Fatti

Parti e svolgimento del procedimento: La Axpo Power AG gestisce la centrale nucleare di Beznau (KKB), dotata di due blocchi reattore. Dopo l'incidente di Fukushima nel marzo 2011, l'Ispettorato federale della sicurezza nucleare (ENSI) ha chiesto alla gestrice di verificare la progettazione del KKB. Oggetto della prova deterministica di sicurezza era stabilire se, in caso di terremoto con periodo di ritorno di 10'000 anni e in caso di combinazione con un'inondazione causata dal terremoto, il raffreddamento del nocciolo e la sicurezza delle piscine di stoccaggio degli elementi di combustibile restassero garantiti in modo single-failure-proof e se l'esposizione alle radiazioni non superasse il valore limite di dose di 100 mSv.

Atto amministrativo: La Axpo Power AG ha presentato la prova di sicurezza il 30 marzo 2012. Il 7 luglio 2012 l'ENSI ha redatto una nota interna secondo cui la prova era stata completamente fornita e non era indicata una messa fuori servizio provvisoria immediata. Il 13 luglio 2012 l'ENSI ha pubblicato un articolo in cui definiva il terremoto con periodo di ritorno di 10'000 anni "il terremoto più estremo che deve essere considerato" e lo assegnava alla categoria di incidente 3 con un valore limite di 100 mSv. Il 19 agosto 2015 i ricorrenti, residenti nella zona 1 di pianificazione d'emergenza, hanno chiesto l'emanazione di una decisione su atti materiali. Con decisione del 27 febbraio 2017 l'ENSI ha stabilito che l'accettazione della prova deterministica era conforme al diritto.

Istanza precedente: I ricorrenti hanno presentato ricorso al Tribunale amministrativo federale, che con sentenza del 22 gennaio 2019 (A-1969/2017) ha respinto il ricorso, nella misura in cui era ammissibile, ha posto le spese processuali a carico dei ricorrenti e ha fissato un'indennità di parte di fr. 60'000.-- a favore della Axpo Power AG. L'istanza precedente ha motivato il non entrare nel merito della domanda di messa fuori servizio provvisoria immediata con la mancanza di un interesse attuale alla protezione giuridica, in via subordinata con il rigetto nel merito.

Dinanzi al Tribunale federale: I ricorrenti hanno chiesto l'annullamento della decisione e l'accertamento dell'illiceità del comportamento dell'ENSI, un obbligo di messa fuori servizio provvisoria e, in via subordinata, una nuova prova deterministica che copra un terremoto con periodo di ritorno di 10'000 anni (e leggermente più frequente) con un valore limite di dose di 1 mSv. La Axpo Power AG e l'ENSI hanno chiesto il rigetto del ricorso. Il Tribunale amministrativo federale e il DATEC hanno rinunciato a presentare osservazioni.

Questioni controverse: (1) legittimazione e interesse attuale alla protezione giuridica; (2) oggetto della lite e determinatezza delle conclusioni; (3) diritto intertemporale applicabile (diritto vecchio al momento dell'atto materiale o nuovo diritto dal 1° febbraio 2019); (4) valore limite di dose per gli incidenti in conseguenza di un terremoto con periodo di ritorno di 10'000 anni (1 mSv secondo l'art. 94 cpv. 4 aORaP 2005 oppure 100 mSv secondo l'art. 94 cpv. 5 aORaP 2005); (5) obbligo dell'ENSI di esigere una prova per la categoria di incidente 2; (6) presupposti della messa fuori servizio provvisoria immediata secondo l'art. 3 dell'ordinanza sulla messa fuori servizio; (7) conseguenze in materia di spese e ripetibili, tenuto conto della Convenzione di Aarhus.

Legittimazione e interesse alla protezione giuridica: La legittimazione al ricorso è stata riconosciuta, poiché la maggior parte dei ricorrenti risiede nella zona 1 di pianificazione d'emergenza. L'interesse pratico attuale è stato riconosciuto nonostante i presunti adeguamenti, poiché le analisi degli incidenti richieste di recente non erano ancora state presentate e verificate dall'ENSI. Per quanto riguarda la domanda di messa fuori servizio sussiste un diniego formale di giustizia (art. 29 cpv. 1 Cost.), per cui la legittimazione sussiste indipendentemente dall'interesse alla protezione giuridica.

Oggetto della lite e determinatezza: Le nuove conclusioni sono inammissibili (art. 99 cpv. 2 LTF). La domanda di accertamento relativa all'art. 123 cpv. 2 lett. c e d ORaP corrisponde nel merito alla conclusione formulata davanti all'istanza precedente ed è ammissibile. Le conclusioni n. 3, 5 e 6, nonché la domanda di astensione futura, non sono state esaminate per mancanza di determinatezza (art. 42 LTF).

Diritto

Diritto applicabile: Il Tribunale federale constata che, in assenza di disposizioni transitorie, è di principio determinante il diritto in vigore al momento dell'emanazione dell'atto materiale o della decisione (emanazione della decisione il 27 febbraio 2017). Le modifiche delle ordinanze con effetto dal 1° febbraio 2019 non contengono disposizioni transitorie. Per la questione della legittimità della prova di sicurezza del 2012 è quindi determinante il diritto in vigore al momento dell'emanazione della decisione; i nuovi requisiti sono rilevanti solo per una prova eventualmente da richiedere di nuovo. Non si esamina se il nuovo diritto ordinanzale contrasti con il diritto di rango superiore.

Interpretazione del valore limite di dose: Il testo dell'art. 94 cpv. 4 e 5 aORaP 2005 non è chiaro, poiché gli incidenti con una frequenza di 10-4 per anno non sono chiaramente riconducibili né al cpv. 4 né al cpv. 5. L'elemento storico depone per il fatto che il terremoto con periodo di ritorno di 10'000 anni sia sempre stato assegnato alla categoria di incidente più elevata (categoria 3) e che il legislatore non intendesse, con la codificazione, una nuova classificazione. Dal punto di vista teleologico si giustifica la graduazione dei valori limite di dose in base alla frequenza, poiché eventi più rari possono giustificare un'esposizione alle radiazioni più elevata. Sistematicamente, l'art. 94 cpv. 5 aORaP, senza l'assegnazione del terremoto con periodo di ritorno di 10'000 anni alla categoria 3, non avrebbe un campo di applicazione pratico, poiché terremoti più rari non erano noti. Il terremoto con periodo di ritorno di 10'000 anni va quindi assegnato alla categoria di incidente 3 con un valore limite di 100 mSv.

Adempimento della prova e obbligo di una seconda prova: I valori di dose calcolati erano superiori a 1 mSv ma inferiori a 100 mSv, cosicché l'ENSI ha correttamente ritenuto fornita la prova per la categoria 3. Tuttavia, secondo il principio dello spettro coprente (art. 1 lett. e dell'ordinanza sulle ipotesi di pericolo), l'ENSI avrebbe dovuto richiedere anche una prova di sicurezza per un terremoto con una frequenza rappresentativa della categoria di incidente 2 e con il valore limite di 1 mSv. Una prova per la categoria 3 non è di per sé significativa per il rispetto del valore limite più basso della categoria 2. L'omissione costituisce un esercizio del potere tecnico discrezionale contrario al diritto federale, poiché l'ENSI non ha adempiuto in modo sufficiente al proprio dovere di vigilanza secondo l'art. 70…