Οι απειλές για μια επιχείρηση τροφίμων δεν περιορίζονται στους τυχαίους κινδύνους που αντιμετωπίζονται μέσω του HACCP. Σκόπιμη επιμόλυνση, food fraud, κυβερνοεπιθέσεις, εσωτερικές απειλές και ευπάθειες στην εφοδιαστική αλυσίδα μπορούν επίσης να επηρεάσουν την ασφάλεια και την ακεραιότητα των προϊόντων. Το νέο PAS 96:2026 αναθεωρεί την προσέγγιση του Food Defence και του TACCP, λαμβάνοντας υπόψη το σημερινό, σημαντικά πιο σύνθετο περιβάλλον απειλών.
Τι είναι το PAS 96:2026;
Το PAS 96:2026 - Food defence: Protection and prevention from deliberate acts αποτελεί τη νέα έκδοση του οδηγού για την προστασία των τροφίμων και της εφοδιαστικής αλυσίδας από σκόπιμες ενέργειες. Αντικαθιστά το PAS 96:2017 και χρησιμοποιεί την προσέγγιση Threat Assessment Critical Control Points (TACCP) για την αναγνώριση, αξιολόγηση και διαχείριση απειλών και ευπαθειών. Εφαρμόζεται σε οργανισμούς κάθε μεγέθους και σε όλα τα στάδια της αλυσίδας τροφίμων και ποτών, από την πρωτογενή παραγωγή και τη μεταποίηση έως τη διανομή, το λιανεμπόριο και την εστίαση. Ιδιαίτερη χρησιμότητα μπορεί να έχει για μικρομεσαίες επιχειρήσεις που δεν διαθέτουν εξειδικευμένες ομάδες risk management.
Food Safety, Food Defence και Food Fraud: Πώς συνδέονται;
Το HACCP έχει ως αντικείμενο τους κινδύνους που μπορεί να προκύψουν χωρίς πρόθεση, όπως μια τυχαία μικροβιολογική, χημική ή φυσική επιμόλυνση. Το Food Defence επικεντρώνεται στις σκόπιμες ενέργειες που μπορούν να επηρεάσουν τα τρόφιμα ή την επιχείρηση.
Το PAS 96:2026 εξετάζει τρεις βασικές κατηγορίες:
- κακόβουλη επιμόλυνση ή άλλη εγκληματική ενέργεια με πρόθεση πρόκλησης βλάβης,
- διατάραξη της λειτουργίας της επιχείρησης μέσω cybercrime,
- οικονομικά υποκινούμενη νοθεία ή food fraud, όπως υποκατάσταση, αραίωση, νοθεία και παραποίηση προϊόντων.
Το Food Fraud και το Food Defence δεν είναι ταυτόσημες έννοιες. Και τα δύο αφορούν σκόπιμες ενέργειες, όμως διαφέρουν κυρίως ως προς το κίνητρο: στο Food Fraud το βασικό κίνητρο είναι συνήθως το οικονομικό όφελος, ενώ στο Food Defence εξετάζονται σκόπιμες ενέργειες που αποσκοπούν στην πρόκληση βλάβης ή στη διατάραξη της λειτουργίας μιας επιχείρησης.
Το PAS 96:2026 τα εξετάζει στο ευρύτερο πλαίσιο του Food Protection, καθώς και στις δύο περιπτώσεις ένας threat actor μπορεί να εκμεταλλευτεί μια ευπάθεια του προϊόντος, της επιχείρησης ή της εφοδιαστικής αλυσίδας. Η διάκριση είναι σημαντική, καθώς το Food Defence δεν πρέπει να αντιμετωπίζεται απλώς ως μία επιπλέον ενότητα του HACCP. Απαιτεί διαφορετικό τρόπο σκέψης: ποιος θα μπορούσε να εκμεταλλευτεί μια ευπάθεια, με ποιο κίνητρο και με ποια δυνατότητα;
Τι αλλάζει με το PAS 96:2026;
Η νέα έκδοση αποτελεί ουσιαστική αναθεώρηση του προηγούμενου PAS και προσαρμόζει το Food Defence στις σημερινές συνθήκες. Ιδιαίτερη βαρύτητα δίνεται πλέον στις κυβερνοαπειλές, καθώς η λειτουργία των επιχειρήσεων τροφίμων εξαρτάται όλο και περισσότερο από IT και Operational Technology (OT), αυτοματισμούς και ψηφιακά συστήματα. Μια κυβερνοεπίθεση μπορεί να επηρεάσει όχι μόνο δεδομένα, αλλά και παραγωγικές διαδικασίες, αποθήκευση, μεταφορές και τη συνολική επιχειρησιακή συνέχεια. Το PAS διευκρινίζει πάντως ότι ένα εξειδικευμένο cybersecurity plan παραμένει διακριτό από το Food Defence Plan. Παράλληλα, η νέα προσέγγιση λαμβάνει περισσότερο υπόψη τις ευπάθειες των σύνθετων εφοδιαστικών δικτύων, τις γεωπολιτικές και οικονομικές μεταβολές και νέες συνθήκες που μπορούν να αυξήσουν την πιθανότητα απάτης ή σκόπιμης διατάραξης.
Κλιματική αλλαγή, ελλείψεις πρώτων υλών και Food Fraud
Η κλιματική αλλαγή μπορεί να επηρεάσει το Food Defence έμμεσα, δημιουργώντας νέες ευπάθειες στην εφοδιαστική αλυσίδα. Η ίδια η κλιματική αλλαγή δεν αποτελεί απειλή Food Defence. Οι επιπτώσεις της, όμως, μπορούν να δημιουργήσουν συνθήκες που καθιστούν την εφοδιαστική αλυσίδα περισσότερο ευάλωτη σε σκόπιμες ενέργειες, μεταξύ των οποίων και το Food Fraud.
Μειωμένες σοδειές, ακραία καιρικά φαινόμενα και περιορισμένη διαθεσιμότητα συγκεκριμένων πρώτων υλών μπορούν να αυξήσουν τις τιμές και να οδηγήσουν μια επιχείρηση στην αναζήτηση νέων ή λιγότερο γνωστών προμηθευτών. Σε αυτές τις συνθήκες μπορεί να αυξηθεί η ευπάθεια σε υποκατάσταση, αραίωση, νοθεία ή παραποίηση πρώτων υλών υψηλής αξίας. Το PAS αναδεικνύει ως παραδείγματα προϊόντα όπως ελαιόλαδο, μέλι, μπαχαρικά, καφές, κακάο και θαλασσινά.
Η σύνδεση με το Food Defence βρίσκεται ακριβώς σε αυτές τις νέες ευπάθειες: αλλαγές στη διαθεσιμότητα, στις τιμές ή στους προμηθευτές μπορούν να δημιουργήσουν νέες ευκαιρίες για σκόπιμη εκμετάλλευση της εφοδιαστικής αλυσίδας. Για αυτό το PAS 96:2026 εντάσσει τις συγκεκριμένες μεταβολές στην ευρύτερη αξιολόγηση Food Protection και TACCP.
Αντίστοιχα, αλλαγές στην εφοδιαστική αλυσίδα που πραγματοποιούνται για την επίτευξη περιβαλλοντικών ή άλλων επιχειρηματικών στόχων πρέπει να αξιολογούνται και ως προς τις νέες ευπάθειες που ενδέχεται να δημιουργούν.
Ποιος μπορεί να αποτελέσει απειλή για μια επιχείρηση τροφίμων;
Ένα σημαντικό στοιχείο του TACCP είναι η αναγνώριση των πιθανών threat actors και των κινήτρων τους. Η απειλή δεν προέρχεται απαραίτητα από κάποιον εκτός της επιχείρησης. Ένας εργαζόμενος, πρώην εργαζόμενος ή εξωτερικός συνεργάτης μπορεί να διαθέτει γνώση των διαδικασιών, των κρίσιμων σημείων και των συστημάτων ασφαλείας. Για αυτό το PAS 96:2026 δίνει ιδιαίτερη σημασία στο personnel security. Μέτρα μπορούν να περιλαμβάνουν ελέγχους πριν από την πρόσληψη, κατάλληλη εκπαίδευση, έλεγχο ταυτότητας και πρόσβασης για contractors, επισκέπτες και προσωρινό προσωπικό, περιορισμένη πρόσβαση σε κρίσιμες περιοχές και διαδικασίες αναφοράς ύποπτης συμπεριφοράς.
Πώς αλλάζει η διαδικασία TACCP;
Το νέο PAS οργανώνει περισσότερο τη διαδικασία TACCP γύρω από τη λογική Plan - Do - Check - Act. Η ομάδα TACCP αρχικά καθορίζει το scope και εντοπίζει πιθανές απειλές για την επιχείρηση, τις λειτουργίες και τα προϊόντα. Στη συνέχεια αναγνωρίζει τις αντίστοιχες ευπάθειες και αξιολογεί τον κίνδυνο με βάση την πραγματική δυνατότητα και το κίνητρο ενός threat actor να τις εκμεταλλευτεί. Μάλιστα, το PAS δεν περιορίζεται σε μεμονωμένες απειλές. Ζητά να εξετάζονται και σύνθετα ή συνδυαστικά σενάρια, όπως μια εξωτερική απειλή που συνεργάζεται με insider ή μια κυβερνοεπίθεση που διευκολύνει την πρόσβαση σε φυσικό χώρο ή παραγωγική διαδικασία.
Ποιοι πρέπει να συμμετέχουν στην ομάδα TACCP;
Η ομάδα TACCP χρειάζεται ευρύτερη τεχνογνωσία από μια παραδοσιακή ομάδα HACCP. Ανάλογα με την επιχείρηση, μπορεί να απαιτεί συμμετοχή ή συμβολή από Food Safety & Quality, παραγωγή, προμήθειες, logistics, HR, IT, security, engineering, νομικό τμήμα, επικοινωνία και διοίκηση. Το PAS επισημαίνει χαρακτηριστικά ότι η υπάρχουσα ομάδα HACCP μπορεί να αποτελέσει αφετηρία, αλλά συχνά απαιτούνται γνώσεις πέρα από την ασφάλεια τροφίμων.
Τι είναι το Horizon Scanning και γιατί είναι σημαντικό;
Το Food Defence Plan δεν πρέπει να δημιουργείται μία φορά και να παραμένει αμετάβλητο. Το PAS 96:2026 εισάγει πιο ξεκάθαρα την ανάγκη για horizon scanning, δηλαδή συστηματική παρακολούθηση αξιόπιστων πληροφοριών για νέες και αναδυόμενες απειλές. Η ομάδα TACCP πρέπει να παρακολουθεί αλλαγές σε πρώτες ύλες και προμηθευτές, μεταφορές και διανομή, νέες μεθόδους επίθεσης, περιστατικά ή near misses, καθώς και γεωπολιτικές και οικονομικές εξελίξεις που μπορεί να δημιουργήσουν νέες ευπάθειες. Όταν προκύπτουν νέα δεδομένα, η αξιολόγηση TACCP και τα μέτρα προστασίας πρέπει να αναθεωρούνται αντίστοιχα.
Ποια μέτρα Food Defence μπορεί να εφαρμόσει μια επιχείρηση;
Τα μέτρα πρέπει να καθορίζονται ανάλογα με τις πραγματικές ευπάθειες κάθε επιχείρησης και μπορεί να περιλαμβάνουν φυσική ασφάλεια εγκαταστάσεων, ελεγχόμενη πρόσβαση, CCTV, tamper detection, προστασία κρίσιμων παραγωγικών σημείων, ασφάλεια IT/OT, ελέγχους προσωπικού και contractors και ενισχυμένο έλεγχο προμηθευτών.
Το PAS δίνει επίσης ιδιαίτερη σημασία στην εκπαίδευση και την Food Protection Culture. Το προσωπικό πρέπει να μπορεί να αναγνωρίζει ύποπτες καταστάσεις, να γνωρίζει πώς να τις αναφέρει και να κατανοεί τον δικό του ρόλο στην προστασία της επιχείρησης. Τα μέτρα δεν αρκεί απλώς να υπάρχουν. Πρέπει να ελέγχεται εάν λειτουργούν στην πράξη, μέσα από reviews, audits, challenge studies ή άλλες κατάλληλες δοκιμές.
Τι συμβαίνει εάν υπάρξει περιστατικό;
Το PAS 96:2026 δίνει μεγαλύτερη βαρύτητα και στην προετοιμασία για το ενδεχόμενο αποτυχίας των προληπτικών μέτρων. Οι επιχειρήσεις πρέπει να διαθέτουν κατάλληλο emergency response και business continuity plan. Σε περίπτωση ύποπτης σκόπιμης νοθείας, για παράδειγμα, τα επηρεαζόμενα προϊόντα πρέπει να απομονώνονται άμεσα και να αξιολογείται η ανάγκη απόσυρσης ή ανάκλησης. Τα σχέδια αντιμετώπισης πρέπει επίσης να δοκιμάζονται εκ των προτέρων μέσω ασκήσεων ή προσομοιώσεων, ώστε να ελέγχεται εάν οι εμπλεκόμενες ομάδες μπορούν πράγματι να ανταποκριθούν συντονισμένα σε ένα περιστατικό. Στην περίπτωση κυβερνοεπίθεσης απαιτείται αντίστοιχα οργανωμένο cyber incident response, ενώ το business continuity μπορεί να περιλαμβάνει εναλλακτικούς εγκεκριμένους προμηθευτές, backup εγκαταστάσεις ή co-packers, εφεδρικά πληροφοριακά συστήματα και εναλλακτικές λύσεις μεταφοράς και αποθήκευσης.
Τι πρέπει να κάνουν τώρα οι επιχειρήσεις τροφίμων;
Για μια επιχείρηση που διαθέτει ήδη Food Defence Plan βασισμένο στο PAS 96:2017, η νέα έκδοση αποτελεί λόγο για ουσιαστική επαναξιολόγηση και όχι απλώς αλλαγή της αναφοράς από “2017” σε “2026”. Χρειάζεται να επανεξεταστούν οι threat actors, οι cyber και insider threats, οι ευπάθειες της εφοδιαστικής αλυσίδας, οι αλλαγές στους προμηθευτές και στις πρώτες ύλες, η ασφάλεια προσωπικού και εξωτερικών συνεργατών, καθώς και η ετοιμότητα της επιχείρησης σε περίπτωση πραγματικού περιστατικού. Παράλληλα, πρέπει να υπάρχει μηχανισμός συνεχούς αναθεώρησης του TACCP, ώστε νέες πληροφορίες, περιστατικά, αλλαγές στην παραγωγή ή νέες εξωτερικές απειλές να οδηγούν σε επικαιροποίηση του Food Defence Plan.
Πώς μπορεί να σας βοηθήσει η SafeEat;
Η SafeEat μπορεί να υποστηρίξει την επιχείρησή σας στην ανάπτυξη ή επικαιροποίηση του Food Defence Plan και της μελέτης TACCP σύμφωνα με το PAS 96:2026.
Η υποστήριξη μπορεί να περιλαμβάνει την αναγνώριση threat actors και ευπαθειών, την αξιολόγηση υφιστάμενων μέτρων προστασίας, την επανεξέταση προμηθευτών και της εφοδιαστικής αλυσίδας, καθώς και την εκπαίδευση της ομάδας TACCP και του προσωπικού.
Στόχος δεν είναι απλώς η ύπαρξη ενός Food Defence Plan, αλλά η δημιουργία ενός λειτουργικού και επικαιροποιημένου συστήματος προστασίας, προσαρμοσμένου στις πραγματικές απειλές της κάθε επιχείρησης.
Συχνές ερωτήσεις για το PAS 96:2026
Το PAS 96:2026 αντικαθιστά το HACCP;
Όχι. Το HACCP διαχειρίζεται κυρίως μη σκόπιμους κινδύνους ασφάλειας τροφίμων, ενώ το TACCP επικεντρώνεται σε σκόπιμες ενέργειες και απειλές. Οι δύο προσεγγίσεις είναι συμπληρωματικές.
Πρέπει μια επιχείρηση που έχει TACCP βάσει PAS 96:2017 να το αναθεωρήσει;
Η έκδοση του 2026 αποτελεί πλήρη αναθεώρηση και ενσωματώνει νέες κατηγορίες και σύγχρονες απειλές. Επομένως, ένα υφιστάμενο TACCP είναι σκόπιμο να επανεξεταστεί ως προς το κατά πόσο καλύπτει τις νέες κατευθύνσεις και τις σημερινές ευπάθειες της επιχείρησης.
Είναι το Food Fraud μέρος του PAS 96:2026;
Ναι. Το πεδίο εφαρμογής περιλαμβάνει economically motivated adulteration ή food fraud, όπως υποκατάσταση, αραίωση, νοθεία και παραποίηση. Ωστόσο, το κίνητρο και η φύση του food fraud διαφέρουν από μια κακόβουλη ενέργεια που έχει ως κύριο στόχο την πρόκληση βλάβης.
Πρέπει το IT να συμμετέχει στην ομάδα TACCP;
Ανάλογα με τις λειτουργίες και τις ευπάθειες της επιχείρησης, ναι. Το PAS αναγνωρίζει την ανάγκη τεχνογνωσίας σε IT και OT security και επισημαίνει ότι η ομάδα TACCP συχνά χρειάζεται ειδικότητες πέρα από εκείνες μιας ομάδας HACCP.
Κάθε πότε πρέπει να αναθεωρείται το Food Defence Plan;
Το PAS ζητά τα μέτρα Food Protection να επανεξετάζονται τακτικά και όταν υπάρχουν αλλαγές που μπορεί να επηρεάσουν την αποτελεσματικότητά τους, όπως ένα πραγματικό ή ύποπτο περιστατικό, παραβίαση φυσικής ή κυβερνοασφάλειας, αλλαγές στην επιχείρηση ή νέες πληροφορίες για αναδυόμενες απειλές.
