Orbit 60 und IEC 62443: Was SL4, SL2 und aXess wirklich belegen

Bently Nevada veröffentlicht zwei verschiedene IEC/ISA-62443-Aussagen zu Orbit 60, und sie sind nicht austauschbar. Der Orbit-Artikel aus Q1 2021 sagt, Orbit 60 sei, wo möglich, für Security Level 4 ausgelegt, die höchste Stufe der Norm. Der Datensicherheits-Artikel von Dezember 2021 sagt, das System „wird nach IEC 62443-4-2 Security Level (SL) 2 zertifiziert und ist so ausgelegt, dass bis Security Level (SL) 4 erreichbar ist“. Die aktuellen Datenblätter nennen gar keine Sicherheitsstufe, dort steht nur „Designed to meet IEC 62443-4-2“. SL4 ist damit ein Architekturziel, SL2 das Zertifizierungsziel, und keine der beiden Aussagen ist ein vorliegendes Zertifikat.

Von TenBN Editorial Team · Aktualisiert am 3. November 2026 · 14 Minuten Lesezeit

Kurzantwort

Die Cybersecurity-Aussagen zu Orbit 60 sind real, aber die Zahl in der Schlagzeile ist keine Konformitätsbehauptung, die man in eine 62443-Gap-Analyse setzen kann. Drei Punkte entscheiden, was die Plattform tatsächlich liefert.

Erstens: Für eine Komponente zählt die SL-C, also die Fähigkeit, die eine korrekt konfigurierte Komponente bereitstellt. SL-C wird geprüft und optional zertifiziert; „ausgelegt, um zu erreichen“ ist eine Designaussage über Reserven, kein Prüfergebnis. Zweitens: Der patentierte aXess-Pfad trennt eine ganz bestimmte Grenze, nämlich Schutzfunktionen von Zustandsüberwachung im selben Rack. Er trennt nicht den Überwachungsanschluss von Ihrem Unternehmensnetz, und das Communications Gateway ist per Konstruktion bidirektional. Drittens: Die nützliche Frage für einen Planer ist nicht „Ist es SL4?“, sondern „Welche SL-C weist jedes Modul aus, wie umfangreich ist das Zertifikat, und welches Netz darf jedes Modul berühren?“

Wer auf Orbit 60 standardisiert, verlangt die SL-C-Aussage pro Modul und die Zertifikatsnummer. Wer ein 3500-Maschinenschutzsystem betreibt, für den ändert sich an den eigenen Pflichten nichts: Auf der älteren Plattform liegt die Trennarbeit vollständig in Ihrer Netzgestaltung, und das ist Thema unseres Vergleichs von 3500-Support-Status und Orbit 60.

Die drei Aussagen des Herstellers und was jede festlegt

Das eigene Material von Bently Nevada enthält drei unterschiedliche Aussagen zu Orbit 60 und IEC/ISA-62443. Sie richten sich an verschiedene Leser und haben in einem Audit unterschiedliches Gewicht.

Der Reihe nach gelesen schränken sich die drei Aussagen gegenseitig ein, statt zu widersprechen. Der Newsletter von 2021 ist die weitreichendste, der Blog vom Dezember 2021 die präziseste, und die Datenblätter sind die Dokumente, an denen ein Einkäufer tatsächlich gemessen wird. Weichen Marketing und Datenblatt voneinander ab, landet das Datenblatt in der Stückliste.

SL-T, SL-C, SL-I, SL-A: das Vokabular, das über die Prüfbarkeit entscheidet

Die meinte Verwirrung zu Orbit 60 und 62443 ist ein Vokabularproblem, kein Technikproblem. IEC 62443 verwendet den Begriff „security level“ für fünf verschiedene Dinge, und nur einer davon gilt für ein Gerät, das Sie kaufen.

„Bis SL4 architect“ ist eine Aussage über SL-C-Reserven. Sie sagt, das Design könne im Grundsatz den SL4-Anforderungsvektor erfüllen. Sie sagt nicht, dass dieser Vektor geprüft wurde, dass ein Labor zugestimmt hat oder dass das Zertifikat existiert. Für Komponenten zählt hier beide Seiten der Norm: 62443-4-1 regelt, wie ein Produkt entwickelt wurde, 62443-4-2 regelt, was es technisch tut, und beide werden getrennt zertifiziert.

Die Norm unterteilt Komponenten außerdem in vier Typen: eingebettete Geräte, Host-Geräte, Netzwerkgeräte und Softwareanwendungen. Jeder Typ hat einen eigenen Anforderungssatz, deshalb ist eine SL-C-Aussage ohne Komponententyp zwischen Herstellern nicht vergleichbar. Orbit 60 umfasst mindestens zwei davon: Die Schutz- und Überwachungshardware ist ein eingebettetes Gerät, Orbit Studio und die Schnittstelle von System 1 sind Software.

Was die vier Sicherheitsstufen tatsächlich absichern

IEC 62443-1-3 definiert die Stufen über das Angriffsprofil, das sie annehmen, nicht über eine Funktionszahl. So beurteilt man ehrlich, ob „die höchste Stufe“ für einen Schwingungswächter in der Leitwarte irgendetwas bedeutet.

Die populäre Deutung, SL4 bedeute „Angriffe durch Nationalstaaten“, stammt aus Kommentaren zu Akteursklassen und nicht aus dem normativen Text. Sie ist auch ein nützlicher Realitätscheck dafür, wie weit eine Designaussage von einem Zertifikat entfernt ist: Der Anforderungsvektor auf SL3 und SL4 verlagert Authentifizierung und Schlüsselschutz in die Hardware und verlangt Multifaktor-Authentifizierung über alle Netze statt nur über die unsicheren.

Zum Kontext, wie selten solche Zertifikate sind: Eine SL2-Zertifizierung nach 62443-4-2 ist 2026 noch Stoff für eine Pressemitteilung. KUKA meldete im Juli 2026 den ersten Roboterhersteller mit einem SL2-Zertifikat nach dieser Norm, und ARC Informatique meldete im April 2026 ein SL2-Zertifikat für PcVue 17. Ein Maschinenschutz-Rack mit einem SL4-Zertifikat eines Dritten wäre eine Premiere für diese Kategorie. Wir haben bis zum Redaktionsschluss in keinem Register, auf der Produktseite des Herstellers und in seinen Datenblatt kein veröffentlichtes 62443-Zertifikat für Orbit 60 gefunden.

Was aXess tatsächlich trennt

Die aXess-Aussage ist der gehaltvollste Teil der Sicherheitsgeschichte von Orbit 60, und sie ist eine Hardware-Aussage, keine Konfigurationsaussage. Aus dem Prospekt zu Orbit 60:

„Wir nennen das Orbit-aXess-Technologie. Sie erlaubt, dass Schutzfunktionen und Zustandsüberwachung im selben Rack bestehen und denselben I/O nutzen, dabei aber völlig unabhängig voneinander arbeiten. Die Schutzkomponenten können ihre Daten für die Zustandsüberwachung bereitstellen, jedoch ohne Leiterbahn auf der Platine, über die Daten von den Überwachungs- zurück zu den Schutzkomponenten fließen könnten. Die Daten bewegen sich in eine Richtung und nur in eine Richtung, ohne digitalen Handshake. Wie eine Diode, nur besser. Und das ist patentiert.“

Drei Eigenschaften machen das spezifikationswürdig. Die Barriere ist eine Leiterbahnführung auf der Platine, lässt sich also nicht falsch konfigurieren wie eine Firewall-Regel. Es gibt keinen digitalen Handshake, deshalb lauscht auf der Schutzseite kein Protokollstapel auf eine Antwort. Und weil beide Funktionen denselben I/O teilen, verlangt die Trennung keinen zweiten Sensorstrang und keine zweite Verdrahtung. Genau dort zeigen klassische Architekturen aus Schutz plus Überwachung ihre Lücken.

Der Hersteller sagt auch ausdrücklich, dass dies keine klassische Daten-Diode ist, und der Grund zählt: „Daten-Dioden sind sehr wirksam, weil sie jede eingehende Kommunikation ausschließen und nur ausgehende erlauben. Diese einseitige Bauweise hat jedoch einen Preis: Änderungen am System der Zustandsüberwachung im laufenden Betrieb sind dann nicht möglich. Sie schützen das Schutzsystem zwar vor Eindringlingen, versperren aber zugleich den Zugriff auf die Überwachungsfunktionen. Unsere aXess-Technologie ermöglicht die Trennung zwischen Schutzsystem und Überwachungsfunktionen, nicht zwischen den Überwachungsfunktionen und der Außenwelt.“

Drei Grenzen, und nur eine davon ist die Diode

Dieser Abschnitt gehört gelesen, bevor man „eingebaute Daten-Diode“ in eine Konformitätsmatrix schreibt. Orbit 60 hat mindestens drei verschiedene Netzgrenzen, und der Marketing-Satz beschreibt genau eine davon.

Eine Anlage, die „eingebaute Daten-Diode“ auf die zweite und dritte Zeile bezieht, verwechselt eine Designeigenschaft mit einer Netzarchitektur. Der CMM ist darauf ausgelegt, aus dem Unternehmensnetz erreichbar zu sein: Das ist sein Zweck, und deshalb kann Orbit 60 das separate Gateway für die Zustandsüberwachung einsparen, das eine verdrahtete 3500-Anlage zwischen Rack und Historian braucht, etwa ein 3500/92 Kommunikations-Gateway. Das CGW ist darauf ausgelegt, Steuerbefehle anzunehmen. Beides ist legitimes Design, und keines von beiden ist eine Diode.

Die praktische Folge ist allerdings günstig. Weil die Einweg-Eigenschaft an Grenze eins sitzt, behält die Schutzfunktion ihre Integrität, auch wenn die Überwachungsseite vollständig erreichbar und konfigurierbar ist. Man kann den Überwachungsanschluss in einem normalen OT-VLAN betreiben, ohne den Auslösungspfad abzuschwächen. Das ist der Kompromiss, den klassische Dioden-Installationen verfehlen.

Mehrere CMMs und was das Datenblatt trägt

Das Condition Monitoring Module trägt die aXess-Daten in das Unternehmensnetz und ist bewusst kein Schutzgerät. Aus dem CMM-Datenblatt (145M9028 Rev. D): „Es lauscht nur, ohne Schreibmöglichkeit, und erlaubt die Anbindung an System 1 über die Unternehmensnetze, ohne Risiko für das Schutzsystem.“

Dieser Satz wird oft zitiert, als sei der CMM für alle nur lesbar. Das stimmt nicht. „Ohne Schreibmöglichkeit“ beschreibt das Verhältnis zum Backplane: Der CMM kann nicht in den Schutzpfad schreiben. System 1 kann den CMM selbst weiterhin konfigurieren, denn „System 1 kann das CMM-Modul so konfigurieren, dass es zusätzliche Messgrößen und Waveforms aus den Sensordaten des Systems extrahiert.“ Die schreibgeschützte Zusage ist gerichtet, nicht absolut.

Zu Anzahl und Platzierung ist das Datenblatt konkret: Jedes Modul belegt einen Slot, und „mehrere CMM-Module erlauben die Anbindung von zwei unabhängigen Clients von System 1 an das Bently Nevada Orbit 60 System“. Der Prospekt nennt den Grund für mehr als eines: mehrere CMMs bringen zusätzliche Rechenleistung. Jedes Modul stellt außerdem zwei getrennt konfigurierbare Ethernet-Anschlüsse bereit, und ein nichtflüchtiger Speicher puffert historische Daten, wenn die Verbindung zum Host abreißt. Genau das verhindert, dass ein instabiler Pfad im Unternehmensnetz zum Problem für die Datenintegrität wird.

Das Datenblatt des CMM nennt die Sicherheitsposition unmissverständlich: „Diese Komponente hat keinen Einfluss auf die Sicherheitsfunktion. Die Zertifizierung des Systems für SIL 2 verlangt nicht, dass diese Komponente SIL-zertifiziert ist.“ Das ist eine nützliche Asymmetrie: Der Überwachungspfad trägt die Konnektivität und liegt bewusst außerhalb der zertifizierten Sicherheitsfunktion. Dieselbe Arbeitsteilung erlaubt es, dass ein Funksensor wie der Ranger Pro Trenddaten liefert, ohne einen Auslösungspfad zu berühren.

Eine Einrichtung im Gehäuse verdient mehr Aufmerksamkeit, als sie üblicherweise bekommt. Der SIM trägt einen Schlüsselschalter auf der öffentlichen Seite und einen Kontakt auf der Versorgerseite, und jeder der beiden kann die Systemkonfiguration sichern und unbefugte Änderungen verhindern. In der Sprache von 62443 ist das eine physische Schutzmaßnahme auf dem Konfigurationspfad, in Hardware umgesetzt, und genau solche Dinge überleben eine Kompromittierung des Netzes. Wenn Ihre Vorschrift lautet, ihn dauerhaft aufgeschlossen zu lassen, ist die Maßnahme wertlos; vermerken Sie seinen Zustand in der Schichtübergabe.

Was ein Auditor prüfen kann, und was der Hersteller senden soll

Jede Aussage aus den vorherigen Abschnitten ist eine Designaussage. Die folgende Liste zeigt, was daraus einen Nachweis macht, und das ist der Unterschied zwischen einer konformen Spezifikation und einem Prospekt.

Klären Sie die letzte Frage früh. Der Unterschied zwischen dem Überwachungsanschluss und dem Steuer-Gateway ist derjenige, der zwischen Angebotsblatt und Inbetriebnahmezeichnung am häufigsten verloren geht, und er entscheidet, ob Ihr Schutznetz wirklich vom Historian getrennt ist.

Was die Anlage selbst verantwortet

Orbit 60 nimmt Arbeit aus Ihrer Auslegung, aber es nimmt keine Verantwortung. Vier Punkte bleiben beim Betreiber, auch auf einer Plattform, die für SL4 ausgelegt ist.

Zone- und Conduit-Auslegung. IEC 62443-3-2 weist Zonen nach Datenkritikalität und Bedrohung zu, und Conduits danach, wie Daten zwischen ihnen laufen. Ein Rack ist eine Komponente innerhalb einer Zone, kein Ersatz für das Modell. Das CGW ist ein Conduit, der Steuerbefehle trägt, und braucht dieselbe Behandlung wie jede andere Strecke des Leitsystems.

Die Ausnahmen hinter „wo möglich“. Der Vorbehalt des Herstellers ist das Eingeständnis, dass manche Anforderungsvektoren nicht überall erfüllt sind. Veröffentlicht sind diese Ausnahmen nicht. Finden Sie sie auf Ihrer Anlage: Prüfen Sie, ob die Ethernet-Anschlüsse des CMM einen unberechtigten Host annehmen, ob ungenutzte Dienste geschlossen sind, und ob Konfigurationsänderungen auf der Überwachungsseite einen Eintrag im Audit-Protokoll erzeugen.

Identität und Zugriff auf dem Überwachungspfad. Weil System 1 den CMM umkonfigurieren kann, entscheiden die Zugangsdaten im Unternehmensnetz darüber, wer ändert, wie die Daten einer Maschine aussehen. Das löst keine Maschine aus, aber es kann einen entstehenden Schaden verdecken, und das ist der Ausfallmodus, der in einem Schutzprogramm zählt.

Physischer Zugriff. Ein Leitwarten-Rack mit zwei aktiven Ethernet-Anschlüssen je Überwachungsmodul ist eine andere Exposition als dasselbe Rack in einem verschlossenen, segmentierten Schaltschrank. Das aXess-Design schützt den Auslösungspfad vor diesem Anschluss, nicht Ihre Daten und nicht Ihren Historian.

Wo eine 3500-Anlage damit steht

Die 3500-Plattform ist älter als die Komponentennorm 62443-4-2, deshalb ist ihre Sicherheitslage vollständig davon abhängig, wie Sie das Netz darum aufbauen. Das ist eine beherrschbare Position, kein Mangel, und deshalb müssen langfristige Support-Planung und Netzgestaltung zusammen betrachtet werden. Unser Beitrag zur 3500-PCBA-Aktualisierung und langfristiger Unterstützung deckt die Hardwareseite ab, der Vergleich des Support-Status sagt, auf welcher Plattform Sie standardisieren.

Auf einem 3500-Rack sind die Entsprechungen der Grenzen von Orbit 60 Geräte, die Sie selbst einsetzen: ein 3500/92 Kommunikations-Gateway am Netzrand, ein 3500/20 Rack-Interface-Modul, das die Backplane-Daten trägt, ein 3500/22M Interface für Transientendaten, wenn Sie Waveforms außerhalb des Racks erfassen müssen, und ein 3500/32 Relais-Modul, wo Ausgänge für den Trip hart verdrahtet sein müssen. Das 3500/05 System-Rack und das 3500/15 Netzteil vervollständigen das Gehäuse.

Sensorseitig speisen dieselben Aufnehmer beide Plattformen, und das ist das praktische Argument gegen eine überstürzte Migration: Eine 3300 XL 8 mm Näherungssonde, ein 330400 Beschleunigungsaufnehmer oder ein 330500 Velomitor wird nicht zum Sicherheitsrisiko, wenn das Rack dahinter wechselt. Für kleinere Assets gibt ein 1900/65A oder ein 2300/20 Überwachungsmonitor eine gut begründbare Angriffsfläche im Netz ohne volles Rack, und für Windanlagen gibt es den eigenen Weg mit dem 60M100 Zustandsüberwachungsmonitor.

Wenn die Plattformwahl eigentlich eine Anwendungsfrage ist, legen unsere Leitfäden zur Überwachung von Gasturbinen, zur Überwachung von Dampfturbinen, zur Zustandsüberwachung von Verdichtern und zum Maschinenschutz in der Petrochemie dar, was die Schutz-Trennung jeweils einbringt, und die Übersicht zur 3500-Serie dokumentiert die ältere Architektur in denselben Begriffen.

Formulierungen für die Bestellung, die einer Prüfung standhalten

Wenn Sie Orbit 60 in eine Anlage mit einem IEC-62443-Programm spezifizieren, halten drei Sätze die Hersteller-Aussagen und Ihre Pflichten an den richtigen Platz.

„Der Lieferant weist für jedes Modul der angebotenen Konfiguration die beanspruchte Sicherheitsfähigkeitsstufe (SL-C) nach IEC 62443-4-2 aus, zusammen mit der verwendeten Klassifizierung des Komponententyps. Eine Aussage, das Produkt sei für eine Sicherheitsstufe ausgelegt, wird nicht als Ersatz für eine SL-C-Aussage pro Modul akzeptiert.“

„Existiert für ein angebotenes Modul ein 62443-4-2-Zertifikat eines Dritten, stellt der Lieferant Zertifikatsnummer, ausstellende Stelle, Geltungsbereich und Ablaufdatum bereit. Das Fehlen eines Zertifikats ist ausdrücklich zu erklären statt zu vermuten.“

„Die Trennung zwischen Maschinenschutz und Zustandsüberwachung innerhalb des Racks wird nicht als Ersatz für die Zone- und Conduit-Auslegung des Käufers behandelt. Alle bidirektionalen Pfade, einschließlich des Kommunikations-Gateways zum Steuerungsnetz und zum Historian, sind als Conduits zu dokumentieren und entsprechend zu schützen.“

Diese drei Zeilen funktionieren auch als Diligence-Test für konkurrierende Plattformen, denn die meisten können die erste Frage nicht beantworten.

FAQ

Ist Orbit 60 nach IEC 62443 Security Level 4 zertifiziert?

Nein, ein veröffentlichtes Zertifikat sagt das nicht. Bently Nevada erklärt, Orbit 60 sei wo möglich für Security Level 4 ausgelegt, und im Dezember 2021, das System werde nach IEC 62443-4-2 Security Level 2 zertifiziert und sei so ausgelegt, dass bis Level 4 erreichbar sei. Die aktuellen Datenblätter sagen nur, die Plattform sei für IEC 62443-4-2 ausgelegt, ohne jede Stufennummer. Behandeln Sie SL4 als Designziel und SL2 als Zertifizierungsziel, bis eine Zertifikatsnummer vorliegt.

Was schützt die Daten-Diode von Orbit 60 tatsächlich?

Eine Grenze: den Pfad von den Funktionen der Zustandsüberwachung zurück in die Schutzfunktionen desselben Racks. Das aXess-Design lässt die Leiterbahnen weg, die Daten in diese Richtung führen könnten, und nutzt keinen digitalen Handshake, deshalb ist der Schutzpfad von der Überwachungsseite aus nicht erreichbar. Den Überwachungsanschluss von Ihrem Unternehmensnetz trennt diese Einrichtung nicht.

Ersetzt aXess eine Firewall zwischen Orbit 60 und dem Anlagennetz?

Nein. aXess trennt Schutz und Zustandsüberwachung innerhalb des Racks. Das Condition Monitoring Module ist für die Anbindung an das Unternehmensnetz ausgelegt, und das Communications Gateway tauscht Daten, Status und Sollwerte mit Leitsystemen und Historians und empfängt Befehle wie Inhibit, Zurücksetzen und Trip-Multiply. Für diese beiden Pfade bleibt Ihre Zone- und Conduit-Auslegung weiterhin erforderlich.

Können mehrere CMM in einem System von Orbit 60 eingesetzt werden?

Ja. Jedes Condition Monitoring Module belegt einen Slot, und das Datenblatt sagt, dass mehrere CMM-Module die Anbindung von zwei unabhängigen Clients von System 1 an das Orbit 60 System erlauben. Der Prospekt ergänzt, dass mehrere CMM zusätzliche Rechenleistung bringen, und jedes Modul stellt zwei getrennt konfigurierbare Ethernet-Anschlüsse bereit.

Gehört das Condition Monitoring Module zur Sicherheitsfunktion?

Nein. Sein Datenblatt hält fest, dass die Komponente keinen Einfluss auf die Sicherheitsfunktion hat, und dass die Zertifizierung des Systems für SIL 2 keine SIL-Zertifizierung des CMM verlangt. Es lauscht am Backplane, versorgt System 1, und kann nicht in den Schutzpfad schreiben.

Worin unterscheiden sich SL-C, SL-T und SL-A?

SL-C ist die Fähigkeitsstufe, die eine Komponente nach IEC 62443-4-2 bei korrekt konfigurierter Anwendung beansprucht. SL-T ist die Zielstufe, die ein Betreiber für eine Zone oder ein Conduit aus der Risikobewertung festlegt. SL-A ist die Stufe, die ein eingesetztes System nach einer Bewertung tatsächlich erreicht. Ein Komponentenzertifikat sagt nichts über die erreichte Stufe Ihres Systems, denn die hängt von Konfiguration und Netzgestaltung ab.

Bedeutet Security Level 4 Schutz vor Angriffen durch Nationalstaaten?

Diese Formulierung stammt aus Kommentaren zu Akteursklassen und nicht aus der normativen Definition. IEC 62443-1-3 beschreibt SL4 als Schutz vor absichtlicher Verletzung mit raffinierten Mitteln, erweiterten Ressourcen, IACS-Kenntnissen und hoher Motivation. In der Praxis verlagert das Authentifizierung und Schlüsselschutz in die Hardware und erwartet Multifaktor-Authentifizierung in allen Netzen.

Wir betreiben eine 3500-Anlage, ändert das etwas an unseren Pflichten?

Nicht unmittelbar. Die 3500-Plattform ist älter als die Komponentennorm 62443-4-2, deshalb sitzen Trennung, Filterung und Zugriffskontrolle in Ihrer Netzgestaltung und nicht im Rack. Die praktische Arbeit besteht darin, jeden Knoten zu dokumentieren, der vom Steuerungsnetz ins Rack reicht, meist ein Kommunikations-Gateway, und diese Strecke zu härten.

Weiterführende Beiträge

Orbit 60 Factsheet: 100× Verarbeitung, 65 Kanäle und halber Platzbedarf — was das Factsheet von 2025 behauptet und wo es dem Systemdatenblatt widerspricht.

Orbit 60 Update Q4: 80 Eingangs-Kartentypen auf 10 reduziert — die Modul- und Ersatzteil-Sicht derselben Plattform, inklusive CGW, CMM und Brückenausgang.

Cordant-Geräte: Was die Änderung auf der Startseite von Bently Nevada für Käufer bedeutet — wer diese Hardware unterstützt und was vor der Ersatzteilbestellung zu prüfen ist.

Bently Nevada System 1 wird 20 Jahre alt — die Host-Software am anderen Ende des CMM-Anschlusses.

Der KI-Dienst von Bently Nevada für Maschinengesundheit — was mit den Überwachungsdaten geschieht, wenn sie das Rack verlassen.

Quellen und Vorgehen

Dieser Artikel liest die Aussagen von Bently Nevada gegen die Struktur der zitierten Norm und benennt die Lücken, statt sie zu glätten. Material des Herstellers wird als Material des Herstellers zitiert.

Bently Nevada, “Orbit 60 Serie Update: Cyber Secure Condition Monitoring!”, Q1 2021. Bently Nevada, „Orbit 60: a data secure condition monitoring system“, 21. Dezember 2021. Bently Nevada, Produktseite Orbit 60 Serie. Bently Nevada, Prospekt Orbit 60 Serie (Dokument 1312). Bently Nevada, Orbit 60 Serie Systemdatenblatt 137M5182. Bently Nevada, Orbit 60 Serie Condition Monitoring Module Datenblatt 145M9028 Rev. D. Bently Nevada, Orbit 60 Serie Protection Processor Module Datenblatt 142M8515. Pressemitteilung Baker Hughes, “BHGE’s Bently Nevada business launches the Orbit 60 Serie”, 10. September 2019. IEC 62443-1-3, Definitionen der Sicherheitsstufen sowie die Unterscheidung von SL-T, SL-C, SL-I und SL-A. KUKA, “First in robotics to achieve Security Level 2 certification in accordance with IEC 62443-4-2”, Juli 2026. ARC Informatique, Ankündigung des SL2-Zertifikats für PcVue 17 nach IEC 62443-4-2, April 2026.

Redaktioneller Hinweis: Aussagen zu Sicherheitsstufen, der Zertifizierungsstatus und der Modulumfang sind vor der Aufnahme in eine Konformitätsmatrix oder eine Bestellung gegen die aktuelle Datenblatt-Revision und die Zertifikatsunterlagen des Herstellers zu bestätigen. Zum Stand 3. November 2026 haben wir kein veröffentlichtes 62443-Zertifikat eines Dritten für Orbit 60 gefunden; falls seither eines ausgestellt wurde, weichen Zertifizierungsziel und Umfang von dem hier Beschriebenen ab.