Zur Beherrschung von Störfällen dienen spezielle Sicherheitssysteme (Sicherheitsebene 3). Sie stellen sicher, dass der Reaktor bei Erfordernis zu jeder Zeit abgeschaltet und die nach dem Abschalten noch produzierte Nachzerfallswärme abgeführt werden kann. Als Störfälle, welche die Anlage beherrschen muss, werden so genannte Auslegungsstörfälle unterstellt. Zu den Auslegungsstörfällen zählen beispielsweise der Bruch einer Hauptkühlmittelleitung, der Bruch einer Frischdampf- oder Speisewasserleitung oder auch der Bruch eines Dampferzeuger- heizrohres.
 

Auch Störfälle aufgrund äusserer Einwirkungen sind in der Auslegung der Anlage berück- sichtigt. Das Kraftwerk ist sowohl gegen naturbedingte Einwirkungen wie Erdbeben, Sturm, Blitzschlag und Hochwasser als auch gegen zivilisatorische Einwirkungen wie Sabotage und Flugzeugabsturz geschützt. Berücksichtigt sind zudem Unfälle, die sich im Umgang mit gefährlichen Gütern, wie leicht entzündbaren und explosionsgefährlichen Stoffen, ereignen können, oder Brände in der Anlage.
 

Gegen Störfälle wirken passive und aktive Sicherheitseinrichtungen. Erstere wirken allein durch ihr Vorhandensein wie zum Beispiel die zahlreichen Schutzbarrieren aus Beton oder Stahl, die den sicheren Einschluss der Radioaktivität und die Abschirmung der vom Reaktorkern ausgehenden Direktstrahlung gewährleisten. Zu diesen Sicherheitseinrichtungen zählen auch die Druckspeicher des Notkühlsystems, welche im Anforderungsfall nicht erst in Betrieb gesetzt zu werden brauchen. Aktive Sicherheitseinrichtungen führen die vom Reaktorschutzsystem ausgelösten Aktionen mithilfe von Stellgliedern und Aggregaten aus. Sie benötigen ein Auslösesignal und Energiezufuhr. Zu den aktiven Sicherheitseinrichtungen gehören das Not- und Nachkühlsystem, das Notspeisesystem, das Notstromversorgungssystem und das Notstandsystem.
 
 

 
 
Bei allen Störfällen gilt für Sicherheitssysteme das Einzelfehlerkriterium; danach darf der Ausfall einer Komponente, eines Teilsystems oder eines Systems die ausreichende Funktion des Gesamtsystems nicht verhindern.
 

Zur Erreichung einer technischen Grundsicherheit sind besonders wichtige Systeme oder Geräte zwei- oder mehrfach installiert. Dieses Redundanzprinzip ist bei allen sicherheits- technischen Einrichtungen realisiert. Dazu zählen unter anderen das Not- und Nachkühlsystem, das nukleare Zwischenkühlsystem, das Notspeisesystem, das nukleare Nebenkühlwasser- system, das Kaltwassersystem und der Gebäudeabschluss des Sicherheitsbehälters. Die Not- und Nachkühlsysteme bestehen beispielsweise im Wesentlichen aus drei identischen Einspeise- strängen, die mit je zwei Druckspeichern, einer Sicherheitseinspeisepumpe, einer Nachkühl- pumpe, einem Nachwärmekühler und einer Borwasser-Flutbehältereinheit ausgerüstet sind. Jeder der drei Stränge erfüllt die erforderliche Sicherheitsfunktion. Darüber hinaus ist noch ein Reservestrang vorhanden, der mit den anderen drei Strängen verbunden ist. Durch diese Mehrfachanordnung ergibt sich sowohl bei Reparatur- und Unterhaltsarbeiten als auch im Falle einer Störung in einem Teilsystem eine ausreichende Verfügbarkeit des Gesamtsystems. Das KKG verfügt zudem über ein spezielles zweisträngiges Notstandsystem, welches gewährleistet, dass die Anlage auch bei extremen externen Ereignissen und selbst bei postulierten terroristischen Einwirkungen wie einem gezielten Flugzeugabsturz in einen sicheren Zustand übergeführt werden kann. Für die Nachwärmeabfuhr ist eine zuverlässige Bespeisung der Dampferzeuger von grosser Bedeutung. Dies ist die Aufgabe des Speisewassersystems. Zusätzlich zu den drei Speisewasserpumpen verfügt dieses über zwei notstromgesicherte An- und Abfahrpumpen, die bei Ausfall aller Speisewasserpumpen automatisch gestartet werden.
 
 

 
 
Das Notspeisesystem ist vom Wasser-Dampf-Kreislauf getrennt. Es hat die Aufgabe, die Abkühlung der Reaktoranlage mittels Einspeisen von Deionat in die Dampferzeuger sicherzustellen, wenn eine Einspeisung über das Speisewassersystem oder das An- und Abfahrsystem nicht mehr möglich ist. Der Einsatz des Notspeisesystems wird, abhängig vom Dampferzeugerwasserstand, durch den Reaktorschutz ausgelöst. Jedem Dampf- erzeuger sind eine Pumpe und ein Notspeisedeionatbecken mit einem Wasserinhalt von 210 Kubikmeter zugeordnet. Eine weitere Pumpe mit Deionatbecken kann mit jedem der drei Dampferzeuger verbunden werden. Es stehen insgesamt 840 Kubikmeter Notspeisedeionatvorrat zur Verfügung.
 
 

 
 
Kann die Wärmeabfuhr über den Wasser-Dampf-Kreislauf und über das Notspeisesystem – zum Beispiel infolge extremer äusserer Einwirkungen mit Ausfall von Schaltanlagengebäude, Maschinenhaus, Hilfsanlagengebäude, Wasserfassung und Fremdeinspeisung – nicht mehr erfolgen, dann übernimmt das Notstandsystem die Abfuhr der Nachzerfallswärme. Speise- wassersystem, An- und Abfahrsystem, Notspeisesystem und Notstandsystem verfügen zusammen über insgesamt elf Pumpen für die Dampferzeugerspeisung. Mit nur einer Pumpe kann die Nachwärmeabfuhr sichergestellt werden.
 

Das Notstandgebäude ist in zwei voneinander getrennte Gebäudeabschnitte unterteilt. In jedem Abschnitt ist ein Notstandsystem untergebracht. Das Gebäude ist so ausgelegt, dass es die Notstandsysteme gegen äussere Einwirkungen, einschliesslich Flugzeugabsturz, Sabotage, Brand und Erdbeben, schützt. Jedes Notstandsystem bestehtm aus Speisesystem, Nachkühl-, Zusatzborier- und Brunnenpumpen, Notstromaggregaten, Schaltanlage, 48-Volt-Batterien, Gleichrichter, Reaktorschutzsystem, Deionatvorrat von 500 Kubikmeter sowie Notstanddieselaggregat. Von jeder Notstandspeisepumpe führt eine Notstandspeiseleitung zu einem Dampferzeuger. Zur Abfuhr der Nachzerfallswärme wird Deionat in mindestens einen Dampf­erzeuger eingespeist. Das Wasser verdampft und der Dampf wird über die Frischdampf-Sicherheitsventile in die Atmosphäre abgeblasen. Die Abfuhr der Nachzerfallswärme kann über einen Zeitraum von 10 Stunden ohne Eingriff des Betriebspersonals erfolgen. Baulicher Einschluss und räumlich getrennte Anordnung redundanter Teilsysteme bewirken Schutz vor Einflüssen mit übergreifendem Charakter wie Feuer, Überflutung oder gar Flugzeugabsturz. So sind zum Beispiel Kabel und Kühlwasserleitungen räumlich getrennt verlegt oder die Stränge der Sicherheitsleittechnik im Schaltanlagengebäude in verschiedenen Gebäudeabschnitten untergebracht.
 

In bestimmten Fällen bietet die Anwendung des so genannten Fail-Safe-Prinzips einen zusätzlichen Schutz. Wo möglich, sind Sicherheitssysteme so eingerichtet worden, dass Störungen oder der Ausfall der En­er­gieversorgung eindeutig sicherheits­gerichtete Aktionen auslösen. Die Fail-Safe-Technik ist unter anderem für das Reaktorschnellabschaltsystem realisiert, das auch bei Ausfall der Stromversorgung wirksam bleibt: Die Steuerelemente werden vom Steuerstabantrieb mithilfe von Elektromagneten festgehalten. Bei Stromausfall unterbleibt die Haltefunktion der Magnete. Infolge der Schwerkraft fallen daher die Steuerelemente in den Reaktor ein und schalten diesen ab.
 

Nach der Auswertung von Störfällen im Ausland (Three Mile Island 2 und Tschernobyl) wurden spezielle Notfallmassnahmen (Sicherheitsebene 4) eingeführt, die gewährleisten, dass selbst bei sehr seltenen Unfallabläufen (gleichzeitige Mehrfachfehler von Komponenten und Ausrüstungen) die Folgen für die Umgebung des Kernkraftwerks begrenzt bleiben. Zum Schutz des Sicherheitsbehälters bei einem sehr unwahrscheinlichen auslegungsüberschreitenden Störfall wurde 1993 ein Druckentlastungssystem (DES) eingebaut. Durch kontrollierte und gefilterte Druckentlastung verhindert das DES ein Überdruckversagen des Sicherheits- behälters. Das DES kann durch Öffnen der Absperrarmaturen aktiviert werden. Im DES wird eine wirkungsvolle Abscheidung von Aerosolen und Jod in der Waschflüssigkeit erreicht. Die Abscheidegrade für Grob- und Feinaerosole liegen bei über 99,9 Prozent und bei elementarem Jod bei über 99,5 Prozent.