Ubuntu 18.04 な環境です。普通に certbot をインストールすると systemd に certbot.timer が登録されて、1日2回 certbot -q renew するようになります。(/etc/cron.d/certbot も作成されるけど、こちらは /run/systemd/system が存在すると空振りするようになっています。)
で、証明書は有効期限の30日前に確かに更新されるんですが、nginx 自体は nginx -s reload しないと新しい証明書を使ってくれないので……
/etc/letsencrypt/renewal-hooks/deploy/ に nginx -s reload な shell スクリプトを放り込んでおけば良いみたいです。