unterstellen sind.3.5 (5) Kernkraftwerke sind so beschaffen, dass sie unter Einhaltung der Strahlenschutzbestimmungenstillgelegt werden können. Ein Konzept für eine Be-22

E N T W U R FModul 1, Rev. B: Fließtextseitigung nach der endgültigen Stilllegung unter Einhaltung der Strahlenschutzbestimmungenist vorhanden.4 Anforderungen zur Kontrolle der Reaktivität4 (1) Die Kontrolle der Reaktivität im Reaktorkern sowie bei der Brennelementlagerungist auf den Sicherheitsebenen 1 bis 4a in allen Betriebsphasen sichergestellt.4 (2) Der Reaktorkern, die zugehörigen Kühlsysteme und die hierfür relevantenTeile der Überwachungs-, Regel- und Begrenzungseinrichtungen sowiedas Reaktorschutzsystem und die Sicherheitseinrichtungen zur Abschaltungdes Reaktors sind so ausgelegt und hergestellt und sie werden in einemsolchen Zustand gehalten, dass−−auf der Sicherheitsebene 1 die Auslegungsgrenzen sowieauf den Sicherheitsebenen 2 bis 4a die jeweils geltenden sicherheitstechnischenNachweisziele und Nachweiskriterieneingehalten werden.4 (3) Der Reaktorkern ist so ausgelegt, dass auf Grund inhärenter reaktorphysikalischerRückkopplungseigenschaften die in Betracht zu ziehendenschnellen Reaktivitätsanstiege so weit abgefangen werden, dass im Zusammenwirkenmit den übrigen inhärenten Eigenschaften der Anlage undden Abschalteinrichtungen die jeweils auf den Sicherheitsebenen geltendensicherheitstechnischen Nachweisziele und Nachweiskriterien eingehaltenwerden.4 (4) Der Reaktorkern ist so ausgelegt, dass auf Grund inhärenter reaktorphysikalischerRückkopplungseigenschaften die zu berücksichtigenden Transientender Sicherheitsebene 4a mit unterstelltem Ausfall der schnell wirkendenAbschalteinrichtung (Schnellabschaltsystem) so weit abgefangenwerden, dass im Zusammenwirken mit ansonsten bestimmungsgemäßwirksamen Maßnahmen und Einrichtungen der Anlage die für diese Ereignissegeltenden sicherheitstechnischen Nachweisziele und Nachweiskrite-23

E N T W U R FModul 1, Rev. B: Fließtextrien eingehalten werden. Bei der Analyse solcher Ereignisse werden imKurzzeitbereich nur Funktionen mit höherwertiger Ansteuerung berücksichtigt.4 (5) Der Reaktor besitzt mindestens zwei voneinander unabhängige und diversitäreAbschalteinrichtungen, von denen eine ganz oder teilweise mit denRegelungs- bzw. Begrenzungseinrichtungen identisch sein kann.4 (6) Mindestens eine der beiden Abschalteinrichtungen ist allein in der Lage,den Kernreaktor−−aus jedem Zustand der Sicherheitsebenen 1 bis 3 heraus, auch bei unterstelltemNichteinfall des reaktivitätswirksamsten Steuerelements(DWR) bzw. Nichteinschießen des reaktivitätswirksamsten Steuerstabs(SWR), sowiebei den Notstandsfällen der Sicherheitsebene 4aso schnell unterkritisch zu machen (Schnellabschaltsystem) und hinreichendlange zu halten, dass die auf den Sicherheitsebenen jeweils geltendensicherheitstechnischen Nachweisziele und Nachweiskriterien eingehaltenwerden.Der Nichteinfall des reaktivitätswirksamsten Steuerelements (DWR) bzw.das Nichteinschießen des reaktivitätswirksamsten Steuerstabs (SWR)muss nicht unterstellt werden, wenn beide Abschalteinrichtungen einschließlichder Anregung durch das Reaktorschutzsystem, insbesonderehinsichtlich der Abschaltcharakteristik, der Wirksamkeit und des Zeitverhaltens,gleichwertig sind.4 (7) Mindestens eine Abschalteinrichtung ist allein in der Lage, den Reaktornach erfolgter Abschaltung auf den Sicherheitsebenen 1 bis 4a auch beider für die Reaktivitätsbilanz ungünstigsten Temperatur, die unter den inBetracht zu ziehenden Ereignissen möglich ist, dauerhaft unterkritisch zuhalten.Bei Kühlmittelverluststörfällen können zur Sicherstellung der dauerhaftenUnterkritikalität die Einrichtungen zur Notkühlung herangezogen werden.24

E N T W U R FModul 1, Rev. B: FließtextBeim Nachweis, dass die geforderte Unterkritikalität nach erfolgter Abschaltungdurch das Schnellabschaltsystem aufrecht erhalten bleibt, wird der unterstellteNichteinfall des reaktivitätswirksamsten Steuerelements bei Ereignissender Sicherheitsebene 3 wie ein Einzelfehler gemäß Ziffer 3.1 (4)behandelt.Sofern die dauerhafte Abschaltung durch Steuerstäbe sichergestellt wird,wird auf den Sicherheitsebenen 1 bis 3 das Nichteinfahren bzw. Nichteinschießendes wirksamsten Steuerstabs unterstellt.4 (8) Maßnahmen und Einrichtungen zur Handhabung und Lagerung der unbestrahltenund bestrahlten Kernbrennstoffe sind derart vorgesehen, dass einKritikalitätsereignis in den Lagereinrichtungen auch unter Störfallbedingungenbzw. bei den Ereignissen der Sicherheitsebene 4a nicht zu unterstellenist.5 Anforderungen zur Kühlung der Brennelemente5 (1) Die Kühlung der Brennelemente (Wärmeabfuhr aus dem Reaktorkern undden Brennelementlagereinrichtungen) ist auf den Sicherheitsebenen 1 bis4a in allen Betriebsphasen sichergestellt.5 (2) Dazu wird die im Brennelement erzeugte Wärme derart abgeführt, dass dieauf den Sicherheitsebenen geltenden sicherheitstechnischen Nachweiszieleund Nachweiskriterien im Hinblick auf die Einwirkungen auf die Brennelementeund die übrigen sicherheitstechnisch wichtigen Einrichtungenwährend ihrer gesamten Einsatzzeit eingehalten werden.Dies ist dadurch sichergestellt, dassa) in ausreichendem Umfang Kühlmittel und Wärmesenken zur Verfügungstehen sowieb) der Wärmetransport vom Brennstoff bis zur Wärmesenke undc) die Wärmeabfuhr bei Handhabung und Lagerung der Brennelementegewährleistet ist.25

E N T W U R FModul 1, Rev. B: Fließtext5 (3) Es ist ein zuverlässiges und redundant aufgebautes System zum Abfahrendes Reaktors und zur Nachwärmeabfuhr im bestimmungsgemäßen Betriebvorgesehen, welches so beschaffen ist, dass auch nach Unterbrechung derWärmeabfuhr vom Reaktor zur Hauptwärmesenke, auch bei Auftreten einesEinzelfehlers während eines Instandhaltungsfalles im Nachwärmeabfuhrsystem,die sicherheitstechnischen Nachweisziele und Nachweiskriterienfür die Brennelemente, für die Kerneinbauten, für die DruckführendeUmschließung des Reaktorkühlmittels sowie für den Sicherheitseinschlusserfüllt werden.5 (4) Es ist ein zuverlässiges und redundant aufgebautes System für die Notkühlung(Notkühlsystem) des Reaktorkerns bei Kühlmittelverluststörfällen vorgesehen,welches gewährleistet, dass für die in Betracht kommendenBruchgrößen, Bruchlagen, Betriebszustände und Transienten im Reaktorkühlsystema) die sicherheitstechnischen Aufgaben auch unter Beachtung der Vorgabenvon Ziffer 3.1 (4) erfüllt werden,b) die jeweils geltenden sicherheitstechnischen Nachweisziele und Nachweiskriterienfür die Brennelemente, die Kerneinbauten und für den Sicherheitseinschlusseingehalten werden.5 (5) Es ist ein zuverlässiges, redundant aufgebautes System zum Abfahren desReaktors und zur Nachwärmeabfuhr bei Störfällen ohne Kühlmittelverlustvorgesehen, welches gewährleistet, dass auch nach Unterbrechung oderStörung der Wärmeabfuhr vom Reaktor zur Hauptwärmesenke die sicherheitstechnischenNachweisziele und Nachweiskriterien auch unter Beachtungder Vorgaben von Ziffer 3.1 (4) erfüllt werden.5 (6) Die Einrichtungen zur Lagerung bestrahlter Kernbrennstoffe verfügen überausreichende Lagerkapazitäten sowie eine ausreichend wirksame und hinreichendzuverlässige Nachwärmeabfuhr auf den Sicherheitsebenen 1 bis4a. Eine vollständige Auslagerung des Reaktorkerns in die vorhandenenLagereinrichtungen ist jederzeit möglich.26

E N T W U R FModul 1, Rev. B: Fließtext6 Anforderungen zum Erhalt der Barrierenintegrität6 (1) Die Brennstabhüllrohre (1. Barriere gemäß Ziffer 2.2 (3a)) sind so beschaffenund angeordnet, dass auf den Sicherheitsebenen 1 bis 4a die jeweilsgeltenden sicherheitstechnischen Nachweisziele und Nachweiskriterieneingehalten werden.6 (2a) Die Komponenten, die Reaktorkühlmittel führen und unter höherem alsatmosphärischem Druck stehen (Druckführende Umschließung, 2. Barrieregemäß Ziffer 2.2 (3a)), sind so beschaffen und angeordnet sowie werdenso betrieben, dass das Auftreten von Lecks, die auslegungsgemäß nichtbeherrscht werden, rasch fortschreitenden Rissen und spröden Brüchennicht unterstellt werden muss.6 (2b) Zu diesem Zweck wird bei der Auslegung ein sicherheitstechnisch ausreichenderZuschlag (gemäß Ziffer 3.1 (2)) auf die ermittelten Werte der Einwirkungenvorgesehen, um zu gewährleisten, dass die Auslegungsbedingungender Druckführenden Umschließung im bestimmungsgemäßen Betriebnicht überschritten werden. Einrichtungen für eine Überwachung aufLeckagen während des Betriebes sind installiert.6 (2c) Zur Vermeidung der Überschreitung des zulässigen Druckes in der DruckführendenUmschließung (bei DWR Anlagen einschließlich der Sekundärseitedes Dampferzeugers) sind wirksame und zuverlässige Einrichtungenzur Druckbegrenzung und zur Überdruckabsicherung vorgesehen. Die Einrichtungensind so beschaffen, dass die bei der sekundärseitigen und primärseitigenDruckentlastung auf der Sicherheitsebene 4b zu betrachtendenMedien sicher abgeführt werden können.6 (2d) Das Kernkraftwerk wird so betrieben, dass die jeweils zulässigen Werte fürEinwirkungen auf die Druckführende Umschließung des Reaktorkühlmittelsauf den Sicherheitsebenen 1 bis 4a nicht überschritten werden.6 (3a) Das Kernkraftwerk besitzt einen Sicherheitseinschluss (3. Barriere gemäßZiffer 2.2 (3a)), der seine sicherheitstechnische Aufgabe unter allen Bedingungender Sicherheitsebenen 1 bis 3 sowie bei Transienten mit Ausfall derReaktorschnellabschaltung (Sicherheitsebene 4a) erfüllen kann. Dies gilt in27

E N T W U R FModul 1, Rev. B: Fließtextden Betriebsphasen A und B sowie in der Betriebsphase C bis zum Zeitpunktdes Öffnens des Sicherheitsbehälters.In den Betriebsphasen C bis E, bei denen der Sicherheitsbehälter geöffnetsein kann, ist sichergestellt, dass unter den Bedingungen der Sicherheitsebene1 sowie bei den zu unterstellenden Ereignissen der Sicherheitsebenen2 und 3 wirksame und zuverlässige Rückhaltefunktionen vorhandensind und ein unzulässiger Verlust von Kühlmittel aus dem Sicherheitsbehälterdurch kurzfristig mögliche Maßnahmen unterbunden wird.Einrichtungen, die radioaktive Stoffe enthalten, werden innerhalb des Sicherheitseinschlussesuntergebracht, soweit eine unzulässige Freisetzungradioaktiver Stoffe in die Umgebung nicht auf andere Weise ausreichendzuverlässig verhindert werden kann.Im Sicherheitsbehälter sind grundsätzlich die unter hohem Druck stehenden,Primärkühlmittel führenden Komponenten der Anlage untergebracht.Hiervon ausgenommen werden können Abschnitte der Frischdampfleitungenund Speisewasserleitungen sowie sonstiger Leitungen, soweit diestechnisch notwendig ist und sofern gewährleistet ist, dass der Bruch solcherLeitungen nicht zu unzulässiger Strahlenexposition in der Umgebungführt.Ein zuverlässiger, ausreichend schneller und hinreichend langzeitiger Abschlussder Durchdringungen durch den Sicherheitsbehälter ist gewährleistet.6 (3b) Bei Kühlmittelverluststörfällen wird während des Sumpfbetriebs ein langfristigerTemperatur- oder Druckanstieg im Sicherheitsbehälter verhindert.28

E N T W U R FModul 1, Rev. B: Fließtext7 Zu berücksichtigende Betriebszustände und Ereignisse7.1 Betriebszustände, Störungen und Störfälle7.1 (1) Der Auslegung der gemäß Ziffer 2.1 (3) auf den Sicherheitsebenen 1 bis 3zu verwirklichenden Maßnahmen und Einrichtungen sind jeweils zu Grundegelegt:−−−in der Sicherheitsebene 1 zu erwartende Betriebszustände einschließlichPrüfzustände,Ereignisse, deren Eintreten während der Betriebsdauer der Anlage zuerwarten ist (Sicherheitsebene 2), sowieein abdeckendes Spektrum an Ereignissen, deren Eintreten währendder Betriebsdauer der Anlage auf Grund der Zuverlässigkeit und Wirksamkeitder vorhandenen Maßnahmen und Einrichtungen nicht zu erwarten,jedoch dennoch zu unterstellen ist (Sicherheitsebene 3).7.1 (2) Die Auslegung der jeweiligen Maßnahmen und Einrichtungen erfolgt derart,dass für die zu berücksichtigenden Betriebszustände und Ereignisabläufeunter Berücksichtigung festgelegter Randbedingungen nachgewiesen wird,dass die jeweilig geltenden sicherheitstechnischen Nachweisziele undNachweiskriterien erfüllt werden.7.1 (3) Die Vollständigkeit und der abdeckende Charakter der zu betrachtendenEreignisabläufe sind anlagenspezifisch gewährleistet.HinweisDie auf den Sicherheitsebenen 2 bis 4a mindestens herangezogenen Ereignisabläufe sowie die jeweiligeinzuhaltenden sicherheitstechnischen Nachweisziele und Nachweiskriterien sind in „Sicherheitsanforderungenfür Kernkraftwerke: Bei Druck- und Siedewasserreaktoren zu berücksichtigende Ereignisse"(Modul 3) dargestellt.7.2 Übergreifende Einwirkungen von innen (EVI) und außen (EVA)7.2 (1) Alle Einrichtungen, die erforderlich sind, den Kernreaktor sicher abzuschaltenund in abgeschaltetem Zustand zu halten, die Nachwärme abzuführenoder eine Freisetzung radioaktiver Stoffe zu verhindern, sind so ausgelegtund befinden sich dauerhaft in einem solchen Zustand, dass sie ihre si-29

E N T W U R FModul 1, Rev. B: Fließtextcherheitstechnischen Aufgaben auch bei naturbedingten Einwirkungen,soweit sie in Betracht zu ziehen sind, oder sonstigen Einwirkungen von außen,wie Störmaßnahmen Dritter, erfüllen können.7.2 (2) Der Auslegung dieser Einrichtungen sind zu Grunde gelegt:1. die jeweils folgenschwersten naturbedingten Einwirkungen oder sonstigenEinwirkungen von außen, die an dem betreffenden Standort berücksichtigtwerden müssen;2. die Besonderheiten lange andauernder äußerer Einwirkungen;3. Kombinationen mehrerer naturbedingter oder sonstiger Einwirkungenvon außen (z.B. Erdbeben, Hochwasser, Sturm, Blitz, Brände) oderKombinationen dieser Einwirkungen mit internen Ereignissen (z.B.Rohrleitungsbruch, Brände in der Anlage, Rauchentwicklung, Notstromfall);diese Kombinationen werden dann unterstellt, wenn die zu kombinierendenEreignisse in einem kausalen Zusammenhang stehen könnenoder wenn ihr gleichzeitiges Eintreten auf Grund von Wahrscheinlichkeitsbetrachtungenoder nach dem Stand von Wissenschaft undTechnik unterstellt werden muss.7.2 (3) Die erkennbare zukünftige Entwicklung der Eigenschaften des Standortesim Hinblick auf die zu betrachtenden Einwirkungen von außen ist berücksichtigt.7.2 (4) Brände und Explosionen in der Anlage werden verhütet. Zudem sind Maßnahmenund Einrichtungen zur Beherrschung von Bränden vorhanden. Diesicherheitstechnisch wichtigen Maßnahmen und Einrichtungen sind so beschaffenund angeordnet, dass die Erfüllung ihrer Aufgaben durch Brändeund Explosionen nicht unzulässig beeinträchtigt wird.7.2 (5) Es sind die Maßnahmen und Einrichtungen vorgesehen, die zur Verhinderungunzulässiger Folgen einer anlageninternen Überflutung von sicherheitstechnischwichtigen Einrichtungen erforderlich sind.7.2 (6) Die zueinander redundanten Teilsysteme von Sicherheitseinrichtungen sindräumlich getrennt aufgestellt oder so geschützt, dass bei Einwirkungen von30

E N T W U R FModul 1, Rev. B: Fließtextaußen bzw. von innen (wie Brand oder Überflutung) ein redundanzübergreifenderFunktionsausfall nicht zu unterstellen ist.7.3 Notstandsfälle7.3 (1) Bei der Auslegung der Anlage gegen Einwirkungen von außen sind auchzivilisatorisch bedingte Einwirkungen der Sicherheitsebene 4a (Notstandsfälle)berücksichtigt.7.3 (2) Die erkennbare zukünftige Entwicklung der Eigenschaften des Standortesim Hinblick auf zu betrachtende Notstandsfälle ist berücksichtigt.7.3 (3) Kombinationen mehrerer Einwirkungen von außen, die der Sicherheitsebene4a zugeordnet sind oder Kombinationen dieser Einwirkungen mit internenEreignissen (z.B. Rohrleitungsbruch, Brände in der Anlage, Rauchentwicklung,Notstromfall) werden dann unterstellt, wenn die zu kombinierendenEreignisse in einem kausalen Zusammenhang stehen können oderwenn ihr gleichzeitiges Eintreten auf Grund von Wahrscheinlichkeitsbetrachtungenunterstellt werden muss.7.4 Ereignisse mit Mehrfachversagen von Sicherheitseinrichtungen7.4 (1) Der Planung von präventiven Maßnahmen des anlageninternen Notfallschutzesder Sicherheitsebene 4b sind Ereignisse in folgenden Ereignisgruppenzu Grunde gelegt:−−−Transienten,Kühlmittelverluststörfälle innerhalb des Sicherheitsbehälters infolge vonkleinen und mittleren Lecks am Reaktorkühlkreislauf,Kühlmittelverluststörfälle mit Umgehung des SicherheitsbehältersFür diese Ereignisse wird zur Planung von präventiven Maßnahmen desanlageninternen Notfallschutzes zum einen der vollständige Ausfall jeweilseiner der zur Beherrschung der Ereignisse erforderlichen Sicherheitsfunktionenund zum anderen jeweils einer der erforderlichen Versorgungsfunktionenunterstellt.31

E N T W U R FModul 1, Rev. B: Fließtext7.5 Unfälle mit schweren Kernschäden7.5 (1) Für die Planung von mitigativen Maßnahmen des anlageninternen Notfallschutzesder Sicherheitsebene 4c wird ein Ereignisspektrum zu Grunde gelegt,das die für den betreffenden Anlagentyp relevanten Phänomene beiUnfällen mit schweren Kernschäden berücksichtigt.Dabei werden insbesondere Phänomene betrachtet, die die Integrität desSicherheitsbehälters gefährden sowie Auswirkungen in Bezug auf die Freisetzungradioaktiver Stoffe und mögliche Freisetzungspfade dieser in dieUmgebung haben.8 Anforderungen an Dokumentation und Nachweisführung8 (1) Der Betreiber ist in der Lage nachzuweisen, dass er die Anforderungen derGenehmigung und die Anordnungen der zuständigen Behörden einhält.8 (2) Der Betreiber hält eine vollständige, qualifizierte und aktuelle Dokumentationdes Zustandes des Kernkraftwerks verfügbar.8 (3) Für den sicheren Betrieb einer Anlage sind schriftliche Anweisungen erstellt,in denena) die für die Sicherheitsebenen 1 bis 4a erforderlichen, sicherheitstechnischrelevanten Grenzwerte und Bedingungen, technischen Handlungenund Anweisungen sowie organisatorischen Abläufe vorgeschriebenwerden (z.B Betriebshandbuch – BHB) undb) die erforderlichen wiederkehrenden Prüfungen an sicherheitstechnischwichtigen Maßnahmen und Einrichtungen festgelegt sind (z.B. Prüfhandbuch– PHB).Die schriftlichen Anweisungen, die im Rahmen des anlageninternen Notfallschutzesgenutzt werden, umfassen Notfallstrategien, Notfallprozeduren,Handlungsempfehlungen und Durchführungsanweisungen. Sie liegen z.B.in Form eines Notfallhandbuchs (NHB) vor.32

E N T W U R FModul 1, Rev. B: Fließtext8 (4) Die sicherheitstechnischen Aufgaben aller Einrichtungen sind klar definiertund dokumentiert. Entsprechend ihrer sicherheitstechnischen Bedeutungsind für alle Einrichtungen mit sicherheitstechnischer Bedeutung Auslegungsvorschriften,Werkstoffvorschriften, Bauvorschriften und Prüfvorschriftensowie Betriebsvorschriften und Instandhaltungsvorschriften vorgehaltenbzw. aufgestellt und sie werden angewendet.In den Prüfvorschriften sind Vorprüfung, Werkstoffprüfungen, Bauprüfungen,Druckprüfungen, Abnahmeprüfungen und Funktionsprüfungen sowieregelmäßig wiederkehrende Prüfungen im Einzelnen festgelegt.Die Einhaltung dieser Vorschriften wird im Rahmen eines Qualitätsgewährleistungsprogrammsüberwacht. Das Ergebnis der Qualitätsüberwachungmit den Ergebnissen der Prüfungen wird dokumentiert. Die zur Beurteilungder Qualität notwendigen Unterlagen über Auslegung, Fertigung, Errichtungund Prüfungen sowie Betrieb und Instandhaltung der sicherheitstechnischwichtigen Einrichtungen sind während der gesamten Betriebsdauer der Anlageverfügbar.8 (5) Der Betreiber ist in der Lage, anhand dieser Dokumentation oder anhanddurchführbarer Untersuchungen die Sicherheit der Anlage nachvollziehbarnachzuweisen.8 (6) Als Untersuchungsmethoden zum Nachweis der Erfüllung der technischenSicherheitsanforderungen können grundsätzlich herangezogen werden:Die deterministischen Methodena) Systemanalyse,b) Analyse von Ereignissen bzw. Zuständen,c) Messung bzw. Experiment,d) ingenieurmäßige Bewertung,sowiee) probabilistische Analysen.33

E N T W U R FModul 1, Rev. B: Fließtext8 (7) Als Grundlage für Nachweisführungen liegen vor:a) eine aktuelle Zusammenstellung der sicherheitstechnisch wichtigen Informationenüber den bestehenden Zustand der betroffenen sicherheitstechnischwichtigen Maßnahmen und Einrichtungen mit Angabeder auf den jeweiligen Sicherheitsebenen durchzuführenden Aufgabenbzw. zu erfüllenden sicherheitstechnischen Funktionen sowie zu Aufbau,Anordnung und Auslegung,b) ein dokumentierter Vergleich des bestehenden Zustands der betroffenensicherheitstechnisch relevanten Maßnahmen und Einrichtungenmit dem genehmigten bzw. in den Genehmigungsunterlagen beschriebenenZustand.8 (8) Bei der Analyse von Ereignisabläufen bzw. Zuständen werdena) für den jeweiligen Anwendungsbereich validierte Berechnungsverfahrenverwendet,b) mit der Berechnung verbundene Unsicherheiten quantifiziert bzw.durch geeignete Verfahren abgedeckt.8 (9a) Ergänzend zu deterministischen Sicherheitsanalysen wird durch probabilistischeSicherheitsanalysen die Ausgewogenheit der sicherheitstechnischenAuslegung überprüft, um eventuell vorhandene Schwachstellen zuidentifizieren.8 (9b) In Ergänzung der (deterministischen) Nachweisführungen werden probabilistischeSicherheitsanalysen (PSA) angewendet, um die sicherheitsrelevantenAuswirkungen von Änderungen in der Anlage zu beurteilen, bei denenein nennenswerter Einfluss auf die Ergebnisse der PSA nicht offensichtlichauszuschließen ist.8 (10) Eine Messung oder ein Experiment kann als Nachweis herangezogen werden,wenna) die Übertragbarkeit der experimentellen Bedingungen auf die Anlagenzuständedes jeweiligen Anwendungszusammenhangs qualifiziert istund34

E N T W U R FModul 1, Rev. B: Fließtextb) die mit der Messung verbundenen Unsicherheiten quantifiziert sind.8 (11) Ingenieurmäßige Bewertungen können bei Nachweisführungen herangezogenwerden, wenn hierzu ein Bewertungsmaßstab vorliegt, der auf technisch-wissenschaftlichnachvollziehbaren Grundlagen beruht.35

Anlage zu Modul 1, Rev. B: „Antworten auf übergeordnete Kommentare“ 1Nr. Kommentator Kommentar Antwort BMU353 E.ON1. GrundsatzfragenVon Seiten der Länder und Betreiber wurden auf der Informationsveranstaltungviele Grundsatzfragen angesprochen, auf dieallerdings nur vage eingegangen wurde:− In wieweit soll mit dem neuen Regelwerk eine Aussage imHinblick auf die erforderliche Schadensvorsorge getroffenwerden?− Sollen die neuen Regelwerke bei der Ersetzung der Sicherheitskriterienund der Störfallleitlinie die gleiche Bindungswirkungbzw. Wertigkeit erhalten?− Wie soll die Anwendung konkret im Aufsichtsverfahren erfolgen?− Stellt die Erfüllung der neuen Anforderungen bei Änderungsgenehmigungeneine Genehmigungsvoraussetzung inBezug auf die von der Änderung betroffenen Teile dar?Vgl. hierzu– BMU, Beratungsunterlage für die Sitzung des LAA -Hauptausschuss - am 19. Januar 2006– LAA, Beschluss des LAA - Hauptausschuss - am19. Januar 2006– BMU, Schreiben vom 29. Juni 2006Vgl. hierzu– BMU, Beratungsunterlage für die Sitzung des LAA -Hauptausschuss - am 19. Januar 2006– BMU, Schreiben vom 29. Juni 2006Vgl. hierzu– BMU, Beratungsunterlage für die Sitzung des LAA -Hauptausschuss - am 19. Januar 2006– BMU, Schreiben vom 29. Juni 2006Vgl. hierzu– BMU, Beratungsunterlage für die Sitzung des LAA -1 Die zitierten Unterlagen sind dieser Anlage als Anhänge beigefügt:- BMU, Schreiben vom 29.Juni 2006:Anhang 1,- LAA, Beschluss des LAA - Hauptausschuss am 19.Januar 2006: Anhang 2,- BMU, Beratungsunterlage für die Sitzung des LAA - Hauptausschuss - am 19.Januar 2006: Anhang 31

Nr. Kommentator Kommentar Antwort BMU− Soll das Regelwerk quasi einen Neuanlagenstandard beschreiben,obwohl in Deutschland ein Neubauverbot besteht?Diese Fragen sind praktisch unbeantwortet geblieben.2. Änderung der SicherheitsphilosophieIn diesem Zusammenhang erinnern wir an die Verständigungder EVU mit der Bundesregierung vom 11. 06.2001, mit dersich die Bundesregierung verpflichtet hat, Sicherheitsstandardsund die diesen zugrunde liegende Sicherheitsphilosophie nurdann zu ändern, wenn denn dieses aufgrund von neuen Erkenntnissengeboten ist. Nicht zulässig sind danach Änderungender Sicherheitsstandards aufgrund lediglich einer neuenBewertung (Änderung der Sicherheitsphilosophie).Die bisherige Sicherheitsphilosophie spiegelt sich vor allem inden sog. BMI-Sicherheitskriterien und BMI-Störfallleitlinienwieder. Diese behöFrdliche Sicherheitsphilosophie ist seinerzeitauf Bundesebene zentral festgelegt worden, damit dasRestrisiko irn Bundesgebiet einheitlich bewertet wird (vergl.Schattke ATW, 8/9 1988). Es sind gerade die erwähnten Sicherheitskriterienund Störfallleitlinien, die nun geändert werdensollen.Änderungen der Sicherheitsphilosophie sind nicht nur durchdie Verständigung ausgeschlossen, sondern die bestehendenKernkraftwerke sind hiergegen auch durch das Atomgesetzgeschützt (Bestandschutz), da trotz der Änderung der Sicherheitsphilosophiedie in den Anlagen realisierte „nach Stand vonWissenschaft und Technik erforderliche Vorsorge gegenSchäden'' weiterhin gegeben ist.5. WENRAAuf der Informationsveranstaltung hat Ihr Haus ebenso wie dieo. g. Kienbaum-Studie die IAEA-Sicherheitsstandards als Re-Hauptausschuss - am 19. Januar 2006– BMU, Schreiben vom 29. Juni 2006Vgl. hierzu– BMU, Schreiben vom 29. Juni 2006Vgl. hierzu– LAA, Beschluss des LAA - Hauptausschuss - am19. Januar 2006– BMU, Schreiben vom 29. Juni 2006Vgl. hierzu– BMU, Beratungsunterlage für die Sitzung des LAA -Hauptausschuss - am 19. Januar 2006WENRA Mitgliedsstaaten erstellen auf der Basis der vorliegendenReference Levels jeweils ein nationales Aktionspro-2

Nr. Kommentator Kommentar Antwort BMUferenz dargestellt. Auch sollen Erkenntnisse aus der Arbeit derWENRA in das "neue" Regelwerk einfließen.Wir begrüßen ausdrücklich den von der EU-Kommission gefördertenWENRA- Prozess, im europäischen Rahmen,,reference levels" und ,,best practices" zu erarbeiten, die geradenicht den kleinsten gemeinsamen Nenner bei der nuklearenSicherheit in der EU festschreiben sollen. Zu einem Vergleichunserer Anlagentechnologie und Betriebsführung mitderartigen WENRA- Maßstäben sind wir jederzeit bereit.Dies bedingt jedoch, dass der WENRA-Prozess der Erarbeitungdieser Maßstäbe zu einem Abschluss gekommen ist unddamit ein transparenter, EU-weiter Vergleich überhaupt erstermöglicht wird.Nach unserer Kenntnislage besteht innerhalb der WENRAÜbereinkunft, dass die ,,reference levels" wohl erst in 2006abschließend erarbeitet und dokumentiert sein werden undanschließend die Erfüllung der Referenzniveaus von jedem deran den Arbeiten der WENRA beteiligten Staaten national zuüberprüfen ist. Abweichungen sollen dann bewertet und inMaßnahmenprogramme zu Verbesserungen bis 2010 umgesetztwerden. Vor diesem Hintergrund einer EU-weiten Harmonisierungsicherheitstechnischer Anforderungen ist es dahersinnvoll, die Arbeiten der WENRA abzuwarten und in diesemKontext das deutsche Regelwerk ggf. fortzuentwickeln.Abschließend möchten wir Sie an Ihre Zusage aus der o. g.Informationsveranstaltung erinnern, den Prozess der Erstellungeines "neuen" Regelwerks allen Beteiligten transparenterzu machen, z.B. durch einheitliche Begriffbestimmungen, aberinsbesondere durch Kennzeichnung und Begründung von verschärftenAnforderungen. Auf der von Ihnen eingerichtetenInternet-Plattform konnten wir bisher die Umsetzung Ihrer Zusagenicht nachvollziehen. Zudem ist u. E. die Plattform alsMedium für einen konstruktiven Meinungsaustausch nicht geeignet.gramm mittels dem sie bis zum Jahr 2010 ihren regulatorischenHarmonisierungsprozess vollzogen haben werden. Die„Sicherheitsanforderungen für Kernkraftwerke“ stellen in demdeutschen Aktionsprogramm ein wesentliches Element zurAnpassung des deutschen Regelwerks dar.Vgl. hierzu– LAA, Beschluss des LAA - Hauptausschuss - am19. Januar 2006– BMU, Schreiben vom 29. Juni 20063

Nr. Kommentator Kommentar Antwort BMU465 VattenfallEurope467 MSGVSchleswigHolsteinInsgesamt widerspricht das Vorhaben des BMU daher derVereinbarung zwischen der Bundesregierung und den EVU,dass die Bundesregierung keine Initiative ergreifen wird, umden Sicherheitsstandard und die diesem zugrunde liegendeSicherheitsphilosophie zu ändern.Aus unseren bisherigen Kommentaren wird insgesamt ersichtlich,dass wir aus den vorliegenden Textentwürfen die Notwendigkeiteiner grundlegenden Überarbeitung des vorhandenenRegelwerks nicht ableiten können. In keinem Punkt isterkennbar, ob und warum die vorgesehene Verschärfung derAnforderungen für die Gewährleistung der nach Stand vonWissenschaft und Technik gebotenen Schadensvorsorge erforderlichist. Umso größerer Bedeutung kommt der von unsbereits mit unserem Schreiben vom 15. März 2005 von Ihnenerbetenen Beantwortung von Grundsatzfragen hinsichtlich dervorgesehenen Anwendung des überarbeiteten Regelwerks imkonkreten Aufsichts- und Genehmigungsverfahren zu, zu derwir Sie hiermit erneut auffordern.Die Abgrenzungen der Ereignisse und ihre Zuordnung zu denSicherheitsebenen in Modul 3 entspricht teilweise nicht derbisherigen Genehmigungspraxis. So werden in dem Modul 3 u.a. die Störfall-Leitlinien als Basisunterlage herangezogen.Diese stellen vom Grundsatz ausführungsunabhängige Anforderungendar. Der Geltungsbereich der Störfall-Leitlinien (undvom Grundsatz ebenso die gültigen RSK-Leitlinien für DWR)betreffen lediglich Druckwasser-Reaktoren, die ihre 1. TEGnicht vor dem 01.07.1982 erhalten haben. Ob aufgrund dieserVorgaben und ggf. welche ausführungsunabhängigen Anforderungenaus diesen Leitlinien generiert und in die vorliegendenEntwürfe des Modul 3 übernommen und für alle Anlagen alsverbindlich erklärt werden können, muss rechtlich in jedemEinzelfall bewertet werden. Es sollte daher geregelt werden,welche Bedeutung diese Anforderungen in dem Modul 3 bzgl.der Kernkraftwerke haben, die nicht auf der Grundlage derStörfall-Leitlinien genehmigt wurden.Vgl. hierzu– BMU, Schreiben vom 29. Juni 2006Vgl. hierzu– BMU, Beratungsunterlage für die Sitzung des LAA -Hauptausschuss - am 19. Januar 2006– LAA, Beschluss des LAA - Hauptausschuss - am19. Januar 2006– BMU, Schreiben vom 29. Juni 2006Die Frage, wie bei Abweichungen von den „Sicherheitsanforderungenfür Kernkraftwerke“ zu verfahren ist, ist nicht Regelungsgegenstanddieses kerntechnischen Regelwerks,Vgl. hierzu– BMU, Beratungsunterlage für die Sitzung des LAA -Hauptausschuss - am 19. Januar 2006– BMU, Schreiben vom 29. Juni 20064

Nr. Kommentator Kommentar Antwort BMU498 VGB Power • Bei indikativer Darstellung des Regelwerkstextes kannjede Abweichung unabhängig von ihrer Sicherheitsrelevanzals Regelwerksverstoß interpretiert werden.PL 2475:Die indikative Darstellung von Sachverhalten ist eine in derErstellung von Rechtsvorschriften durchaus geübte Praxis.Es ist jedoch keine Eigenschaft der indikativen Darstellung,dass Abweichungen „als Regelwerksverstoß interpretiertwerden“ können. Abweichungen vom Regelwerk sind immerdann festzustellen, wenn von der betroffenden Anlage dieangegebenen Sicherheitsanforderungen (unabhängig davonob in indikativer Formulierung angegeben) nicht erfüllt werden.Bei der Erstellung der Module bestand zunächst der Anspruchin den Formulierungen eindeutig zu sein und dahermöglichst durchgehend die Anforderungen in „muss“-Form zuformulieren. Sofern Ausnahmen von der „muss“ Forderungals sachgerecht erforderlich angesehen wurden, warenAusnahmebedingungen zu formulieren. Eine andere Art derDifferenzierung ist nicht angestrebt worden. Bei den Fällen,in denen eine solche Differenzierung vorgenommen wurde,war diese Differenzierung bei der Übertragung des Textes indie „indikativ“ Formulierung zu übernehmen. Daher gehtmit der Umstellung der Texte in die „indikativ“ Form kein Verlustan Informationen einher. Der Vorteil besteht auch darin,dass bei einem nicht unmittelbar rechtsverbindlichen Regelwerkdas Wort „muss“ eigentlich fehl am Platze ist.505 FANP Ablauf des Verfahrens:a) Völlig unrealistischer Terminplan (dadurch z.B. Entfall derzugesagten Informationsveranstaltungen zu den Modulen4-11 aus Zeitnot)Vgl. hierzu– BMU, Schreiben vom 29. Juni 2006b) Unzureichende Beteiligung der Anwender von Regelwerkc) Kein Rahmen zur systematischen Diskussion/Klärung vonProblempunkten (angebotene Web-Seiten-Diskussion ungeeignet)5

Nr. Kommentator Kommentar Antwort BMUa) BMU-Begründung für Schaffung eines neuen Regelwerks(WENRA- Anforderungen in bindendem Regelwerk erfassen)wird völlig verfehlt.• Erstellung eines übergeordneten Regelwerks nach internationalemStand erfordert Neustart mit• Beteiligung von Erfahrungsträgern in der Anwendungvon kerntechnischem Regelwerk, Anlehnung an Praxiserfahrungder KTA-Arbeit• Reduzierung auf übergeordnete Anforderungen• Verwendung der bisherigen Module als „Merkpostenliste“• Sinngemäßer Beachtung des internationalen Standes,Empfehlung ILK• Fachgesprächen zu Problempunkten506 RWE Power Betreiberstellungnahme zum BMU-Vorhaben: Revision deskerntechnischen Regelwerks am 23.01.2006Gliederung:• Historie• Kritikpunkt 1: Inhalt• Kritikpunkt 2: Verfahren• Kritikpunkt 3: Vorhaben ist vereinbarungswidrig• Kritikpunkt 4: Ungeklärte Grundsatzfragen• Wie kann es weitergehen?Vgl. hierzu– LAA, Beschluss des LAA - Hauptausschuss - am19. Januar 2006– BMU, Schreiben vom 29. Juni 2006Historie:• Informationsveranstaltung am 14./15 Dezember 2004• Schreiben an StS Baake vom 24.02.05 (Antwort: Gesprächsangebot)• Grundsatzschreiben der Betreiber an BMU vom 15.03.056

Nr. Kommentator Kommentar Antwort BMU• Erarbeitung und Versendung von Kommentaren zu den Modulen1-3: Mai 05• atw-Aufsatz im Mai veröffentlicht (Vergleich mit dem Ausland)• Gespräch mit BMU 24.05.05• Versendung von Kommentaren zu den Modulen 4-6: Aug. 05• Weiteres Grundsatzschreiben der Betreiber an BMU zumVerfahren (Internet/Zeitablauf etc.) vom 2.08.05• Rechtsgutachten zum Verfahren (Ossenbühl): Nov. an BMU• Versendung von Kommentaren zu den Modulen 7-11: Nov.05• Weiteres Grundsatzschreiben der Betreiber an BMU vom6.01.06• Workshops Ende Jan. 2006Wichtige Fragestellungen zum BMU Vorhaben(Grundsatzfragen):(1) Inwieweit soll mit dem neuen Regelwerk eine Aussage imHinblick auf die erforderliche Schadensvorsorge getroffenwerden?(2) Sollen die neuen Regelwerke bei der Ersetzung der Sicherheitskriterienund der Störfallleitlinie die gleicheBindungswirkung bzw. Wertigkeit erhalten? Wie soll dieserfolgen?(3) Wie soll die Anwendung konkret im Aufsichtsverfahrenerfolgen?Stellt die Erfüllung der neuen Anforderungen bei Änderungsgenehmigungeneine Genehmigungsvoraussetzung in Bezugauf die von der Änderung betroffenen Teile dar?BMU-Gespräch am 24.05 2005:Position der Betreiber / BMU-Gespräch am 24.05 2005Im internationalen Vergleich war und ist das deutsche kern-Vgl. die Antworten zu Ziffer 1 des Kommentars 353 (E.ON).Vgl. hierzu– BMU, Schreiben vom 29. Juni 20067

Nr. Kommentator Kommentar Antwort BMUtechnische Regelwerk inhaltlich auf sehr hohem Niveau.Die Betreiber sehen allenfalls einen gewissen Erneuerungsbedarfim deutschen Regelwerk in Bezug auf• eine Systematisierung von Regeln,• das Füllen einzelner Lücken (wie z. B. Sicherheitsmanagement)und• das punktuelle Anpassen einzelner Anforderungen aufgrundneuer Erkenntnisse.Darüber hinaus werden aber auch weitergehende Änderungenvon den Betreibern unterstützt.WENRA• Die Betreiber begrüßen den vom EU-Rat geförderten WEN-RA-Prozess, im europäischen Rahmen „reference levels“ und„best practices“ zu erarbeiten, die gerade nicht den kleinstengemeinsamen Nenner bei der nuklearen Sicherheit in der EUfestschreiben sollen (upper quartile).Vgl. die Antworten zu Ziffer 5. des Kommentars 353 (E.ON).• Der WENRA-Zeitplan gestattet – abweichend vom BMU-Vorhaben – eine angemessene Qualitätssicherung.• Zu einem Vergleich der Anlagentechnologie und Betriebsführungmit derartigen WENRA-Maßstäben sind die Betreiberbereit.Im Ergebnis bedeutet dies:• Falls bestimmte neue Anforderungen international allgemeinauch bei Altanlagen umgesetzt werden, sind die deutschenBetreiber bereit, eine vergleichbare Umsetzung auf freiwilligerBasis durchzuführen. Dabei sollen international übliche Verhältnismäßigkeitserwägungen(erzielbarer Nutzen zu erforderlichemAufwand) herangezogen werden. Ebenfalls sollendabei international übliche Qualitätsstandards und die imAusland angewandte Praxis bei der Umsetzung berücksichtigtwerden.8

Nr. Kommentator Kommentar Antwort BMUMit diesem Angebot gehen die Betreiber deutlich über die Vereinbarungvom 11.06.2001 hinaus, auch wenn dort auf dasinternationale Sicherheitsniveau verwiesen wird.• Die meisten BMU-Beiträge vom Workshop Dez. 2004 fehlen.• Die Internetplattform stellt lediglich eine Pseudotransparenzdar (Verschachtelung).• Die Beteiligung der betroffenen Kreise, vor allem der Betreiber,Hersteller und Gutachter, ist ein nachträglich aufgesetztes,rein formales Element, das keine echte keine Fachdiskussionzulässt. Das bedeutet den Verzicht auf fast die gesamtein Deutschland vorhandene Expertise und damit aufein entscheidendes Element der Qualitätssicherung.Vgl. hierzu– LAA, Beschluss des LAA - Hauptausschuss - am19. Januar 2006– BMU, Schreiben vom 29. Juni 2006• Ziel und Anwendungshorizont muss am Anfang definiertwerden(vgl. Grundsatzfragen, Kritikpunkt 4)• Verfahren international ohne Beispiel (vgl. atw Mai 2005):Beispiel Schweden späterKritikpunkt 3: Vorhaben ist vereinbarungswidrig(Änderung der Sicherheitsphilosophie) Auszug aus der Vereinbarungmit der Bundesregierung vom 11.06.2001:„III. Betrieb der Anlagen während der Restlaufzeit, 1. Sicherheitsstandard/ Staatliche AufsichtUnbeschadet unterschiedlicher Einschätzungen hinsichtlichder Verantwortbarkeit der Risiken der Kernenergienutzungstimmen beide Seiten überein, dass die Kernkraftwerke undsonstigen kerntechnischen Anlagen auf einem internationalgesehen hohen Sicherheitsniveau betrieben werden. Sie bekräftigenihre Auffassung, dass dieses Sicherheitsniveau weiterhinaufrechterhalten wird.Während der Restlaufzeiten wird der von Recht und Gesetzgeforderte hohe Sicherheitsstandard weiter gewährleistet, dieBundesregierung wird keine Initiative ergreifen, um diesenSicherheitsstandard und die diesem zugrunde liegende Sicherheitsphilosophiezu ändern.“Vgl. hierzu– BMU, Schreiben vom 29. Juni 20069

Nr. Kommentator Kommentar Antwort BMUDies bedeutet u. a., dass mit dem Verzicht der Betreiber aufeine zeitlich unbegrenzte Betriebsgenehmigung die Bundesregierungsich im Gegenzug verpflichtet hat, Sicherheitsstandardsnur dann zu ändern, wenn denn dieses aufgrund vonneuen Erkenntnissen geboten ist.Nicht zulässig sind danach Änderungen der Sicherheitsstandardsaufgrund einer neuen Bewertung. Notwendige Änderungenaufgrund neuer Erkenntnisse (Forschungsergebnisse,Ereignisse, Neuberechnungen) werden von den Betreibernselbstverständlich akzeptiert.Vgl. oben Kat.A/ Kat.B/ Kat.C Die bisherige Sicherheitsphilosophiespiegelt sich vor allem in den sog. BMI-Sicherheitskriterien und BMI-Störfallleitlinien wieder. Diesebehördliche Sicherheitsphilosophie ist seinerzeit auf Bundesebenezentral festgelegt worden, damit das Restrisiko im Bundesgebieteinheitlich bewertet wird(vgl. Schattke atw, 8/9 1988). Es sind gerade die erwähntenSicherheitskriterien und Störfallleitlinien, die nun geändert werdensollen.Änderung der Sicherheitsphilosophie im Regelwerk nicht nurvereinbarungswidrig, sondern auch aus rechtlichen Gründenunzulässig:• Sicherheitsphilosophie für die bestehenden Anlagen ist konkretisiertin den Genehmigungen auf der Grundlage des bestehendenRegelwerkes;• Bestandsschutz: Durchbrechung dieser Konkretisierungdurch Neufestlegung von Sicherheitsstandards nur bei neuenErkenntnissen über die dem Sicherheitskonzept zugrundeliegenden technisch-wissenschaftlichen Annahmen möglich,nicht aber bei bloßer (d. h. aus anderen Gründen erfolgter)„Änderung der Sicherheitsphilosophie“.Kritikpunkt 4: Ungeklärte Grundsatzfragen(1) Inwieweit soll mit dem neuen Regelwerk eine Aussage imVgl. hierzu– BMU, Schreiben vom 29. Juni 2006Vgl. die Antworten zu Ziffer 1 des Kommentars 353 (E.ON).10

Nr. Kommentator Kommentar Antwort BMUHinblick auf die erforderliche Schadensvorsorge getroffenwerden?(2) Sollen die neuen Regelwerke bei der Ersetzung der Sicherheitskriterienund der Störfallleitlinie die gleiche Bindungswirkungbzw. Wertigkeit erhalten? Wie soll dies erfolgen?(3) Wie soll die Anwendung konkret im Aufsichtsverfahren erfolgen?(4) Stellt die Erfüllung der neuen Anforderungen bei Änderungsgenehmigungeneine Genehmigungsvoraussetzung inBezug auf die von der Änderung betroffenen Teile dar?Tatsachen:• Die Sicherheitskriterien und Störfallleitlinien sind nicht unverbindlich.• Die Sicherheitskriterien und Störfallleitlinien sind auch nichtim Indikativ verfasst.• Sie definieren die Sicherheitsphilosophie (vgl. Schattke s.o.).• Sie konkretisieren die erforderliche Schadensvorsorge fürdie nach Inkraftsetzung gebauten Anlagen (vgl. diverseVerwaltungsgerichtsentscheidungen, z.B. OVG Lüneburg - 7OVG A 108/86 -).• Die Sicherheitskriterien und Störfallleitlinien sollten beidevon Anfang an die Verweisung in §28(3) StrlSchV (heute§49(1)) ausfüllen.• Die Verweisung in §49(1) StrlSchV ist statisch (auch BMUam 24.05.2005).Somit stellen wir die Grundsatzfragen erneut:Inwieweit soll mit dem neuen Regelwerk eine Aussage im Hinblickauf die erforderliche Schadensvorsorge getroffen werden?Vgl. hierzu– BMU, Beratungsunterlage für die Sitzung des LAA -Hauptausschuss - am 19. Januar 2006– BMU, Schreiben vom 29. Juni 200611

Nr. Kommentator Kommentar Antwort BMU(1) Sollen die neuen Regelwerke bei der Ersetzung der Sicherheitskriterienund der Störfallleitlinie die gleiche Bindungswirkungbzw. Wertigkeit erhalten? Wie soll dies erfolgen?Diese Fragen blieben bisher unbeantwortet. Mündlich Aussagenhierzu (und Erläuterungspapier im Internet) sind widersprüchlich.Die Fragen müssen vor Erarbeitung des Regelwerks beantwortetwerden und bestimmen die Zielrichtung.(2) Wie soll die Anwendung konkret im Aufsichtsverfahrenerfolgen?Szenarien: - Änderungen- Anfahren nach Revision (neuer Kern)- Sicherheitsüberprüfung(3) Stellt die Erfüllung der neuen Anforderungen bei Änderungsgenehmigungeneine Genehmigungsvoraussetzungin Bezug auf die von der Änderung betroffenen Teile dar?Szenarien: - Redundanzerhöhung- Digitale Leittechnik- Leistungserhöhung5. Wie kann es weitergehen?• Vergleich mit dem Ausland• Beispiel Schweden• Vorraussetzungen für ein neues Regelwerk in Deutschland• Bewährte Praxis für Sicherheitsverbesserungen in DeutschlandVergleich mit dem Ausland:Übertragung des Vorgehens im Ausland auf deutsche Anlagenist nur begrenzt zulässig:Vgl. die Antworten zu Ziffer 1 des Kommentars 353 (E.ON).Vgl. die Antworten zu Ziffer 1 des Kommentars 353 (E.ON).Vgl. die Antworten zu Ziffer 1 des Kommentars 353 (E.ON).PL SR 2475:Der Gegenstand der Regelwerksfortschreibung besteht in derZusammenstellung der Sicherheitsanforderungen, die nachStand von Wissenschaft und Technik von Kernkraftwerken zuerfüllen sind. Zur Ermittlung des Standes von Wissenschaftund Technik werden u.a. zusätzlich zu den nach gültigemkerntechnischen Regelwerk in Deutschland anzuwendendenSicherheitsanforderungen auch internationale Empfehlungender IAEA, Ergebnisse aus dem WENRA Prozess sowie Erkenntnisseaus jüngst in anderen Ländern fortgeschriebenen12

Nr. Kommentator Kommentar Antwort BMU• Im Ausland wird die Kerntechnik weiterentwickelt. Mittel- undlangfristig werden neue Kernkraftwerke geplant. Neue Auslegungsstandardswerden daher häufig nur für Neuanlagen gefordert.• Die deutschen Kernkraftwerke haben aufgrund ihrer sicherheitstechnischenAuslegungsmerkmale im präventiven Bereichheute schon ein deutlich höheres Sicherheitsniveau imAuslegungsbereich als die meisten ausländischen Anlagen.• Regelwerke haben unterschiedliche Rechtsfolgen. Die gesetzlichenRandbedingungen in den verschiedenen Ländernweichen beträchtlich voneinander ab. Scharfe Grenzen der„Erforderlichkeit“ wie in Deutschland („erforderliche Schadensvorsorge“)fehlen oder haben einen anderen Stellenwert.Gleiches gilt für die Genehmigungsvoraussetzungen bei Änderungen.Deutsches Regelwerk im internationalen Vergleich:Generell ist es keinesfalls so, dass im Bezug auf das vorhandeneRegelwerk das Ausland Deutschland weit überholt hat,sondern dass im Gegenteil bisher einige Länder überhauptkein Regelwerk besitzen, welches dem deutschen Regelwerk -was Umfang und Konsistenz angeht - vergleichbar ist. DieSituation im Ausland ist eher heterogen:In Schweden wurde z. B. kürzlich ein neues (sehr schlankes)Regelwerk verabschiedet. Neue Auslegungsanforderungen imfinnischen Regelwerk beziehen sich im Wesentlichen auf Neuanlagen.Länder wie Spanien, Großbritannien, Frankreich,Belgien und die Niederlande besitzen praktisch kein konsistentesRegelwerk.siehe atw Mai 2005Beispiel Schweden: In Schweden wurde mit dem Regelwerkgleichzeitig festgelegt, in welcher Form dies von den bestehendenAnlagen umgesetzt werden soll, so dass dort die obenzitierten grundsätzlichen Fragestellungen obsolet sind.Regelwerken herangezogen. Dabei steht immer die Ableitunggrundlegend gültiger Sicherheitsanforderungen im Vordergrund.Nach Auffassung des Projektes steht in diesem Zusammenhangdeshalb nicht die Frage nach einer Übertragbarkeitirgendwelcher ausländischer Praktiken. Es ist immergeprüft worden, ob die jeweiligen Sicherheitsanforderungeninternationaler oder ausländischer Regelwerke grundlegendeGültigkeit haben.Die in den Modulen 1 bis 11 angegebenen Sicherheitsanforderungengelten grundlegend. Modul 7 z.B. berücksichtigt,dass bestehende Anlagen nicht vollständig gegen Kernschmelzszenariengesichert werden können, deshalb wurdendiesbezügliche Anforderungen nicht formuliert!13

Nr. Kommentator Kommentar Antwort BMUDiese Festlegungen erfolgten nach einem intensiven Dialogmit den Betreibern.WENRA RHWG-Report Jan. 2006, Annex 3: „The GeneralRecommondations on how to interpret the regulations havebeen issued in direct connection to the regulation and are incudedin the respective SKIFS publication.“Auf der Informationsveranstaltung (Dez. 2004) wurde jeglicherAnsatz in dieser Richtung (z.B. Probeanwendung, um Auswirkungenund Interpretation zu testen) als Kontamination derhehren Ideale abgelehnt.Voraussetzungen für einen neuen, erfolgreichen Ansatz zurÜberarbeitung des Regelwerks:• Verfahren muss neu aufgesetzt werden- neuer Zeitstrahl- neue Zielsetzung, z.B. schlankes Regelwerk bezügl. Sicherheitszieleund keine Detailregelung (diese als KTA-Regeln)- bestehende Entwürfe als Stoffsammlung- Beachtung der ILK-Stellungnahme vom Juli 2005• Anwendungsregularien, d.h.- Verhältnis zum Bestandschutz,- zur „erforderlichen Schadensvorsorge“,- zur zeitlichen Umsetzungmüssen einvernehmlich mit den Betreibern erstellt werden(vergl. Schweden)Vgl. hierzu– LAA, Beschluss des LAA - Hauptausschuss - am19. Januar 2006– BMU, Schreiben vom 29. Juni 2006• Fachliche Einbindung von Gutachtern, Herstellern undBetreiber• Dies bedingt konsensuales VorgehenBewährte Praxis für Sicherheitsverbesserungen in Deutschland:Vgl. hierzu14

Nr. Kommentator Kommentar Antwort BMU• Diskussion über konkrete sinnvolle sicherheitstechnischeVerbesserungen• Einigung über Umsetzung erzielen• Flankierend Randbedingungen festlegen(vgl. Notfallmaßnahmen)Mit WENRA ist ein Anlass gegeben, einen solchen Prozessanzustoßen. Der WENRA-Prozess ist hinsichtlich der Erarbeitungvon „Reference-Levels“ zu einem vorläufigen Abschlussgekommen. Damit kann eine Bewertung der (interpretationsfähigen)Ergebnisse fachlich fundiert beginnen. Zu einem Vergleichder Anlagentechnologie und Betriebsführung mit denWENRA-Reference-Levels sind die Betreiber bereit. Auf Basisder Bechmarkergebnisse kann eine Diskussion über konkretesinnvolle Verbesserungen geführt werden. Ein solches pragmatischeVorgehen führt mit Sicherheit schneller zu sicherheitstechnischenVerbesserungen als ein streitiges Regelwerk.Die Betreiber sind bereit, das Ergebnis des WENRA-Prozesses an ihren Anlagen zu spiegeln:Falls der WENRA-Prozess ergibt, dass bestimmte neue Anforderungeninternational allgemein auch bei Altanlagen umgesetztwerden, sind die deutschen Betreiber bereit, eine vergleichbareUmsetzung auf freiwilliger Basis durchzuführen.Dabei sollen international übliche Verhältnismäßigkeitserwägungen(erzielbarer Nutzen zu erforderlichem Aufwand) herangezogenwerden. Ebenfalls sollen dabei international üblicheQualitätsstandards und die im Ausland angewandte Praxisbei der Umsetzung berücksichtigt werden.Mit diesem Angebot gehen die Betreiber deutlich über die Vereinbarungvom 11.06.2001 hinaus, auch wenn dort auf dasinternationale Sicherheitsniveau verwiesen wird.580 UM BW Das Umweltministerium Baden-Württemberg begrüßt die Erarbeitungeines zeitgemäßen kerntechnischen Regelwerks, dasdie Anforderungen der erforderlichen Vorsorge gegen Schäden– LAA, Beschluss des LAA - Hauptausschuss - am19. Januar 2006– BMU, Schreiben vom 29. Juni 2006– BMU, Beratungsunterlage für die Sitzung des LAA -Hauptausschuss - am 19. Januar 2006– Erläuterungen des BMU "Grundlagen für die Sicherheitvon Kernkraftwerken - Sicherheitsanforderungen nachdem Stand von Wissenschaft und Technik (Sicherheitsanforderungenfür Kernkraftwerke)" vom August 2005(Vgl. hierzu auch http://regelwerk.grs.de)WENRA Mitgliedsstaaten erstellen auf der Basis der vorliegendenReference Levels jeweils ein nationales Aktionsprogrammmittels dem sie bis zum Jahr 2010 ihren regulatorischenHarmonisierungsprozess vollzogen haben werden. DieSicherheitsanforderungen für Kernkraftwerke stellen in demdeutschen Aktionsprogramm ein wesentliches Element zurAnpassung des deutschen Regelwerks dar.Vgl. hierzu auch www.wenra.org–Vgl. hierzu– BMU, Schreiben vom 29. Juni 2006Vgl. hierzu– LAA, Beschluss des LAA - Hauptausschuss - am15

Nr. Kommentator Kommentar Antwort BMUnach dem Stand von Wissenschaft und Technik konkretisiert.Ein systematisches Ausfüllen der Regulierungsebene unterhalbdes Atomgesetzes und oberhalb der KTA-Fachregelnkann für ein sachgerechtes Verwaltungshandeln hilfreich sein,auch wenn die Laufzeiten der bestehenden Kernkraftwerkebefristet und neue Kernkraftwerke nicht vorgesehen sind.Voraussetzung ist jedoch, dass durch die neue Regulierungein Mehr an Klarheit und Rechtssicherheit in den atomrechtlichenVerwaltungsverfahren erreicht wird. Die Anforderungenmüssen auf die bestehenden Kernkraftwerke anwendbar seinund von allen Beteiligten in den atomrechtlichen Verfahreneinheitlich interpretiert und verstanden werden. Das Ringen umein einheitliches Verständnis und das Ausschließen von missverständlichenFormulierungen hat in der Phase der Regelwerkserstellungzu erfolgen. Eine Verlagerung der Diskussionenauf die Anwendung in konkreten Verwaltungsverfahrenmuss vermieden werden.Das Umweltministerium Baden-Württemberg hat sich an derWorkshopreihe zur Aktualisierung des kerntechnischen Regelwerksvom 23.1. bis 3.2.2006 beteiligt. Nach Abschluss derWorkshops werden nun wesentliche Kommentare nochmalsschriftlich vorgetragen. Durch diese schriftliche Kommentierungsoll es dem das Regelwerk erstellenden Projekt ermöglichtwerden, diese Kommentare sachgerecht zu bewerten undbei der Überarbeitung der Regelentwürfe, in der sog. RevisionB, zu berücksichtigen.Aufbauend auf dieser Revision B der Regelentwürfe soll dannein weitergehendes Beteiligungsverfahren zwischen Bund undden Ländern vereinbart werden. Ziel ist es dabei sicherzustellen,dass das Regelwerk auf der Grundlage eines umfassendenDiskussionsprozesses mit der Fachwelt und der Wissenschafterarbeitet wird. Die nachstehende Kommentierung istnoch als ein Bestandteil des vorlaufenden Prozesses der Erarbeitungqualifizierter Regelentwurfsvorlagen zu sehen.Wie im Koalitionsvertrag zwischen CDU/CSU und SPD festge-19. Januar 2006– BMU, Schreiben vom 29. Juni 200616

Nr. Kommentator Kommentar Antwort BMUlegt, sollen Bund und Länder bei der Atomaufsicht vertrauensvollzusammenarbeiten. Diese Festlegung wurde mit dem Beschlussdes Hauptausschusses vom 19.01.2006 aufgenommenund für das Regelwerksvorhaben konkretisiert. Alle weiterenSchritte müssen vor dem Hintergrund dieses Beschlussesgesehen und bewertet werden. Er bildet die Grundlage derZusammenarbeit.Auf dieser Basis ist das Umweltministerium Baden-Württemberg bereit, an der Weiterentwicklung des kerntechnischenRegelwerks in zielführender Weise mitzuarbeiten. ImFolgenden wird die rechtliche Stellung des Regelwerks nochmalsaus hiesiger Sicht dargestellt. Anschließend werden wesentlicheübergeordnete Kommentare, die das gesamte Regelwerkund alle Module betreffen, gegeben.Ergänzende Kommentare zu den einzelnen Modulen sind alsAnlage beigefügt.1. Rechtliche Stellung des neuen RegelwerksDas neue Regelwerk soll u.a. die von § 49 Abs. 1 StrlSchV inBezug genommenen Störfallleitlinien und Sicherheitskriterienersetzen. Da die Verweisung in § 49 Abs. 1 Satz 3 StrlSchVauf die „veröffentlichten Sicherheitskriterien und Leitlinien fürKernkraftwerke“ als statische Verweisung anzusehen ist, ist §49 Abs. 1 Satz 3 StrlSchV entsprechend zu ändern.Ausgangspunkt bei der Erarbeitung eines neuen kerntechnischenRegelwerks muss dabei die gegenwärtige Rechtslagesein, nach der eine Genehmigung neuer Kernkraftwerke inDeutschland ausgeschlossen ist. Das kerntechnische Regelwerkhat sich daher vorrangig auf die nach dem Stand vonWissenschaft und Technik erforderliche Vorsorge gegenSchäden durch den Betrieb sowie durch technische Änderungender bestehenden Anlagen zu konzentrieren. Das kerntechnischeRegelwerk muss ein dem Stand von Wissenschaftund Technik entsprechendes Referenzniveau für die Sicherheitder derzeit betriebenen deutschen Kernkraftwerke enthalten.Vgl. hierzu– BMU, Beratungsunterlage für die Sitzung des LAA -Hauptausschuss - am 19. Januar 2006– LAA, Beschluss des LAA - Hauptausschuss - am19. Januar 2006– BMU, Schreiben vom 29. Juni 200617

Nr. Kommentator Kommentar Antwort BMUDer derzeit vorliegende Entwurf des kerntechnischen Regelwerksweicht in der Darstellung des gestaffelten Sicherheitssystemsgrundsätzlich von der bislang geltenden Sicherheitsphilosophieab, wonach die Sicherheitsebenen 1 bis 3 dieSchadensvorsorge iSd § 7 Abs.2 Nr.3 AtG umfassen und darstellen,welche Vorsorgemaßnahmen nach dem gegenwärtigenStand von Wissenschaft und Technik erforderlich sind.Ereignisse der Sicherheitsebene 4 gehören dagegen zumRestrisiko und liegen damit jenseits der Grenze der praktischenVernunft, bis zu welcher Schadensvorsorge zu treffenist. Diese Grundphilosophie der Auslegung deutscher Anlagensollte beibehalten werden, allenfalls können Einzelereignisseauf Grund neuerer Erkenntnisse von einer Ebene in die andereverschoben werden. Die Änderung der grundlegenden Sicherheitsphilosophieder deutschen Kernkraftwerke verstößt gegendie Vereinbarung zwischen der Bundesregierung und den E-lektrizitätsversorgungsunternehmen vom 14. Juni 2000.2. Übergeordnete Kommentare zu den Modulen 1 bis 112.1 Eine Aktualisierung des kerntechnischen Regelwerksmuss, wie der Hauptausschuss des Länderausschussesfür Atomkernenergie festgestellt hat, auf der Grundlage einesumfassenden Diskussionsprozesses mit der Fachweltund der Wissenschaft erarbeitet werden. Nur auf dieserBasis kann die erforderliche Qualität des Regelwerks sichergestelltwerden. Dies ist bisher nur ungenügend erfolgt.Angesichts des derzeitigen Reifegrades des gesamtenRegelwerksentwurfs wie auch der einzelnen Modulekonnte die Workshop-Reihe nur ein Einstieg in die o.g.Fachdiskussion sein.2.7 Der Übergang auf ein neues Regelwerk sollte planvoll erfolgen,damit für die in Betrieb befindlichen Anlagen einsinnvoller Anschluss an das bestehende Regelwerk möglichwird. Die Anwendung des neuen Regelwerks an Pilotvorhabenvor der Einführung zu testen, wird ausdrücklichVgl. hierzu– BMU, Schreiben vom 29. Juni 2006– BMU, Rundschreiben vom 15. Juli 2003(http://www.bmu.de/atomenergie/downloads/doc/5609.php)Vgl. hierzu– LAA, Beschluss des LAA - Hauptausschuss - am19. Januar 2006Vgl. hierzu– LAA, Beschluss des LAA - Hauptausschuss - am19. Januar 200618

Nr. Kommentator Kommentar Antwort BMUbegrüßt. – BMU, Schreiben vom 29. Juni 2006600 NUM Stellungnahme zu den in der Workshopreihe des BMU im Januar2006 zur Aktualisierung des kerntechnischen Regelwerksbehandelten ModulenVorbemerkung: Das Niedersächsische Umweltministerium hatzu allen Workshops der oben genannten Workshopreihe Vertreterund Vertreterinnen entsandt und sich damit intensiv ander Diskussion zu den oben bezeichneten Modulen beteiligt.Auf die im Rahmen der Workshops abgegebenen detailliertenStellungnahmen wird verwiesen; von einer Wiederholung derzur Aufzeichnung freigegebenen Stellungnahmen an dieserStelle muss schon aus Gründen der Arbeitsökonomie abgesehenwerden. Aus Gründen der Arbeitsökonomie mussten undmüssen auch weiterhin Stellungnahmen und Kommentare imWesentlichen auf Grundsätzliches, Allgemeingültiges bzw.Exemplarisches der Module fokussiert werden; aus einerNichtkommentierung einzelner Aspekte der Module kann dahernicht auf die Zustimmung zu den entsprechenden Passagender Module geschlossen werden. Der Länderausschuss fürAtomkernenergie hat in seiner Sondersitzung am 19. Januar2006 unter anderem einstimmig beschlossen, dass das Regelwerkauf der Grundlage eines umfassenden Diskussionsprozessesmit der Fachwelt und der Wissenschaft erarbeitetwird und dass dazu auf der Grundlage des bisherigen Verfahrensim Anschluss an den hier in Rede stehenden Workshopein Beteiligungsverfahren zwischen Bund und Ländern vereinbartwird. Dieser Beschluss ist Maßstab und Leitfaden für dieBeteiligung des Niedersächsischen Umweltministeriums andem weiteren Verfahren zur Aktualisierung des kerntechnischenRegelwerks. In meinem Eingangsstatement im Workshopam 23. Januar 2006 habe ich dieses näher ausgeführt.Aus dem Beschluss haben sich naturgemäß auch Konsequenzenfür das konkrete Vorgehen im Rahmen des Workshopsund auch für die weitere Kommentierung der Module ergeben.Auf die Konsequenzen im Einzelnen bin ich meinen grundsätz-Vgl. hierzu– LAA, Beschluss des LAA - Hauptausschuss - am19. Januar 2006– BMU, Schreiben vom 29. Juni 200619

Nr. Kommentator Kommentar Antwort BMUlichen Anmerkungen im Workshop am 23. Januar 2006 bereitsnäher eingegangen. Darauf wird wegen der Einzelheiten verwiesen.Allerdings sei an dieser Stelle zur Erleichterung desVerständnisses für die nachfolgende Stellungnahme nocheinmal auf die zentrale Konsequenz hingewiesen:Alle Diskussionsbeiträge und Kommentierungen des NiedersächsischenUmweltministeriums sind unter der Prämisse zusehen, dass es auf Grund des Beschlusses des Länderausschussesfür Atomkernenergie bei der Diskussion um die vorliegendeModule um die Schaffung von Grundlagen für eineAktualisierung des Regelwerks geht und nicht um die konkreteAusgestaltung und Formulierung des Regelwerks selbst. Dieses– die Erarbeitung des Regelwerks selbst - wird erst in denGremien des Länderausschusses auf der Grundlage des nochzwischen Bund und Ländern abzustimmenden Beteiligungsprozessesder Wissenschaft und Fachwelt erfolgen. Der Beschlusshat somit die Grundlinien der weiteren Arbeiten zurRegelwerkerstellung vorgezeichnet. Er bildet zugleich dieGrundlage der Zusammenarbeit zwischen Bund und Ländern.Auf die gemeinsamen Schreiben der für die Atomaufsicht inden Ländern Bayern, Baden-Württemberg, Hessen und Niedersachsenzuständigen obersten Landesbehörden vom 15.und 21. Februar 2006 zu dem weiteren Vorgehen und demBeteiligungsverfahren wird verwiesen.Diese Vorbemerkung vorangestellt, wird zu den in der Workshopreihedes BMU im Januar 2006 zur Aktualisierung deskerntechnischen Regelwerks behandelten Modulen wie folgtStellung genommen:STELLUNGNAHMEI.Die vorliegenden Module sind ursprünglich als Aktualisierungbzw. Ersatz der Ebene des untergesetzlichen kerntechnischenRegelwerks konzipiert worden, die im Wesentlichen durch dieSicherheitskriterien für Kernkraftwerke des BMI, die Störfallleit-Vgl. hierzu– LAA, Beschluss des LAA - Hauptausschuss - am19. Januar 200620

Nr. Kommentator Kommentar Antwort BMUlinien des BMI und die RSK-Leitlinien für Druckwasserreaktorenabgedeckt wird. Die vorliegenden Module sind hierfür nichtgeeignet. Maßgeblich für diese Bewertung sind im Wesentlicheninhaltliche Gründe - sowohl konzeptioneller Art als auchwegen des fehlenden Reifegrades - und Verfahrensgründe inder Folge eines nicht alle maßgeblichen Anforderungen abdeckendenErstellungsprozesses.II.Es geht jetzt darum, auf der Grundlage des Beschlusses desLänderausschusses für Atomkernenergie einen Prozess zuorganisieren, in dem auf der Basis der mit den Modulen geleistetenVorarbeiten die Bausteine eines aktualisierten Regelwerkserstellt werden können. Dabei wird es eine Aufgabe vonzentraler Bedeutung sein, die Einhaltung der vom Länderausschussfür Atomkernenergie gestellten Anforderungen im Einzelnenzu prüfen. Hierbei werden unter anderem folgende Fragenim Vordergrund stehen müssen:- die Frage des jeweiligen Beitrages der vorliegenden Vorstellungenund Vorschläge zur Vorsorge gegen Schäden,- die Frage der Kompatibilität der vorliegenden Vorstellungenund Vorschläge mit dem Sicherheitskonzept der Auslegungder deutschen Anlagen,- die Frage, inwieweit die Bandbreite der Wissenschaft beiden vorliegenden Vorstellungen und Vorschlägen bereitshinreichend Berücksichtigung gefunden hat,- die Frage der Angemessenheit der mit den vorliegendenVorstellungen und Vorschlägen verbundenen Behandlungstiefe.Die Diskussion im Rahmen des Workshops hat gezeigt, dassfür alle Module zu diesen Fragen noch ein erheblicher PrüfundDiskussionsbedarf besteht. Auf die dortigen Einzelbeiträgewird verwiesen.III.Vgl. hierzu– LAA, Beschluss des LAA - Hauptausschuss - am19. Januar 2006Vgl. hierzu21

Nr. Kommentator Kommentar Antwort BMUEine weitere grundsätzliche Fragestellung betrifft ebenso allevorliegenden Module:Die Frage, ob die grundlegende Anforderung eingehalten ist,derzufolge das untergesetzliche Regelwerk ausschließlich derKonkretisierung der gesetzlichen Vorschriften des Atomgesetzesund der darauf beruhenden Verordnungen dienen kannund durch den damit abgesteckten gesetzlichen Rahmen beschränktist. Es ist nicht möglich, in dem untergesetzlichenRegelwerk über den gesetzlichen Rahmen hinauszugehen,auch dann nicht, wenn internationale Anforderungen hierzuvorliegen. Diese Beschränkung könnte nur durch eine entsprechendeÄnderung des Atomgesetzes und der Verordnungenaufgehoben werden. Die Diskussion im Rahmen desWorkshops hat gezeigt, dass die in den Modulen gegenüberdem bisherigen Stand vorgenommenen Änderungen und Erweiterungenvon Anforderungen nicht durchgängig aus denrechtlichen Grundlagen heraus abgeleitet und begründet wordensind und deshalb hierzu noch ein erheblicher Prüf- undDiskussionsbedarf besteht. Auf die dortigen Einzelbeiträgewird verwiesen. Insbesondere sind aus den genannten GründenAnforderungen an die Ebenen 1 und 4, soweit sie regelfähigsind, entsprechend abgestuft zu formulieren. Dieses ist inallen in Frage kommenden vorliegenden Modulen noch nichtausreichend berücksichtigt worden.VII.Das Niedersächsische Umweltministerium ist der Überzeugung,dass es mit einem geeigneten Diskussionsprozess beiBeachtung der vorstehenden grundsätzlichen Anmerkungengelingen sollte, dem Beschluss des Länderausschusses fürAtomkernenergie entsprechend eine zielführende Aktualisierungdes Kerntechnischen Regelwerks auf der Grundlage derModule des bisherigen Verfahrens zu erarbeiten. Die Vertreterund Vertreterinnen des Niedersächsischen Umweltministeriumssehen sich in dieser Einschätzung auch durch die vielenfruchtbaren Gespräche im Rahmen und am Rande des o.a.19. Januar 200622

Nr. Kommentator Kommentar Antwort BMU491 VGBPowerTech602WS-BandaufnahmeE.ON KKSommerWorkshops bestärkt. Die Atomaufsichtsbehörden der LändernBayern, Baden- Württemberg, Hessen und Niedersachsenhaben mit einem gemeinsamen Schreiben vom 21. Februar2006 eine Vereinbarung über ein Beteiligungsverfahren vorgeschlagen,das ein Erfolgspfad bei der Aktualisierung des kerntechnischenRegelwerks werden könnte.Der Entwurf des Moduls 3 ist zu detailliert für ein übergeordnetesRegelwerk. Sinnvoller wäre es, wesentliche Inhalte z. B.die Ereignislisten in einer geeigneten KTA-Regel zu behandeln.Ich möchte auch nochmal auf diesen Punkt eingehen und zwardeshalb, weil wir es in diesem Regelwerk schon mehrerenStellen versuchen, Vorhaben aus der aktuellen Diskussionbzw. Forschungsvorhaben zum Regelwerk zu erklären. Dashaben wir bei dem Modul 6 bereits angemerkt. Im Modul 7haben wir's angemerkt, dort waren Themen benannt worden,deren Erforschung, aus Sicht der GRS, durchaus notwendigwar. Die haben wir ins Regelwerk hineingeschrieben und dieshier ist auch wieder eine Stelle, an der wir versuchen, ein aktuellesThema, welches sich in der wissenschaftlichen Diskussionbefindet, ins Regelwerk aufzunehmen. Das finde ich, isteine Vorgehensweise, die für ein Regelwerk nicht geeignet ist.PL 2475Modul 3 hat inhaltlich die Zielsetzung, die „Störfall-Leitlinien“fortzuschreiben und zu ersetzen. Mit Modul 3 werden bestehendeLücken geschlossen. So werden nun auch die Ereignisseauf der Sicherheitsebene 2 geregelt, weiterhin gibt esjetzt die für SWR heranzuziehenden Ereignisse. Durchgängigfür DWR und SWR sind die Ereignisse für den NLB angegeben.Die Angaben in Modul 3 haben grundlegende sicherheitstechnischeBedeutung. Die Angaben in Modul 3 sind in Bezugauf die anlagenspezifische Anwendung immer einer Prüfungzu unterziehen, entsprechende Hinweise sind in Modul3 erläutert. Die Angaben in Modul 3 sind, im Abgleich mitKTA, somit auch keine Beispielslösung für bestimmte Sachverhalte.Das Regelwerk soll den Prüfmaßstab der Vorsorge gegenSchäden nach dem aktuellen Stand von Wissenschaft undTechnik darstellen. Vgl. hierzu– BMU, Beratungsunterlage für die Sitzung des LAA -Hauptausschuss - am 19. Januar 2006– LAA, Beschluss des LAA - Hauptausschuss - am19. Januar 2006– BMU, Schreiben vom 29. Juni 2006Ergänzend hat das BMU erläutert, dass nach der Rechtsprechungdes Bundesverfassungsgerichts (vgl. insbes. BVerfGE23

Nr. Kommentator Kommentar Antwort BMU49, 89 (134 ff. - Kalkar)) und des Bundesverwaltungsgerichts(vgl. insbes. BVerwGE 72, 300 (315 f. - Whyl) aus einemRegelwerk, das bestehende Lücken schließen und den aktuellen„Stand von Wissenschaft und Technik“ vollständig darstellensoll, aktuelle Fragen der kerntechnischen Sicherheitauch dann nicht ausgeklammert werden dürfen, wenn in deringenieurmäßigen Praxis oder wissenschaftlichen Diskussionnoch Unsicherheiten oder Wissenslücken bestehen.Es genügt nicht, die herrschende Auffassung unter den technischenPraktikern zu ermitteln. Die erforderliche Vorsorgenach dem „Stand von Wissenschaft und Technik“ setzt weder- wie die „allgemeinen anerkannten Regeln der Technik“ -eine allgemeine Anerkennung und praktische Bewährungvoraus noch – wie der Stand der Technik - einen Entwicklungsstandfortschrittlicher Verfahren, Einrichtungen oderBetriebsweisen, der die praktische Eignung einer Maßnahmebereits als gesichert erscheinen lässt. Beim „Stand von Wissenschaftund Technik“ muss diejenige Vorsorge getroffenwerden, die nach den neusten wissenschaftlichen Erkenntnissenfür erforderlich gehalten wird; die erforderliche Vorsorgewird nicht durch das technisch gegenwärtig Machbarebegrenzt (BVerfGE 49, 89 (134 ff. - Kalkar)).Hieraus ergibt sich u.a., das bei der Beurteilung von Schadenswahrscheinlichkeitennicht allein auf das vorhandeneingenieurmäßige Erfahrungswissen zurückgegriffen werdendarf, sondern Schutzmaßnahmen auch anhand "bloß theoretischer"Überlegungen und Berechnungen in Betracht gezogenwerden müssen, um Risiken aufgrund noch bestehenderUnsicherheiten oder Wissenslücken hinreichend zuverlässigauszuschließen. Unsicherheiten bei der Risikoermittlungund Risikobewertung ist nach Maßgabe des sich darausergebenden Besorgnispotentials durch hinreichend konservativeAnnahmen Rechnung zu tragen; dabei dürfen sich diezuständigen Behörden nicht auf eine "herrschende Meinung"verlassen, sondern müssen alle vertretbaren wissenschaft-24

Nr. Kommentator Kommentar Antwort BMUlichen Erkenntnisse in Erwägung ziehen BVerwGE 72, 300(315 f. - Whyl).Dementsprechend hatte das BMU die am Projekt zur Aktualisierungdes kerntechnischen Regelwerks beteiligten Organisationenund Sachverständigen beauftragt, nicht nur einenVergleich mit dem Stand internationaler Regelwerke vorzunehmen,sondern auch praktische Erfahrungen aus der Anwendungdes bestehenden kerntechnischen Regelwerks,Erkenntnisse aus der sicherheitstechnischen Bewertung vonVorkommnissen und weiteren Betriebserfahrungen sowieErgebnisse aus den im Auftrag des BMU durchgeführtenVorhaben und laufenden Arbeiten. Soweit dem Projekt unterschiedlicheAuffassungen in der wissenschaftlichtechnischenDiskussion oder in Veröffentlichungen vorlagen,die Einfluss auf Feststellung des Standes von Wissenschaftund Technik und die Regeltexte haben konnten, waren dieseim Rahmen des Vorhabens zu erörtern und ggf. in der Dokumentationzu berücksichtigen . Der Internetkommentierungsprozessbildete insoweit eine Ergänzung zurErfassung des Erkenntnisstandes und Meinungsspektrums inder Fachwelt und Wissenschaft.545 VGB 1. Die Anforderungen, die sich aus der „Aktualisierung deskerntechnischen Regelwerkes“ ergeben, sollen gemäß derIntention des BMU auch für bestehende kerntechnischeAnlagen gültig werden.Entsprechend müssten vor dem Hintergrund des Konsensbeschlussesinsbesondere Vorgaben zur Bewertung bestehenderkerntechnischer Anlagen enthalten sein, da Neuan-Vgl. hierzu– BMU, Beratungsunterlage für die Sitzung des LAA -Hauptausschuss - am 19. Januar 2006– LAA, Beschluss des LAA - Hauptausschuss - am19. Januar 200625

Nr. Kommentator Kommentar Antwort BMUlagen im Sinne des Konsensbeschlusses zukünftig inDeutschland nicht genehmigungsfähig sein werden.Diesem Anspruch wird das vorliegende Modul 4 (hierunterwird nachfolgend auch der Anhang A3 des Modul 3 subsummiert)nicht gerecht, denn im Modul 4 werden im WesentlichenVorgaben für Neuanlagen dargestellt.– BMU, Schreiben vom 29. Juni 2006Aufgrund dieser wesentlichen Beschränkung der Definitionvon Anforderungen (bis hin zu detaillierten Umsetzungsvorgaben)auf Neuanlagen ist eine Verwendbarkeit des Modul4 auf bestehende kerntechnische Anlagen allenfalls eingeschränktmöglich; das Ziel, eine umfassende und allgemeingültigeForm des kerntechnischen Regelwerkes zu schaffen,wird verfehlt.Die grundlegende Bedeutung dieser Fragestellung ist nichtneu, sie wurde im Gegenteil schon klar bei den RSK-LL fürDWR erkannt. Dort ist im Vorwort von 1981 entsprechenddargestellt: „Sie sind nicht ohne weiteres gedacht für eineAnpassung von bestehenden, im Bau oder Betrieb befindlichenKernkraftwerken. Der Umfang der Berücksichtigungdieser Leitlinien wird bei diesen Anlagen von Fall zu Fall zuprüfen zu sein.“In der derzeitigen Form ist das Modul 4 für bestehendeund betriebsbewährte kerntechnische Anlagen allenfallseingeschränkt anwendbar.Um die Anwendbarkeit des Modul 4 im Sinne eines ü-bergeordneten Regelwerkes auch auf bestehende Anlagensinnvoll zu ermöglichen, sind nur übergeordneteAnforderungen zu formulieren, nicht jedoch expliziteAusführungs- und Umsetzungsbestimmungen, da dieAusführung und Umsetzung anlagenspezifisch26ver-PL SR 2475Das Vorhaben hat die Aufgabe, die nach Stand von Wissenschaftund Technik heranzuziehenden grundlegend geltendenSicherheitsanforderungen in den jeweiligen Modulenanzugeben. Weiterhin war ein Wegweiser zu erstellen, der

Nr. Kommentator Kommentar Antwort BMUschieden vorgenommen sein kann und darf, solangenur die übergeordneten Anforderungen erfüllt werden.Es sind die Bezüge zum bestehenden KTA-Regelwerkzu ergänzen und anzugeben, welche Beurteilungsmaßstäbefür betriebsbewährte Komponenten zugrunde zulegen sind, falls Abweichungen vom derzeitigen Regelwerkbestehen. Hierbei ist insbesondere die bisherigeBeschlusslage der RSK zur Anwendung auf Altanlagenzu übernehmen.die notwendigen Verbindungen zwischen den Modulen undz.B. zu den Regeln des KTA herstellt. Insofern existieren zuden grundlegend geltenden Sicherheitsanforderungen in denModulen immer die Bezüge zu den Regeln des KTA, soweitder jeweilige Sachverhalt durch Regeln des KTA beschriebenwird.Die Module sind der jeweils geltende Beurteilungsmaßstab.Eventuelle Abweichungen in den Anlagen sind in ihrer sicherheitstechnischenBedeutung durch die zuständigen Behördenzu entscheiden, Regelungen hierzu sind nicht Gegenstanddes Regelwerksvorhabens.387 FANP(Stellungnahme)(...) 2. Abweichung von BMI-Sicherheitskriterien; FehlendeUnterscheidung zwischen Auslegungsstörfällen und Zuständenauf der Sicherheitsebene 4In den BMI-Sicherheitskriterien von 1977 wurden Grundsätzeder Sicherheitsvorsorge formuliert, die den unbestimmtenRechtsbegriff der „erforderlichen Schadensvorsorge“ inhaltlichausgestalten. Zu Maßnahmen auf der Sicherheitsebene 4heißt es in den Sicherheitskriterien: „Darüber [Maßnahmen derSicherheitsebene 3] hinaus sind in angemessenem Umfangvorsorglich organisatorische und technische Maßnahmen innerhalbund außerhalb der Anlage zur Feststellung und Eindämmungvon Unfallfolgen vorzusehen.“Vom Wortsinn her kann diese Formulierung nicht mehr derSchadensvorsorge zugerechnet werden, sondern als Ergänzungdazu.Im vorliegenden Entwurf des Moduls 7 fehlen Klarstellungenzum ergänzenden Charakter von Maßnahmen der Sicherheitsebene4 und zum Grundsatz der Angemessenheit. Dies istumso problematischer, weil immer wieder bei den Anforderungenfür Maßnahmen auf der Sicherheitsebene 4 Formulierungenverwendet werden, die für Nachweise zu Auslegungsstörfällenzutreffend sind, aber für Nachweise zu Notfallmaßnahmenauf der Sicherheitsebene 4 international unüblich sind.Vgl. hierzu– BMU, Schreiben vom 29. Juni 2006– BMU, Rundschreiben vom 15. Juli 2003(http://www.bmu.de/atomenergie/downloads/doc/5609.php)27

Nr. Kommentator Kommentar Antwort BMUHierbei wird auch die geringere Belastbarkeit der technischwissenschaftlichenAnalyseverfahren für Phänomene auf derSicherheitsebene 4b/c nicht berücksichtigt.Wenn beabsichtigt ist, dadurch alle aufgeführten Anforderungenin die erforderliche Schadensvorsorge hineinzuziehen,stellt dies eine Änderung der bisherigen Sicherheitsphilosophiedar. (...)429 VGB (...) In diesem Zusammenhang ist auch auf das Fehlen einerKlarstellung zum ergänzenden Charakter von Maßnahmen derSicherheitsebene 4 und zum Grundsatz der Angemessenheit,wie sie die BMI-Sicherheitskriterien von 1977 beinhalten, hinzuweisen.Dort wurden Grundsätze der Sicherheitsvorsorgeformuliert, die den unbestimmten Rechtsbegriff der „erforderlichenSchadensvorsorge“ inhaltlich ausgestalten. Zu Maßnahmenauf der Sicherheitsebene 4 heißt es in den Sicherheitskriterien:„Darüber [Maßnahmen der Sicherheitsebene 3] hinaussind in angemessenem Umfang vorsorglich organisatorischeund technische Maßnahmen innerhalb und außerhalb der Anlagezur Feststellung und Eindämmung von Unfallfolgen vorzusehen.“Das Fehlen solcher Hinweise zum ergänzendenCharakter von Maßnahmen der Sicherheitsebene 4 und zumGrundsatz der Angemessenheit im Textmodul 7 legt die Interpretationnahe, dass die Anforderungen dieses Textmoduls dererforderlichen Schadensvorsorge zugeordnet werden, waseine grundsätzliche Änderung der bisherigen Sicherheitsphilosophiedarstellt. (...)499-01 FANP(Workshop)504 VGB(Workshop)„Indikativformulierung“ auf Sicherheitsebene 4b/c besondersungeeignet, da damit die international übliche und zum Verständnis,wo aus technischer Sicht Ermessensspielräume bestehen,wichtige Unterscheidung „shall/should“ nicht erkennbarwird.(...) Modul 7 soll die Maßnahmen der Sicherheitsebene 4b,cregeln.Kommentar: Bisher ist dieser Bereich jenseits der erforderli-Vgl. hierzu– BMU, Schreiben vom 29. Juni 2006– BMU, Rundschreiben vom 15. Juli 2003(http://www.bmu.de/atomenergie/downloads/doc/5609.php)Vgl. hierzu– die Antwort zu Kommentar 498 (VGB),Vgl. hierzu– BMU, Schreiben vom 29. Juni 200628

Nr. Kommentator Kommentar Antwort BMU601 VGB(Detailstellungnahme)356(Auszug)chen Schadensvorsorge angesiedelt und deshalb in der Eigenveranwortungder Betreiber. Es fehlen Darstellungen diediesen Sachverhalt oder den ergänzenden Charakter derMaßnahmen ausdrücken. Sollte beabsichtigt sein, die Anforderungenaus Modul 7 dem Bereich der Schadensvorsorge zuzuordnen,so stellt dies eine Änderung der Sicherheitsphilosophiedar. (...)(...) Der in diesem Modul 7 zu regelnde Sachverhalt liegt außerhalbdes Vorsorgebereichs und in der Eigenverantwortungder Betreiber. Ein entsprechendes Modul kann deshalb allenfallseinen empfehlenden Charakter haben. Dieser Sachverhaltkommt jedoch nicht im vorliegenden Textmodul zum Ausdruck.Aus unserer Sicht stellt dies eine Änderung der Sicherheitsphilosophiedar. (...)GNS Grundsätzlich ist das Vorhaben der Module schwer, wenn ü-berhaupt, in die bestehende Rechtslandschaft einzuordnen.Bisher existieren Gesetze und Verordnungen und in Ergänzungdazu das kerntechnische Regelwerk, insbesondere dieRegeln des KTA und des DIN. Mit den Modulen sollen neuereEntwicklungen Berücksichtigung finden. Es erschließt sichaber nicht, wozu man dafür Module einführen muss, anstelledie Überarbeitung bestehender Regelungen vorzunehmen.Außerdem ist nicht deutlich, welchen Rechtscharakter dieseModule haben sollen, insbesondere ob sie Rechtswirkung entfalten.Diese Unklarheiten tragen nicht zur besseren Rechtssicherheitbei, sondern schaffen vielmehr Raum für Missverständnisse.Die Module nehmen nur ausschnittsweise Bezugauf gesetzliche Regelungen, wodurch die Gefahr besteht, dassder Inhalt der Module unvollständig ist. Außerdem werden siedem selbstgestellten Anspruch, nämlich einer Konkretisierungbestehender Rechtsvorschriften zu dienen, nicht gerecht.Das gesamte Vorhaben der GRS-Module lässt damit in seinerZielsetzung, seinem Zustandekommen und der weiteren Gestaltungerhebliche Zweifel aufkommen, dass hierdurch auf demsehr sensiblen Gebiet der nuklearen Sicherheit und des Strah-– BMU, Rundschreiben vom 15. Juli 2003(http://www.bmu.de/atomenergie/downloads/doc/5609.php)Vgl. hierzu– BMU, Schreiben vom 29. Juni 2006– BMU, Rundschreiben vom 15. Juli 2003(http://www.bmu.de/atomenergie/downloads/doc/5609.php)Vgl. hierzu– BMU, Beratungsunterlage für die Sitzung des LAA -Hauptausschuss - am 19. Januar 2006– BMU, Schreiben vom 29. Juni 200629

Nr. Kommentator Kommentar Antwort BMU356(Auszug)356(Auszug)GNSGNSlenschutzes Sicherheitsstandards gestaltet werden können.Zusammenfassend sind die Form und der konkret vorgelegteInhalt der Module nicht geeignet, die bestehenden Sicherheitsstandardszu modernisieren.Gemäß Vorwort sollen bisher nicht im kerntechnischen Regelwerküberarbeitete oder erheblich überarbeitungsbedürftigeSicherheitsaspekte in Form von Leitlinien dargelegt werden.Aus den dargelegten „Anforderungen an den Strahlenschutz"ist dies nicht erkennbar. Die ,,Anforderungen an den Strahlenschutz"stellen vielmehr eine Zusammenstellung bekannterStrahlenschutzanforderungen und -maßnahmen dar. An denStellen, wo Veränderungen vorgenommen wurden, ist oft nichtnachvollziehbar, warum dies erforderlich sein soll. Im Vergleichzu anderen gesetzlichen Vorschriften, wie etwa der StrlSchV,ist eine Gewähr der Vollständigkeit nicht gegeben. Schon deshalbbestehen erhebliche Risiken in der praktischen Anwendung.Eine ganze Reihe von Anforderungen ergeben nur Sinn imHinblick auf eine Neuerrichtung von KKW. Dies wird inDeutschland in absehbarer Zeit aber nicht der Fall sein. Es istalso fraglich, warum man sich heute damit beschäftigt.Vgl. hierzu– BMU, Beratungsunterlage für die Sitzung des LAA -Hauptausschuss - am 19. Januar 2006– BMU, Schreiben vom 29. Juni 2006Vgl. hierzu– LAA, Beschluss des LAA - Hauptausschuss - am19. Januar 2006– BMU, Schreiben vom 29. Juni 2006354 ATW 5/2005Regelwerk463 BriefBStMUGVvom 27.10.05628 BriefBStMUGVvom 11.04.06Text sh. Anhang 4 dieser UnterlageText sh. Anhang 4 dieser UnterlageText sh. Anhang 4 dieser UnterlageVgl. hierzu– BMU, Schreiben vom 29. Juni 2006Vgl. hierzu– Schreiben des BMU vom September 2006Vgl. hierzu– Schreiben des BMU vom September 200630

Anhang 1

Anhang 1

Anhang 1

Anhang 1

Anhang 1

Anhang 1

Anhang 1

Anhang 1

Anhang 2

Anhang 2

Anhang 3

Anhang 3

Anhang 3

Anhang 3

Anhang 3

Anhang 3

Anhang 3

Anhang 3

Anhang 3

Anhang 3

Anhang 3

Anhang 4Kommentar Nr. 354

Anhang 4

Anhang 4

Anhang 4

Anhang 4

Anhang 4

Anhang 4

Anhang 4Kommentar Nr. 463

Anhang 4Bayerisches Staatsministerium fürUmwelt, Gesundheit und VerbraucherschutzStMUGV - Postfach 81 01 40 - 81901 MünchenBundesministerium für Umwelt,Naturschutz und Reaktorsicherheitz.H. Herrn MinisterialdirektorWolfgang RennebergPostfach 12 06 2953048 BonnIhre Nachricht Unser Zeichen Telefon +49 89 9214-2322 München91-U8808.04-2004/10-23 Dr. Friedrich Hanisch 27.10.2005friedrich.hanisch@stmugv.bayern.deAktualisierung des kerntechnischen RegelwerksSehr geehrter Herr Renneberg,unter Bezugnahme auf unser Schreiben vom 10.02.2005 zur 1. Informationsveranstaltungüber die Revision des kerntechnischen Regelwerks nehmen wir die vorkurzem erfolgte Internet-Veröffentlichung der „Erläuterungen“ des BMU mit demTitel „Grundlagen für die Sicherheit von Kernkraftwerken“ zum Anlass, auf Folgendeshinzuweisen:1. In o.g. Schreiben hat das Bayerische Staatsministerium für Umwelt, Gesundheitund Verbraucherschutz u.a. gefordert, an den Anfang von Modul 1 eine Beschreibungder dem zukünftigen Regelwerk zugrunde gelegten Sicherheitsphilosophiezu stellen. Eine solche Beschreibung, ohne die das Regelwerk ohneFundament bleibt, findet sich aber in Modul 1 bis jetzt nicht.2. Die „Erläuterungen“ sind im übrigen in folgenden Einzelpunkten lückenhaft, unklaroder widersprüchlich:a. Die in Nr. 1 aufgeführte Liste des zu ersetzenden derzeit gültigen Regelwerkesist offensichtlich unvollständig. Zumindest bleibt unklar, welche derRecyclingpapier aus 100% AltpapierStandortRosenkavalierplatz 281925 MünchenÖffentliche VerkehrsmittelU4 ArabellaparkTelefon/Telefax+49 89 9214-00 /+49 89 9214-2266E-Mailpoststelle@stmugv.bayern.deInternetwww.stmugv.bayern.de

Anhang 4- 2 -bisher gültigen Bekanntmachungen des BMU künftig in den einzelnen Modulen desneuen Regelwerks aufgehen oder parallel hierzu fortbestehen. Entsprechendes giltfür die veröffentlichten Empfehlungen und Stellungnahmen der RSK und gegebenenfallsauch der SSK. Eine Darstellung der Grundstruktur des neuen Regelwerks– am besten am Anfang von Modul 1 – ist daher unerlässlich.b. Es ist unklar, was mit dem „in Deutschland fortgeschrittensten Stand unter Berücksichtigungdes internationalen Standes von Wissenschaft und Technik“ gemeint ist(Nr. 2, 1. Absatz der „Erläuterungen“). Diese Feststellung scheint im Widerspruchzu der darauf folgenden Aussage zu stehen, dass die bestehende „konzeptionelldefinierte Sicherheitsphilosophie ... unverändert“ gilt.c. Es ist nicht ersichtlich, in welcher Form und in welchem Umfang das IAEA-Regelwerk „berücksichtigt“ wurde (Nr. 2, 2. Absatz der „Erläuterungen“). Entsprechendesgilt für die Referenzniveaus der WENRA: Da das derzeit gültige Regelwerkden Harmonisierungsansprüchen von WENRA in kaum einem Themenfeld genügt,muss nachvollziehbar gewährleistet sein, dass das neue Regelwerk im Einklang mitsämtlichen WENRA-Niveaus steht.d. Aus unserer Sicht richtet sich das Regelwerk in erster Linie an die Hersteller undBetreiber von Kernkraftwerken und mittelbar auch an die atomrechtlichen Genehmigungs-und Aufsichtsbehörden der Länder und die von ihnen zugezogenenSachverständigen (Nr. 3, 1. Satz der „Erläuterungen“). Der 2. Satz von Nr. 3 in Verbindungmit dem 3. Satz von Nr. 3 ist irreführend, da das untergesetzliche Regelwerkden Stand von Wissenschaft und Technik nicht anders definieren kann, alsdies das Atomrecht vorgibt.e. Es fehlen Hinweise, wie die „Sicherheitsanforderungen für Kernkraftwerke“ im a-tomrechtlichen Genehmigungs- und Aufsichtsverfahren (insbesondere bei älterenAnlagen) anzuwenden sind.f. Die Beschreibung des Verhältnisses zwischen den „Sicherheitsanforderungen fürKernkraftwerke“ und den sicherheitstechnischen Regeln des Kerntechnischen Ausschusses(KTA) befriedigt nicht (Nr. 4 der „Erläuterungen“). Aufgabe des KTA istnach § 2 der Neufassung der Bekanntmachung über die Bildung eines KerntechnischenAusschusses u.a. die „Aufstellung sicherheitstechnischer Regeln“, wozuauch die „Sicherheitsanforderungen für Kernkraftwerke“ und nicht nur die klassischenKTA-Regeln gehören.g. Der Wortlaut „Gesamtheit der kerntechnischen Regeln und insbesondere die Sicherheitsanforderungenfür Kernkraftwerke“ (Nr. 5 der „Erläuterungen“) lässt vermuten,dass neben dem revidierten Regelwerk noch weitere kerntechnische RegelnBestand haben sollen. Dies kann nicht der Sinn des Revisionsprojekts sein.

Anhang 4- 3 -3. Wegen der beschriebenen Defizite wird gebeten, die „Erläuterungen“ einer umfassendenÜberarbeitung zu unterziehen und die dem neuen Regelwerk zugrundegelegte Sicherheitsphilosophieeinschließlich eines Überblicks über seine Systematik und Gesamtstrukturan den Anfang zu stellen. Aus der geschilderten Aufgabenstellung des KTA ergibtsich darüber hinaus, dass eine förmliche Verabschiedung der „Sicherheitsanforderungenfür Kernkraftwerke“ durch den KTA unverzichtbar ist.Wir bitten Sie, uns mitzuteilen, welche Haltung das BMU unseren Forderungen und Vorschlägengegenüber einnimmt und welche weitere Vorgehensweise beabsichtigt ist.Mit freundlichen GrüßenDr. SeidelLeitender Ministerialrat

Anhang 4Kommentar Nr. 628

Anhang 4

Anhang 4

Anhang 4

Anhang 4

Anhang 4

Anhang 4

Anhang 4

Anhang 4