Sachverhalt:
A.
Die X._ AG Baumaschinen und Transportsysteme bezweckt gemäss Handelsregistereintrag die Herstellung und den Vertrieb von Baumaschinen und Transportsystemen sowie den Handel mit Zubehör- und Ersatzteilen für Maschinen und Fahrzeuge des Bau- und Transportgewerbes. Dazu gehört namentlich auch die Herstellung von Grosspackmitteln (Intermediate Bulk Container, IBC), welche Gefahrgutumschliessungen (GGU) im Sinne der Verordnung vom 31. Oktober 2012 über das Inverkehrbringen und die Marktüberwachung von Gefahrgutumschliessungen (Gefahrgutumschliessungsverordnung, GGUV, SR 930.111.4) sind (Art. 2 lit. a GGUV). Mit Erstaudit vom 13. Januar 2011 (Auditbericht Nr. 5'295'416 vom 27. Januar 2011) wurde der X._ AG vom damaligen Eidgenössischen Gefahrgutinspektorat (EGI) bescheinigt, über ein anerkanntes Qualitätssicherungsprogramm (QSP) nach der Norm EN ISO 16106:2006 gemäss Ziff. 6.5.4.1 der Ordnung für die internationale Eisenbahnbeförderung gefährlicher Güter (RID, Anhang C zum Übereinkommen vom 9. Mai 1980 über den internationalen Eisenbahnverkehr [COTIF, SR 0.742.403.1]) bzw. der Anlage A des Europäischen Übereinkommens vom 30. September 1957 über die internationale Beförderung gefährlicher Güter auf der Strasse (ADR, SR 0.741.621) zu verfügen. Ein Wiederholungsaudit wurde für Januar 2014 vorgesehen.
B.
Mit E-Mail vom 14. Februar 2014 teilte die Z._ AG (im Folgenden: Z._), eine Konformitätsbewertungsstelle (KBS) gemäss Art. 12 ff. GGUV, der X._ AG mit, dass die Anerkennung von deren QSP gemäss Ziff. 6.5.4.1 RID/ADR am 12. Januar 2014 abgelaufen sei; sie ersuchte um Vereinbarung eines Termins für eine Überwachungsprüfung zur Verlängerung der Anerkennung. Mit Schreiben vom 30. Juli 2014 machte das Bundesamt für Verkehr (BAV) die X._ AG darauf aufmerksam, dass die Anerkennung des QSP gemäss Ziff. 6.5.4.1 RID/ADR am 12. Januar 2014 abgelaufen sei, womit die Befugnis, Gefahrgutumschliessungen bzw. IBC im Sinne des RID/ADR herzustellen, erloschen sei. Der X._ AG wurde eine Frist angesetzt, um dem BAV mitzuteilen, bis wann welche Massnahmen zur Legalisierung der Situation getroffen würden. Die X._ AG erwiderte mit E-Mail vom 6. August 2014, sie produziere ihre IBC seit 2011 unter einem QSP nach EN ISO 16106:2006. Die Y._ AG, bei welcher es sich ebenfalls um eine KBS handle, übernehme für sie die Baumusterzulassung, die Überwachung der Herstellung und die erstmalige Prüfung. Die X._ AG sei deshalb der Ansicht, sie bedürfe aufgrund der geltenden gesetzlichen Regelung keiner zusätzlichen Überprüfung durch eine Drittstelle.
Mit Schreiben vom 12. August 2014 hielt das BAV an seinem Standpunkt fest und schlug "zur Bereinigung des Problems" vor, die X._ AG lasse ihr QSP durch eine für diese Tätigkeit bezeichnete KBS unverzüglich prüfen und anerkennen und beantrage beim BAV unmittelbar danach begründete Ausnahmen für die Legalisierung der nicht konformen IBC. Sodann wurde festgehalten, dass die bei der X._ AG seit dem 12. Januar 2014 durch die KBS Y._ AG abgenommenen IBC nicht in Verkehr gebracht werden dürften.
C.
Mit Eingabe vom 5. September 2014 erhob die X._ AG Beschwerde beim Bundesverwaltungsgericht (Verfahren A-4979/2014) und beantragte:
"1. Es sei festzustellen, dass die seit dem 12. Januar 2014 durch die Firma X._ AG hergestellten und durch die Firma Y._ AG (Konformitätsbewertungsstelle Typ A nach GGUV) erstmalig geprüften Grosspackmittel grundsätzlich rechtsgültig in Verkehr gebracht wurden.
2. Das BAV sei zu verpflichten, die Forderung der "Erneuerung" der "Anerkennung des Qualitätssicherungsprogrammes gemäss 6.5.4.1 RID/ADR durch die nach BAV-Homepage alleinige dafür zuständige Firma "Z._" per Verfügung zu erlassen oder aufzuheben.
3. Das BAV sei superprovisorisch, d.h. ohne vorgängige Anhörung, anzuweisen die Aussagen, Feststellungen und Androhungen in den Briefen vom 30.7. und 12.8. unverzüglich zu wi[e]derrufen oder per Verfügung zu bestätigen."
D.
Am 27. Oktober 2014 erliess das BAV an die Adresse der X._ AG eine Verfügung mit folgendem Dispositiv:
"1. Es wird festgestellt, dass die durch die X._ AG nach dem 12. Januar 2014 hergestellten IBC der Vorschrift im Unterabschnitt 6.5.4.1 RID/ADR betreffend das Qualitätssicherungsprogramm nicht entsprechen.
2. Die durch die X._ AG nach dem 12. Januar 2014 hergestellten IBC dürfen nach Art. 5 GGUV nicht in Verkehr gebracht werden.
3. Um die nach dem 12. Januar 2014 hergestellten IBC auf dem Markt zu belassen resp. auf den Markt bringen zu dürfen, hat die X._ AG bis am 15. Dezember 2014 dem BAV einen begründeten Antrag um eine Ausnahmebewilligung zu stellen.
4. Für die Behandlung des Antrages unter Ziffer 3 sowie um die Herstellung von rechtskonformen IBC wieder aufzunehmen, hat die X._ AG ihr Qualitätssicherungsprogramm durch eine für diese Tätigkeit bezeichnete KBS prüfen und anerkennen zu lassen.
5. Wird bis am 15. Dezember 2014 kein begründeter Antrag nach Ziffer 3 durch die X._ AG eingereicht, wird das BAV den Rückruf der durch die X._ AG nach dem 12. Januar 2014 hergestellten IBC anordnen.
6. Die X._ AG hat eine Gebühr von CHF 1500.-- zu bezahlen. Dieser Betrag wird nach Rechtskraft dieser Verfügung durch das BAV in Rechnung gestellt, welches zum Inkasso ermächtigt ist."
Ebenfalls am 27. Oktober 2014 führte die Z._ bei der X._ AG ein Wiederholungsaudit durch und anerkannte - unter Vorbehalt der Umsetzung von vereinbarten Korrekturmassnahmen - mit Auditbericht vom 31. Oktober 2014, dass ein zufriedenstellendes QSP für die Fertigung von IBC nach Ziff. 6.5.4.1 RID/ADR vorhanden sei.
E.
Am 20. November 2014 erhob die X._ AG gegen die Verfügung des BAV vom 27. Oktober 2014 ebenfalls Beschwerde beim Bundesverwaltungsgericht (Verfahren A-6829/2014) mit folgenden Anträgen:
"1. Es sei festzustellen, ob die unter Absatz III, Punkt 1 gemachte Feststellung, dass die seit dem 12. Januar 2014 durch die Firma X._ AG hergestellten IBC der Vorschrift im Unterabschnitt 6.5.4.1 RID/ADR betreffend des nicht entsprechenden Qualitätssicherungsprogrammes (im folgendem "QSP") gesetzlich begründet oder unbegründet ist.
2. Die unter Absatz III, Punkte 2, 3 und 5 verfügten Auflagen und Forderungen sind auf Rechtsstaatlichkeit und Angemessenheit zu beurteilen.
3. Die Folgen der unter Absatz III, Punkt 4 erwähnten Punkte (Herstellungsstillstand und externes Audit) sind durch Übernahme der effektiven Kosten dem BAV aufzuerlegen, sofern nicht bereits unter der Beschwerde A 4979/2014 eine Entschädigung in dieser Angelegenheit erfolgt."
F.
Das BAV teilte mit Eingabe vom 28. Januar 2015 dem Gericht mit, die X._ AG habe die bis 15. Dezember 2014 angesetzte Frist zur Beantragung einer Ausnahmebewilligung ungenutzt verstreichen lassen. Es habe aber Kenntnis davon erhalten, dass die X._ AG die Anerkennung des QSP mit Audit vom 27. Oktober 2014 erneuert habe, weshalb ab diesem Datum die Voraussetzungen für die Durchführung erstmaliger Prüfungen von IBC wieder erfüllt seien und jene der Y._ AG wieder aufgenommen worden seien.
Mit Urteil vom 18. Februar 2015 vereinigte das Bundesverwaltungsgericht die beiden Verfahren und wies die Beschwerde ab, soweit sie nicht gegenstandslos geworden war.
G.
Die X._ AG erhebt mit Eingabe vom 20. März 2015 Beschwerde in öffentlich-rechtlichen Angelegenheiten mit dem Antrag, es sei festzustellen, dass die Abweisung des Antrags 1 der Beschwerde vom 5. September 2014 gegen Bundesrecht verstosse und es sei festzustellen, dass die Abweisung des Antrags 1 der Beschwerde vom 20. November 2011 durch offensichtlich unrichtige Feststellung des rechtserheblichen Sachverhalts erfolgt sei.
Das Bundesamt für Verkehr beantragt Abweisung der Beschwerde. Das Bundesverwaltungsgericht und das Eidgenössische Departement für Umwelt, Verkehr, Energie und Kommunikation (UVEK) verzichten auf Vernehmlassung.
Erwägungen:
1.
Die Beschwerde ist zulässig (Art. 82 lit. a, Art. 86 Abs. 1 lit. a und Art. 90 BGG), da kein Unzulässigkeitsgrund (Art. 83 ff. BGG) vorliegt: Namentlich geht es weder um eine Typengenehmigung für Fahrzeuge auf dem Gebiet des Strassenverkehrs (Art. 83 lit. o BGG), noch um das Ergebnis einer Prüfung oder eine andere Fähigkeitsbewertung (Art. 83 lit. t BGG), sondern um die Frage, ob die Vorinstanzen mit Recht eine (neue bzw. zusätzliche) Prüfung und Anerkennung des Qualitätssicherungsprogramms der Beschwerdeführerin verlangen. Sodann besteht nach wie vor ein aktuelles praktisches Rechtsschutzinteresse der Beschwerdeführerin (vgl. Art. 89 BGG), obwohl diese seit dem 27. Oktober 2014 wieder über ein vom BAV anerkanntes Wiederholungsaudit verfügt; denn einerseits hängt von der Rechtmässigkeit des angefochtenen Entscheids ab, ob die zwischen Januar und Herbst 2014 von der Beschwerdeführerin hergestellten IBC rechtmässig hergestellt sind, und andererseits ist der Überwachungsvertrag zwischen der Beschwerdeführerin und der Z._ nur unter der Bedingung geschlossen worden, dass er aufgelöst wird, falls der angefochtene Entscheid nicht rechtmässig ist.
2.
Die Beschwerdeführerin bezieht sich in ihrer Beschwerde an das Bundesgericht nur auf die Anträge Ziff. 1 ihrer Beschwerden vom 5. September und 20. November 2014 an das Bundesverwaltungsgericht. Die Anträge 2 und 3 der Beschwerde vom 5. September 2014 sind gegenstandslos geworden (vgl. E. 5 und Dispo. Ziff. 2 des angefochtenen Entscheids). Die Anträge 2 und 3 der Beschwerde vom 20. November 2014 werden nicht mehr ausdrücklich aufgenommen; die dort beanstandeten Punkte (Ziff. 2-5 der Verfügung vom 27. Oktober 2014) hängen jedoch damit zusammen, ob die Forderung nach einer neuen bzw. zusätzlichen Anerkennung des Qualitätssicherungsprogrammes rechtmässig ist, und müssen ungeachtet der missverständlichen Formulierung in der (Laien-) Beschwerde als mitangefochten gelten.
3.
Das Bundesgericht prüft frei und von Amtes wegen die richtige Anwendung des Bundesrechts (Art. 95 lit. a BGG, Art. 106 Abs. 1 BGG). Es legt seinem Urteil den Sachverhalt zugrunde, den die Vorinstanz festgestellt hat (Art. 105 Abs. 1 BGG). Es kann die tatsächlichen Feststellungen der Vorinstanz nur berichtigen oder ergänzen, falls sie offensichtlich unrichtig sind oder auf einer Rechtsverletzung im Sinne von Art. 95 BGG beruhen (Art. 105 Abs. 2 BGG). Zudem muss die Behebung des Mangels für den Ausgang des Verfahrens entscheidend sein (Art. 97 Abs. 1 BGG; BGE 140 III 16 E. 1.3.1 S. 17 f.), was die beschwerdeführende Partei aufzuzeigen hat. Die vorinstanzlichen Feststellungen sind "offensichtlich unrichtig", wenn sie willkürlich erhoben worden sind (Art. 9 BV; BGE 137 II 353 E. 5.1 S. 356; zur Willkür in der Beweiswürdigung BGE 137 I 58 E. 4.1.2 S. 62 und 135 III 127 E. 1.5 S. 129 f.). Eine entsprechende Rüge ist rechtsgenüglich zu begründen (Art. 106 Abs. 2 BGG).
4.
Die Beschwerdeführerin rügt offensichtlich unrichtige Sachverhaltsfeststellungen. Diese Rügen betreffen aber zum grössten Teil in Wirklichkeit Rechtsfragen, die im Folgenden als solche zu prüfen sind. Zutreffend ist die sachverhaltliche Kritik der Beschwerdeführerin, dass die Y._ AG in ihrem Schreiben vom 8. Juli 2014 entgegen der missverständlichen Formulierung in E. 7.3 des angefochtenen Entscheids nicht geschrieben hat, dass sich die Rechtslage mit dem Inkrafttreten der GGUV geändert habe, sondern dass das BAV nach dem Inkrafttreten der neuen Richtlinie zur Umsetzung der GGUV zusätzlich eine Überwachung der QSP durch eine vom BAV mit entsprechendem Geltungsbereich bezeichnete KBS verlange. Ob dies zu Recht erfolgte, ist wiederum Rechtsfrage.
5.
5.1. Nach Art. 5 GGUV dürfen Gefahrgutumschliessungen in Verkehr gebracht werden, wenn sie für die Beförderung mit Eisenbahnen oder Seilbahnen die Vorschriften des RID oder von Anhang 2.1 Kapitel 6 der Verordnung vom 31. Oktober 2012 über die Beförderung gefährlicher Güter mit Eisenbahnen und Seilbahnen (RSD; SR 742.412) erfüllen (lit. a) bzw. für die Beförderung auf der Strasse die Vorschriften des ADR oder von Anhang 1 Kapitel 6.14 der Verordnung vom 29. November 2002 über die Beförderung gefährlicher Güter auf der Strasse (SDR; SR 741.621) erfüllen (lit. b).
5.2. Nach den nicht bestrittenen Feststellungen der Vorinstanz handelt es sich bei den betroffenen Grosspackmitteln um Intermediate Bulk Containers (IBC) im Sinne von Kapitel 6.5 RID/ADR. Ziff. 6.5.4.1 RID/ADR lautet wie folgt:
Qualitätssicherung: Um sicherzustellen, dass jeder hergestellte, wiederaufgearbeitete oder reparierte IBC die Vorschriften dieses Kapitels erfüllt, müssen die IBC nach einem Qualitätssicherungsprogramm hergestellt, wiederaufgearbeitet oder repariert und geprüft werden, das von der zuständigen Behörde anerkannt ist.
Bem. Die Norm ISO 16106:2006 «Verpackung - Verpackungen zur Beförderung gefährlicher Güter - Gefahrgutverpackungen, Grosspackmittel (IBC) und Grossverpackungen - Leitfaden für die Anwendung der ISO 9001» enthält zufrieden stellende Leitlinien für Verfahren, die angewendet werden dürfen.
Gemäss Ziff. 6.5.4.2 RID/ADR müssen IBC den Bauartprüfungen und gegebenenfalls den erstmaligen und wiederkehrenden Inspektionen und Prüfungen nach Unterabschnitt 6.5.4.4 RID/ADR unterzogen werden. Nach Ziff. 6.5.4.3 RID/ADR ist für jede IBC-Bauart ein Bauartgenehmigungszeugnis und ein Kennzeichen (nach den Vorschriften des Abschnitts 6.5.2) zu erteilen, wodurch bestätigt wird, dass die Bauart einschliesslich ihrer Ausrüstung den Prüfvorschriften entspricht. Ziff. 6.5.4.4 regelt die Inspektionen und Prüfungen, Ziff. 6.5.6 sehr eingehend die Prüfvorschriften. Für die Qualitätssicherung enthält das Kapitel 6.5 RID/ADR hingegen keine näheren Vorschriften. Die in Ziff. 6.5.4.1 genannte Norm ISO 16106:2006 verweist in ihrer Ziff. 4 ihrerseits für das Qualitätsmanagementsystem auf ISO 9001:2000 Abschnitt 4. Die näheren Anforderungen, insbesondere die für die Anerkennung zuständigen Behörden und Verfahren, müssen durch das innerstaatliche Recht festgelegt werden.
5.3. Nach Art. 25 Abs. 3 lit. c SDR in der ursprünglichen Fassung war grundsätzlich das Eidgenössische Gefahrgutinspektorat (EGI) zuständig für die Genehmigung von Verpackungen, Druckgefässen, Tanks und ihrer Einrichtungen. Mit der am 1. Januar 2013 in Kraft getretenen GGUV und der entsprechenden Änderung der SDR vom 31. Oktober 2012 (AS 2012 6537) wurde das System der Konformitätsbewertung eingeführt. Übergangsrechtlich blieb das EGI bis Ende 2013 zuständig für die Genehmigung von Verpackungen, Druckgefässen, Tanks und ihren Einrichtungen nach den Art. 6 und 7 GGUV (Art. 27 Abs. 3 GGUV). Seit dem 1. Januar 2014 sind private Konformitätsbewertungsstellen zugelassen. Gemäss Art. 7 GGUV gelten für Gefahrgutumschliessungen, die nicht ortsbewegliche Druckgeräte sind, für die Konformitätsbewertung, die wiederkehrenden Prüfungen, die Zwischenprüfungen und die ausserordentlichen Prüfungen die Verfahren nach Anhang 1. Nach Anhang 1 Ziff 1 GGUV gelten die Vorschriften von (u.a.) Kap. 6.5 RID/ADR als erfüllt, wenn die entsprechenden Verfahren durch die nach Tabelle 1 vorgesehenen Konformitätsbewertungsstellen durchgeführt werden.
Tabelle 1 unterscheidet folgende Verfahren und Konformitätsbewertungsstellen:
Verfahren Konformitätsbewertungsstelle Baumusterzulassung Xa Überwachung der Herstellung Xa oder IS Erstmalige Prüfung Xa oder IS Wiederkehrende Prüfung, Zwischenprüfung und ausserordentliche Prüfung Xa oder Xb oder IS
Dabei bedeuten gemäss Ziff. 3 von Anhang 1 GGUV:
Xa: eine gemäss der Norm EN ISO/IEC 17020 Typ A akkreditierte und nach Anhang 5 bezeichnete Konformitätsbewertungsstelle oder eine von der zuständigen Behörde beauftragte Person;
Xb: eine gemäss der Norm EN ISO/IEC 17020 Typ B akkreditierte und nach Anhang 5 bezeichnete Konformitätsbewertungsstelle;
IS: ein betriebseigener Prüfdienst unter der Überwachung einer Xa-Konformitätsbewertungsstelle.
Für die einzelnen Verfahren gelten die Bestimmungen des Abschnitts 1.8.7 RID/ADR sinngemäss (Anhang 1 Ziff. 4 GGUV).
5.4. Konformitätsbewertungsstellen für andere Gefahrgutumschliessungen als ortsbewegliche Druckgeräte müssen gemäss Art. 12 Abs. 2 GGUV durch das UVEK nach Artikel 15 als Konformitätsbewertungsstellen bezeichnet sein (lit. a), von der Schweiz im Rahmen eines internationalen Abkommens anerkannt sein (lit. b) oder nach schweizerischem Recht auf andere Weise ermächtigt oder anerkannt sein (lit. c). Das UVEK bezeichnet gemäss Art. 15 Abs. 1 GGUV als Konformitätsbewertungsstellen Stellen, die nach der Norm EN ISO/IEC 17020 von der Schweizerischen Akkreditierungsstelle (SAS) akkreditiert sind (lit. a) und die Voraussetzungen nach Anhang 5 erfüllen (lit. b). Anhang 5 GGUV regelt Verfahren und Voraussetzungen für die Bezeichnung von Konformitätsbewertungsstellen durch das UVEK; das Gesuch um Bezeichnung als KBS ist mit den erforderlichen Unterlagen beim UVEK einzureichen (Ziff. 1.1). Das UVEK bezeichnet die KBS mittels Verfügung und weist ihr eine Kennnummer zu (Ziff. 1.2).
6.
6.1. Fest steht, dass das QSP der Beschwerdeführerin im Jahre 2011 gemäss Ziff. 6.5.4.1 RID/ADR durch das damalige EGI auditiert worden ist, dass die Y._ AG eine akkreditierte KBS Typ Xa ist und dass sie die von der Beschwerdeführerin hergestellten IBC geprüft hat. Der Streit dreht sich darum, ob damit die Überwachung des Qualitätssicherungsprogramms nach Ziff. 6.5.4.1 RID/ADR abgedeckt ist oder ob eine (erneute bzw. zusätzliche) Auditierung durch eine dafür zugelassene KBS erforderlich ist.
6.2. Die Vorinstanzen sind der Meinung, dass ein erneutes QSP-Audit erforderlich ist und die Y._ AG zwar zugelassen ist für erstmalige und wiederkehrende Inspektionen und Prüfungen sowie Bauartprüfungen, nicht aber für die Anerkennung und Überwachung von Qualitätssicherungsprogrammen nach (u.a.) Ziff. 6.5.4.1 RID/ADR.
6.2.1. Das BAV erwog in seiner Verfügung vom 27. Oktober 2014, im Rahmen des Konformitätsbewertungssystems befinde sich die Anerkennung der QSP grundsätzlich im Zuständigkeitsbereich der KBS. Um QSP beurteilen zu können, brauche eine KBS Kompetenzen im Bereich des Qualitätsmanagements, die sich von den üblichen Kompetenzen unterscheiden, die erforderlich seien, um Gefahrgutumschliessungen zu prüfen und zu kontrollieren. Die Richtlinie des BAV zur Umsetzung der GGUV (RL-GGUV) präzisiere in Anhang 3, Ziff. 6, welche Nachweise eine KBS bei einem Antrag um Akkreditierung zur Verfügung stellen müsse. In der Bezeichnung einer KBS werde spezifisch festgehalten, ob diese KBS auch QSP anerkennen und überwachen dürfe. Zur Zeit besitze in der Schweiz nur die Z._ die Anerkennung für die Überwachung von QSP zur Herstellung von (u.a.) IBC. Nach Ziff. 9.1.1.2 der Norm EN ISO/IEC 17021 müsse nach drei Jahren ein Re-Zertifizierungsaudit durchgeführt werden. Diese dreijährige Dauer gelte als Stand der Technik und sei in Anhang 3 der Richtlinie des BAV zur Umsetzung der GGUV aufgenommen worden, indem unter Ziff. 6 auf die Regelung in der BAM-GGR 001 (Richtlinie der deutschen Bundesanstalt für Materialforschung und -prüfung) verwiesen werde. Das vom EGI am 13. Januar 2011 durchgeführte Erstaudit sei befristet bis 12. Januar 2014. Die von Januar bis August 2014 von der Beschwerdeführerin hergestellten IBC seien durch die Y._ AG geprüft; da diese aber für die Anerkennung von QSP nicht bezeichnet sei, habe sie die abgelaufene Anerkennung des QSP der Beschwerdeführerin nicht erneuern können. Die in der fraglichen Zeit hergestellten IBC seien auf der Basis eines nicht von der zuständigen Behörde anerkannten QSP hergestellt worden und entsprächen nicht vollständig den Vorschriften.
6.2.2. Das Bundesverwaltungsgericht erwog, da das Erstaudit am 12. Januar 2014 abgelaufen sei, sei ein Wiederholungsaudit erforderlich. Art. 15 GGUV sehe nicht ausdrücklich einzelne Zuständigkeitsbereiche für KBS vor; aus Anhang 5 Ziff. 1.1 lit. b GGUV ergebe sich aber implizit, dass den als KBS bezeichneten Stellen auch lediglich einzelne Zuständigkeitsbereiche zugeteilt werden könnten. Aus der Liste des UVEK gehe hervor, dass die Y._ AG Kompetenzen im Bereich Prüfung und Kontrolle von GGU gemäss Art. 7 GGUV aufweise, nicht jedoch über entsprechende Zulassungen im Bereich Anerkennung und Überwachung von QSP verfüge. Es sei naheliegend, dass im Bereich des Qualitätsmanagements andere Fähigkeiten und Kenntnisse erforderlich seien als für die Prüfung und Kontrolle von Gefahrgutumschliessungen. Für die Anerkennung und Überwachung von QSP verfüge aktuell einzig die Z._ über eine Zulassung. Es sei Sache der einzelnen KBS, entsprechende Gesuche zu stellen; die Y._ AG habe offenbar erst am 10. September 2014 einen Antrag auf Anerkennung als Überwachungsstelle nach Anhang 3 Ziff. 6 RL-GGUV gestellt, welches Verfahren Anfangs 2015 noch hängig gewesen sei. Mangels eines entsprechenden Antrags habe das UVEK vorher die Y._ AG gar nicht als KBS zur Überwachung von QSP zulassen können. Das UVEK bezeichne die KBS; zur Anfechtung des Entscheids des UVEK, die Y._ AG bisher nicht zur Anerkennung und Überwachung von QSP zuzulassen, wäre einzig die Y._ AG legitimiert gewesen, nicht aber die Beschwerdeführerin. Die Y._ AG habe denn auch mit ihrem Schreiben vom 8. Juli 2014 an die Beschwerdeführerin festgestellt, dass diese die abgelaufene Anerkennung der QSP bei einer mit entsprechendem Geltungsbereich bezeichneten KBS zu erneuern habe, damit sie - die Y._ AG - weiterhin bei der Beschwerdeführerin Prüfungen abnehmen könne (vgl. dazu vorne E. 4). Zusammenfassend verfüge die Beschwerdeführerin seit dem 12. Januar 2014 nicht mehr über ein gemäss Ziff. 6.5.4.1 RID/ADR anerkanntes QSP, weshalb die seit diesem Zeitpunkt von ihr hergestellten IBC nicht den gesetzlichen Vorschriften entsprochen hätten. Die Aufteilung von Überwachung der Herstellung sowie Durchführung der erstmaligen Prüfung auf zwei verschiedene KBS widerspreche auch nicht dem RID/ADR oder der GGUV. Das gemäss der angefochtenen Verfügung vorzunehmende Wiederholungsaudit betreffe die in Ziff. 6.5.4.1 RID/ADR geregelte Anerkennung und Überwachung des QSP, und nicht die in Anhang 1 GGUV festgelegte Prüfung der Herstellung von Gefahrgutumschliessungen gemäss Art. 7 GGUV. Es gehe nicht um die Unterscheidung der Überwachung der Herstellung einerseits und der Durchführung der erstmaligen Prüfung von IBC andererseits, sondern um diese beiden Tätigkeiten, welche durch die Y._ AG vorgenommen würden, auf der einen Seite und die Überwachung der QSP, welche durch die Z._ erfolge, auf der anderen Seite. Das BAV habe zudem in der von ihm erlassenen RL-GGUV zulässigerweise auf die BAM-GGR 001 verwiesen. Diese sowie die EN ISO/IEC 17021:2011 sähen eine dreijährige Gültigkeitsdauer eines Audits vor. Das BAV sei gemäss Art. 26 GGUV zuständig zum Erlass einer Richtlinie, die sich als Verwaltungsverordnung primär an die Behörde richte, aber als Grundlage für Verfügungen dienen könne. Dadurch, dass diese Richtlinie erst im Juni 2014 veröffentlicht worden sei, sei der Beschwerdeführerin auch kein Nachteil entstanden, sei sie doch erst nach deren Publikation und vorerst ohne unmittelbare Konsequenzen zur Herstellung des rechtmässigen Zustands ermahnt worden.
6.3. Die Beschwerdeführerin ist demgegenüber der Auffassung, die Y._ AG als nach EN 17020 akkreditierte Xa-KBS sei zuständig, alle in Anhang 1 GGUV vorgesehenen Konformitätsbewertungen durchzuführen, mithin auch die Überwachung der Herstellung bzw. Anerkennung und Überwachung des QSP. Eine Differenzierung der Anforderungen an eine KBS sei in der GGUV nicht vorgesehen. Die in Ziff. 6.5.4.1 RID/ADR erwähnte, von der zuständigen Behörde anerkannte KBS sei diejenige gemäss Anhang 1 Tabelle 1 GGUV. Es sei unzulässig, die Zulassung auf einzelne Bereiche zu beschränken und für die Anerkennung und Überwachung von QSP nur eine einzige KBS zuzulassen. Dies widerspreche auch dem Anliegen, das mit den von der Bundesversammlung angenommenen Motionen 06.3470 (Theiler) und 05.3388 (Giezendanner) angestrebt worden sei. Die Richtlinie des BAV sei teilweise verordnungswidrig; die Verordnung verlange keine Anerkennung und Überwachung von QSP durch eine vom BAV für diese Zwecke bezeichnete KBS. Auch der in Anhang 3 Ziff. 6 RL-GGUV enthaltene Verweis auf die Anforderungen und Verfahren gemäss der deutschen BAM-GGR 001 sei verordnungswidrig, da sich das deutsche System grundlegend vom schweizerischen unterscheide: Der Hersteller, der alle 3 Jahre sein QS-Programm gemäss BAM GGR-001-Richtlinie überprüfen lasse, dürfe sämtliche von ihm produzierten Grosspackmittel ohne zusätzliche externe Prüfung durch eine Inspektionsstelle in Verkehr bringen, während in der Schweiz die erstmalige Zulassung nur durch eine KBS Typ A erfolgen könne.
7.
7.1. Nach Art. 15 GGUV ist das UVEK zuständig für die Bezeichnung der KBS; dies erfolgt auf Gesuch hin durch Verfügung (Anhang 5 Ziff. 1.1 und 1.2.a GGUV). Das BAV, das dem UVEK untergeordnet und für den Vollzug der GGUV zuständig ist (Art. 3 und 26 GGUV), darf nicht Stellen als KBS anerkennen, die vom UVEK nicht als solche zugelassen sind. Die mit der GGUV in Befolgung der Motionen Giezendanner und Theiler beabsichtigte Aufhebung des früheren Monopols des EGI kann daher nur wirksam werden, wenn es private KBS gibt, welche ein entsprechendes Gesuch stellen.
7.2. Die Beschwerdeführerin stellt nicht in Frage, dass in der vom UVEK publizierten Liste der nach Art. 15 GGUV bezeichneten Konformitätsbewertungsstellen nur die Z._, nicht aber die Y._ AG genannt ist für die Anerkennung und Überwachung von QSP zur Erfüllung der Anforderungen von (u.a.) Ziff. 6.5.4.1 RID/ADR. Die Verfügung, mit der die Y._ AG offenbar nur eingeschränkt zugelassen wurde, kann als solche von der Beschwerdeführerin nicht angefochten werden, wie die Vorinstanz mit Recht erwogen hat.
7.3. Indessen ist vorfrageweise zu prüfen, ob das System der nur bereichsweise erfolgenden Zulassung von KBS als solches rechtmässig ist.
7.3.1. Soweit die Vorinstanz anzunehmen scheint, dass die Überwachung des QSP ausserhalb der in Anhang 1 GGUV genannten Tätigkeiten liege, kann ihr nicht gefolgt werden: Art. 7 GGUV unterscheidet die Konformitätsbewertungen, die wiederkehrenden Prüfungen, die Zwischenprüfungen und die ausserordentlichen Prüfungen und verweist auf Anhang 1. Nach Anhang 1 GGUV sind die Anforderungen von (u.a.) Kapitel 6.5 RID/ADR (mithin auch die Anerkennung von QSP nach Ziff. 6.5.4.1) erfüllt, wenn die entsprechenden Verfahren durch die nach Tabelle 1 vorgeschriebenen KBS durchgeführt werden. In Tabelle 1 sind vier Arten von KB-Verfahren vorgesehen, nämlich Baumusterzulassung, Überwachung der Herstellung, Erstmalige Prüfung sowie wiederkehrende Prüfung, Zwischenprüfung und ausserordentliche Prüfung. Die Anerkennung des Qualitätssicherungsprogramms im Sinne von Ziff. 6.5.4.1 RID/ADR muss in der Terminologie der GGUV somit als Teil der Konformitätsbewertung (Art. 7 GGUV) bzw. als Teil der Überwachung der Herstellung (Anhang 1 Tabelle 1 GGUV) betrachtet werden. Dies entspricht auch der Systematik von Ziff. 6.5.4 RID/ADR, welche Qualitätssicherung, Bauartprüfungen sowie erstmalige und wiederkehrende Inspektionen und Prüfungen vorsieht, sowie derjenigen von Abschnitt 1.8.7 RID/ADR, auf welchen Anhang 1 Ziff. 4 GGUV für die einzelnen Verfahren sinngemäss verweist. Dieser Abschnitt mit dem Titel "Verfahren für die Konformitätsbewertung und die wiederkehrende Prüfung" enthält neben allgemeinen Vorschriften (1.8.7.1) detaillierte Vorschriften für die Baumusterzulassung (1.8.7.2), die Überwachung der Herstellung (1.8.7.3), die erstmalige Prüfung (1.8.7.4), wiederkehrende Prüfungen, Zwischenprüfungen und ausserordentlichen Prüfungen (1.8.7.5) sowie die Überwachung des betriebseigenen Prüfdienstes des Antragstellers (1.8.7.6). Für die Überwachung der Herstellung wird vorgeschrieben, dass der Herstellungsprozess einer Begutachtung durch die entsprechende Stelle unterzogen werden muss, um sicherzustellen, dass das Produkt in Übereinstimmung mit den Vorschriften der Baumusterzulassung hergestellt wird (Ziff. 1.8.7.3.1). Ziff. 1.8.7.3.2 und 1.8.7.3.3 umschreiben die Pflichten des Antragssteller und der entsprechenden Stelle. Diese Überwachung der Herstellung entspricht somit der Qualitätssicherung (vgl. auch die Definition von "Qualitätssicherung" in Ziff. 1.2.1 RID/ ADR: "Qualitätssicherung: Ein systematisches Überwachungs- und Kontrollprogramm, das von jeder Organisation oder Stelle mit dem Ziel angewendet wird, dass die im ADR vorgeschriebenen Sicherheitsvorschriften in der Praxis eingehalten werden"). Insgesamt steht somit die Anerkennung des QSP nach Ziff. 6.5.4.1 RID/ADR nicht ausserhalb von Anhang 1 GGUV, sondern gehört zu den darin genannten Verfahren. Insofern ist der Beschwerdeführerin zuzustimmen, dass die in Anhang 1 GGUV genannten Xa-KBS auch für die Überwachung der Qualitätssicherungsprogramme zuständig sind.
7.3.2. Dies bedeutet allerdings noch nicht zwingend, dass jede Xa-KBS für alle vier in Tabelle 1 genannten Verfahren anerkannt sein muss: Nach ständiger Rechtsprechung steht einer fachlich kompetenten Aufsichtsbehörde ein gewisses technisches Ermessen zu; von ihrer Beurteilung weichen daher die gerichtlichen Rechtsmittelinstanzen nur aus triftigen Gründen ab (BGE 140 II 305 E. 2.2.1; 139 II 185 E. 9.2 und 9.3; 132 II 284 E. 2.2). Sodann ist eine Aufsichtsbehörde zum Erlass von Richtlinien oder Verwaltungsanweisungen befugt; diese sind für die Gerichte nicht verbindlich, aber von ihnen mitzuberücksichtigen, sofern sie eine dem Einzelfall angepasste und gerecht werdende Auslegung der anwendbaren gesetzlichen Bestimmungen zulassen; sie dürfen die gesetzlichen Bestimmungen nur konkretisieren, nicht aber verändern (vgl. BGE 140 V 543 E. 3.2.2.1; 138 V 475 E. 3.2.2; 133 II 305 E. 8.1; 133 V 450 E. 2.2.4; 121 II 473 E. 2b). Eine Aufsichtsbehörde kann im Rahmen ihres technischen Ermessens auch fachlich überzeugende ausländische Normen- oder Regelwerke zur Beurteilung heranziehen, soweit dies nicht dem schweizerischen Recht widerspricht (BGE 133 II 292 E. 3 und 4). Somit spricht nichts grundsätzlich dagegen, dass das BAV Richtlinien zur Umsetzung der GGUV erlassen und darin auf die deutsche BAM-GGR 001 verwiesen hat. Die Kritik der Beschwerdeführerin, dadurch werde im Ergebnis gegenüber der deutschen Zulassungsregelung eine Verdoppelung der Prüftätigkeit vorgeschrieben, trifft in dieser Form nicht zu: Nach Anhang 1 Tabelle 1 GGUV kann die erstmalige Prüfung nicht nur durch eine Xa-KBS, sondern auch durch einen betriebseigenen Prüfdienst (unter Überwachung einer Xa-KBS) durchgeführt werden; eine doppelte externe Prüfung ist somit nicht zwingend erforderlich.
7.3.3. Wenn nun das UVEK und das BAV als fachkundige Behörden gestützt auf die RL-GGUV bzw. die darin verwiesene BAM-GGR 001 zur Auffassung gelangt sind, dass für die Anerkennung als Xa-KBS für die Qualitätssicherung bzw. Überwachung der Herstellung andere Fähigkeiten verlangt sind als für eine Zulassung als KBS für Baumusterzulassungen, Prüfungen und Inspektionen, und dass deshalb eine KBS-Zulassung auch nur für einzelne Verfahren möglich ist, so hält sich das im Rahmen des der Verwaltung zustehenden technischen Ermessens. Es lässt sich deshalb nicht beanstanden, dass das BAV in seiner Verfügung vom 27. Oktober 2014 gestützt auf die von ihm erlassenen Richtlinien und die darin genannten deutschen Regelwerke und internationalen Fachnormen angeordnet hat, dass die Beschwerdeführerin ihr QSP durch eine spezifisch dafür bezeichnete KBS prüfen und anerkennen lassen muss.
7.4. Fraglich ist allerdings, ob diese Anordnung Auswirkungen auf die vorher von der Beschwerdeführerin hergestellten IBC haben kann.
7.4.1. Die dargestellte Regelung ist nicht ohne weiteres geeignet, bei den Adressaten Klarheit zu schaffen: Während Ziff. 6.5.4.1 RID/ADR von Qualitätssicherungsprogrammen spricht, kennt die GGUV diesen Begriff nicht. Wie die im RID/ADR verlangte Qualitätssicherung in die Systematik der GGUV einzuordnen ist, erschliesst sich bei deren Lektüre nicht auf den ersten Blick. Ebenso wenig ist daraus ersichtlich, dass die in Anhang 1 Ziff. 1 GGUV genannten Konformitätsbewertungsstellen Xa nicht unbedingt für alle dort genannten Verfahren zuständig sind. Dies ergibt sich auch nicht aus Anhang 5 GGUV. Das BAV räumt denn auch ein, dass die möglichen Geltungsbereiche für die bezeichneten KBS in der Verordnung ungenügend umschrieben sind. Schliesslich stimmt auch die Terminologie in der vom UVEK publizierten Liste der bezeichneten Konformitätsbewertungsstellen nicht vollumfänglich mit derjenigen in Anhang 1 Ziff. 1 Tabelle 1 GGUV überein, indem sie den darin nicht enthaltenen Begriff der Qualitätssicherung verwendet. All dies erweckt im Lichte des Legalitätsprinzips (Art. 5 Abs. 1 BV) Bedenken: Das Legalitätsprinzip dient namentlich dem rechtsstaatlichen Anliegen der Rechtsgleichheit, Berechenbarkeit und Voraussehbarkeit des staatlichen Handelns; es soll dem Privaten ermöglichen, die ihm obliegenden Pflichten mit hinreichender Klarheit aus einer Rechtsnorm zu ersehen (BGE 136 II 304 E. 7.6; 130 I 1 E. 3.1). Das internationale Regelwerk über die Beförderung gefährli cher Güter ist als solches schon schwer überschaubar. Das nationale Recht, das der Umsetzung dieses Regelwerks dient, sollte die Rechtssicherheit erhöhen, nicht reduzieren.
7.4.2. Sodann ist keine Rechtsnorm ersichtlich, welche vorschreibt, dass ein QS-Audit alle drei Jahre zu wiederholen ist. Namentlich ergibt sich dies weder aus Ziff. 6.5.4.1 RID/ADR noch aus der darin genannten EN ISO 16106:2006. Im Erstaudit vom 13. Januar 2011 ist zwar vermerkt: "Wiederholungsaudit, Datum: 1.2014", doch kann das nicht als rechtsverbindliche Anordnung (Art. 5 VwVG) betrachtet werden. Eine dreijährige Frist ist zwar in Ziff. 1.8.7.6.2 RID/ADR enthalten; diese gilt aber bloss für die Überwachung des betriebseigenen Prüfdienstes des Antragstellers, also der IS gemäss Anhang 1 Ziff. 3 GGUV, nicht für die Überwachung der Herstellung; diese erfolgt alternativ durch eine Xa-KBS oder einen IS (Anhang 1 Ziff. 1 Tabelle 1 GGUV). Wenn die Konformitätsbewertung nicht durch eine IS, sondern durch eine Xa-KBS erfolgt, ist somit auch keine Überwachung des IS nach Ziff. 1.8.7.6 RID/ADR erforderlich. Die Vorinstanzen begründen die Pflicht zu einer Re-Zertifizierung nach drei Jahren einerseits mit Ziff. 9.1.1.2 der Norm EN ISO/IEC 17021:2011, andererseits mit der BAM-GGR 001; gemäss dieser müssen die Hersteller von Gefahrgutverpackungen über eine gültige QSP-Anerkennung verfügen, die jeweils für maximal drei Jahre erteilt wird und mit deren Ablauf Gefahrgutverpackungen nicht mehr hergestellt werden dürfen (Allgemeiner Teil Ziff. 1.4-1.6). Indessen ist keine schweizerische Rechtsnorm ersichtlich, welche im hier interessierenden Kontext die Norm ISO/IEC 17021:2011 als verbindlich erklärt. Auch die BAM-GGR 001 ist keine in der Schweiz geltende Rechtsnorm; auf sie wird bloss in Anhang 3 Ziff. 6 der vom BAV erlassenen RL-GGUV verwiesen, die ihrerseits eine blosse Verwaltungsverordnung ist. Verwaltungsverordnungen sind keine Rechtsnormen und können die Privaten nicht zu einem bestimmten Tun verpflichten (BGE 136 II 415 E. 1.1; 128 I 167 E. 4.3; 121 II 473 E. 2b). Wer einer Richtlinie zuwiderhandelt, begeht allein dadurch noch keine Rechtswidrigkeit. Erst indem die Verwaltung in Anwendung einer Verwaltungsverordnung eine Verfügung erlässt, können rechtsverbindliche Pflichten entstehen. Vorliegend kommt hinzu, dass die RL-GGUV erst im Juni 2014 erlassen wurde. Vorher war für die Rechtsunterworfenen aus den publizierten Rechts- und Verwaltungsnormen nicht erkennbar, welches die Anforderungen an ein QSP sind. Entgegen der Auffassung der Vorinstanz kann ein Nachteil für die Beschwerdeführerin nicht damit verneint werden, dass sie erst nach der Publikation und vorerst ohne unmittelbare Konsequenzen zur Herstellung des rechtmässigen Zustands ermahnt worden sei; denn es wurde ihr nachträglich verboten, die bereits vor diesem Zeitpunkt hergestellten IBC in Verkehr zu bringen.
7.4.3. Wenn das BAV am 27. Oktober 2014 verfügte, die nach dem 12. Januar 2014 hergestellten IBC dürften nicht in Verkehr gebracht werden, ist dies aus den genannten Gründen fragwürdig. Die Anordnung erweist sich zudem auch als unverhältnismässig: Das BAV hat bereits in seiner Verfügung vom 27. Oktober 2014 festgestellt, die IBC hätten die erstmalige Prüfung nach Ziff. 6.5.4.4 RID/ADR erfolgreich bestanden; daher sei das Risiko gering. Sodann hat noch vor dem vorinstanzlichen Urteil die Z._ bei der X._ AG ein Wiederholungsaudit durchgeführt und anerkannt, dass - unter Vorbehalt der Umsetzung von vereinbarten Korrekturmassnahmen - ein zufriedenstellendes QSP für die Fertigung von IBC nach Ziff. 6.5.4.1 RID/ADR vorhanden sei. Unter diesen Umständen ist davon auszugehen, dass die von der Beschwerdeführerin von Januar bis Oktober 2014 hergestellten IBC materiellrechtlich den Anforderungen gemäss RID/ADR bzw. GGUV entsprechen.
7.5. Insgesamt ergibt sich: Das BAV hat zwar in der Verfügung vom 27. Oktober 2014 rechtmässig angeordnet, dass die Beschwerdeführerin ihr Qualitätssicherungsprogramm durch eine dafür zugelassene KBS prüfen und anerkennen lassen muss. Hingegen kann unter den gegebenen Umständen diese Anordnung nicht rückwirkend gelten. Soweit im angefochtenen Entscheid festgestellt wird, dass die vom Januar bis Oktober 2014 von der Beschwerdeführerin hergestellten IBC nicht in Verkehr gebracht werden dürfen, ist dies somit rechtswidrig.
8.
Die Beschwerde erweist sich damit als teilweise begründet. Die Beschwerdeführerin trägt die Kosten des Verfahrens anteilmässig (Art. 66 Abs. 1 BGG). Das BAV trägt keine Kosten (Art. 66 Abs. 4 BGG). Eine Parteientschädigung an die nicht anwaltlich vertretene Beschwerdeführerin ist nicht geschuldet.
Demnach erkennt das Bundesgericht:
1.
Die Beschwerde wird teilweise gutgeheissen und das Urteil des Bundesverwaltungsgerichts vom 18. Februar 2015 insoweit aufgehoben, als darin festgestellt wird, dass die vor dem 27. Oktober 2014 hergestellten IBC nicht in Verkehr gebracht werden dürfen. Soweit weitergehend, wird die Beschwerde abgewiesen.
2.
Die Gerichtskosten werden im Betrag von Fr. 2'000.- der Beschwerdeführerin auferlegt.
3.
Die Sache wird zur Neuverlegung der Kosten des vorangegangenen Verfahrens an das Bundesverwaltungsgericht zurückgewiesen.
4.
Dieses Urteil wird den Verfahrensbeteiligten, dem Bundesverwaltungsgericht, Abteilung I, und dem Eidgenössischen Departement für Umwelt, Verkehr, Energie und Kommunikation (UVEK), schriftlich mitgeteilt.
Lausanne, 20. August 2015
Im Namen der II. öffentlich-rechtlichen Abteilung
des Schweizerischen Bundesgerichts
Der Präsident: Zünd
Der Gerichtsschreiber: Errass